Afturkallað VPN-vottorð tengist enn? Athugaðu framfylgni CRL

Þú afturkallaðir vottorðið, bjóst til nýjan lista, og gamla sniðið kemur enn upp göngum. Ekkert er bilað í afturkölluninni sjálfri: CRL er undirrituð yfirlýsing um að raðnúmer sé ekki lengur gilt, og hún breytir aðgangi fyrst þegar einingin sem lýkur TLS hleður henni, fyrir réttan útgefanda, áður en hún tekur samþykkisákvörðunina. Síðasti hlutinn er þar sem flest þessara tilvika liggja, og þess vegna eru afturköllun og synjun tvær aðskildar staðreyndir.

Farðu í gegnum fimm athuganirnar hér að neðan í röð, og stöðvaðu við þá fyrstu sem stenst ekki, því hver síðari athugun gerir ráð fyrir að þær fyrri séu sannar.

Athugaðu hvaða eining tekur samþykkisákvörðunina

Nefndu ferlið sem sannprófar biðlaravottorðið, því aðeins það ferli getur framfylgt lista. Á OpenVPN-þjóni er það daemoninn sjálfur, stilltur með crl-verify. Á ocserv er það línan crl í ocserv.conf. Á strongSwan eru inntökin hlaðnir CRL-listar ásamt strictcrlpolicy. TLS-lokandi proxy eða tæki fyrir framan VPN getur líka verið raunverulegi sannprófandinn, og ef svo er sér daemoninn fyrir aftan hann aldrei biðlaravottorðið.

WireGuard tilheyrir öðrum flokki. Það hefur engin vottorð og engan afturköllunarlista; jafningi er tekinn inn á grundvelli opinbers lykils síns í stillingunni, svo að ljúka aðgangi þýðir að fjarlægja þann lykil. Ef þú ert að leita að CRL í uppsetningu með aðeins WireGuard er sá gangverkur ekki til staðar.

Fylgstu líka með gildrunni á biðlarahlið. Biðlari sem neitar að tengjast vegna þess að honum líkar ekki þjónavottorðið er að framfylgja keðju þjónsins og afturkallar ekki eigin skilríki. Notendavottorð er aðeins afturkallað þar sem það notendavottorð er sannprófað, og það er næstum alltaf þjónahliðin.

Athugaðu fyrir hvaða útgefanda listinn var undirritaður

CRL gildir um eitt útgefandi CA. Með rót og millistigi koma laufvottorðin frá millistiginu, svo listinn sem skiptir máli er CRL millistigsins; listi rótarinnar segir ekkert um þau lauf. Sannprófandi sem bendir á ranga skrá þáttar hana glaðlega, finnur enga samsvarandi færslu og samþykkir allt.

Staðfestu pörunina áður en þú snertir daemoninn. Útgefandinn á vottorðinu verður að passa við subject listans:

openssl x509 -in client.crt -noout -issuer -serial
openssl crl  -in intermediate.crl -noout -issuer -lastupdate -nextupdate

Þegar bæði koma frá sama CA er raðnúmerið sem prentað er fyrir vottorðið gildið sem verður að birtast á listanum. Ef þau stemma ekki ertu með rangt CRL eða ranga eintak af því.

Gildistíminn tilheyrir sömu athugun. nextUpdate í fortíðinni gerir listann úreltan, og sannprófandi sem bregst lokuðu mun þá hafna hverjum biðlara í staðinn fyrir að hafna aðeins hinum afturkallaða.

Athugaðu að raðnúmerið sé í eintakinu sem daemoninn hlaði

Afturköllun skrifar færslu í CA-gagnagrunninn, og endursköpun skrifar nýja skrá. Hvorug aðgerðin nær til keyrandi daemons sem hlaði gamla eintakinu við ræsingu. Dumpaðu listann og leitaðu að raðnúmerinu:

openssl crl -in intermediate.crl -noout -text | grep -i -A2 'Serial Number'
openssl ca -revoke client.crt
openssl ca -gencrl -out intermediate.crl

Athugaðu síðan hvernig útfærslan þín tekur skrána upp. OpenVPN les slóð sem gefin er crl-verify einu sinni við ræsingu, svo nýr listi krefst endurræsingar eða endurræsingarmerkis; sama valið beint að möppu er lesið aftur fyrir hverja tengingu, og þess vegna er möppuhátturinn til. strongSwan þarf að endurhlaða skilríkjum sínum, til dæmis með swanctl --load-creds. Að skráin á diski sé rétt og að sannprófandinn noti hana eru tvær mismunandi staðreyndir.

Athugaðu stefnuna fyrir lista sem vantar eða er útrunninn

Þetta er ákvörðunin sem margar uppsetningar taka aldrei skýrt, og hún ræður því hvort afturköllun verndar þig eða lokar öllum úti. Fail-closed þýðir að engar nothæfar afturköllunarupplýsingar leiða til synjunar; fail-open þýðir að sannprófandinn heldur áfram án þeirra. strongSwan birtir valið sem strictcrlpolicy. OpenVPN með crl-verify neitar að ræsa á skrá sem það getur ekki lesið eða þáttað, og útrunninn listi birtist sem TLS-sannprófunarvilla um útrunnið CRL í staðinn fyrir hljóðlaust samþykki.

Hverja leið sem þú velur skiptir sjálfvirknin meira máli en valið: starf sem endurskapar CRL fyrir nextUpdate, og viðvörun þegar uppsetta eintakið eldist, heldur hvort tveggja stefnanna frá því að verða atburður. Netathugun með OCSP færir ferskleikann til svarendans, en sama reglan gildir, því sannprófandi sem er ekki stilltur til að athuga svarið breytir engu.

Athugaðu virku lotuna, og síðan eintökin af lyklinum

Afturköllun er metin við vottorðasannprófun, sem fer fram við tengingu og við endursamning. Virk lota heldur áfram þar til hún semur aftur, og sjálfgefið gildi OpenVPN er einu sinni á klukkustund með reneg-sec 3600. Ef viðkomandi verður að fara af netinu núna skaltu ljúka lotunni ásamt því að birta listann, og staðfesta síðan að endurtengingunni sé hafnað.

Aðskildu skilríkin frá eintökunum af þeim. Að eyða sniði á einni fartölvu kemur ekki í veg fyrir að annað eintak af sama einkalykli sannvotti sig; afturköllun er það sem gerir hvert eintak gagnslaust, og aðeins þegar fyrri athuganirnar standast. Gefðu staðgengilstæki eigið vottorð svo hægt sé að afturkalla annað án þess að snerta hitt.

Áður en þú kallar það búið: sannprófandi einingin er skilgreind, útgefandi listans passar við útgefanda laufsins, afturkallaða raðnúmerið er í eintakinu sem daemoninn hlaði í raun, stefnan fyrir lista sem vantar eða er útrunninn er viljandi og fylgst með, og virku lotunni var lokið í staðinn fyrir að bíða. Sniðin að baki öllu þessu eru tilgreind í RFC 5280.