Afturkallaðir þú ranga VPN-vottorðið? Endurheimtumöguleikar og takmarkanir

Einhver afturkallaði vottorð í CA-stjórnborðinu og nú getur notandi ekki tengst. Fyrsta eðlishvötin er að finna afturköllunina, og hjá flestum PKI er hún ekki til: afturköllun er staðhæfing um raðnúmer, og studda leiðin til baka er nýtt vottorð, ekki öfugsnúin færsla. Farðu í gegnum prófin hér að neðan í réttri röð, því hvaða viðgerð þú mátt nota fer eftir ástæðukóðanum og því hvort lykillinn var einhvern tíma afhjúpaður.

Greindu vottorðið, ekki manneskjuna

Algeng nöfn endurtaka sig. Notandi sem skráði sig aftur á síðasta fjórðungi getur haft tvö vottorð með sama CN og mismunandi raðnúmerum, og afturköllun eins lætur hitt virka. Festu fyrst nákvæma hlutinn:

openssl x509 -in client.crt -noout -serial -issuer -subject -dates
openssl crl -in ca.crl -noout -text | head -40

Skrifaðu niður raðnúmerið, útgefandann, afturköllunardagsetninguna og ástæðuna sem skráð er í CRL. Staðfestu síðan hvaða tæki framvísa því raðnúmeri, því afturkallað vottorð getur enn verið uppsett á fartölvu, síma og varabúnaði, og staðgengill sem nær aðeins til eins þeirra veldur öðru atviki.

Hröð hegðunarprófun staðfestir stöðuna án þess að breyta nokkru:

openssl verify -crl_check -CAfile ca.crt -CRLfile ca.crl client.crt

Ef hún tilkynnir vottorðið afturkallað eru CRL og biðlarinn sammála; ef það staðfestist hreint er biðlarinn sem þú heldur á ekki sá afturkallaði, og leitin heldur áfram.

Athugaðu hvort CA notaði bið eða varanlega afturköllun

RFC 5280 skilgreinir certificateHold sem tímabundið ástand og removeFromCRL sem merkið sem leysir það. Sá lífsferill er raunverulegur, en hann er ekki almenn afturköllunarhnappur. Að lesa ástæðukóðann segir þér hvort útgefandinn hafi einhvern tíma ætlað að styðja losun.

Gildran er að gera ráð fyrir að tímabundin ætlun þýði tímabundna færslu. Ef CA-færslan ber keyCompromise eða cessationOfOperation er vottorðið varanlega afturkallað, sama hvað manneskjan sem ýtti á hnappinn ætlaði. Öfugt er færsla merkt certificateHold á CA sem innleiðir ekki losun biðar varanleg í reynd, því ekkert mun nokkurn tíma birta losunina.

CA sem byggja á OpenSSL sýna takmörkin. Skipunin ca tekur við -crl_reason gildum, þar á meðal certificateHold og removeFromCRL, en hún býr ekki til delta-CRL — OpenSSL CA skjölin nefna þá takmörkun fyrir CRL-úttak sitt. Fullt CRL sem sleppir raðnúmerinu einfaldlega er önnur birtingarlíkan en delta sem segir "þessi færsla er leyst", svo að líma removeFromCRL í OpenSSL-undirstaða VPN-CA framleiðir ekki losunina sem staðlarnir skilgreina.

Ef lykillinn gæti hafa verið afhjúpaður, skiptu honum út

Afturkallað vottorð er yfirlýsing um að ekki megi treysta þessum lykli lengur. Ef afturköllunin var efnislega rétt — fartölva týndist, lykill afritaður á sameiginlegan disk, einkalykill límdur í miða — þá snýr endurheimt sama vottorðs við öryggisákvörðun sem virkaði eins og ætlað var.

Gefðu út nýtt lykilpar í gegnum skráningarferlið, dreifðu nýja prófnum og láttu gamla raðnúmerið vera afturkallað allan líftíma þess. Uppfærðu allt sem festir auðkenni við raðnúmer eða fingrafar, þar á meðal aðgangslistum, tækjaskrám og vöktun sem væntir ákveðins vottorðs.

Þægindarökin fyrir því að endurheimta gamla eru raunveruleg, en svara verður þeim berum orðum, ekki í hljóði. "Notandinn þarf aðgang í dag" er ástæða til að flýta útgáfunni, ekki ástæða til að afturkalla afturköllun lykils sem þú getur ekki gert grein fyrir.

Ef um stjórnunarmistök var að ræða, skiptu út undir stjórn

Þegar afturköllunin var einfaldlega röng og lykillinn var aldrei afhjúpaður, er viðgerðin samt stýrð skipti en ekki ritstjórn. Notaðu studda ferli útgefandans, haltu raðnúmerinu og útgáfusögunni óskertum, og forðastu tvær freistandi flýtileiðir: að snúa stöðumerkinu í index.txt úr R aftur í V, og að eyða útgáfulínunni svo nýtt vottorð geti endurnýtt raðnúmerið.

Á OpenSSL-CA er gagnagrunnurinn aðskilinn með dálkabilum og auðvelt að lesa hann rangt, sem gerir handvirkar breytingar freistandi:

awk -F'\t' '$1=="R" {print $4, $3, $6}' index.txt

Lestu hann, skrifaðu hann ekki. Breyting á skránni breytir næsta CRL án nokkurra endurskoðunarslóða, og hver önnur CA-tilvik eða öryggisafrit sem enn heldur upprunalegu línunni mun síðar vera ósammála henni.

Eftir að staðgengillinn er gefinn út skaltu birta friskt CRL með venjulegu ferli og láta biðlara sækja það. Að fjarlægja CRL, stytta líftíma þess í núll eða slökkva á afturköllunarprófun í biðlaraprófinu lagar einn notanda með því að veikja allar aðrar afturkallanir sem CA hefur nokkurn tíma birt.

Staðfestu ferska aðild og varðveittu skráninguna

Prófaðu með nýrri tengingu, ekki lotunni sem þegar var opin. Lifandi göng geta ekki endurkeyrt aðildarprófin sem ný handaband framkvæmir, og CRL-skyndiminni þýða að biðlari getur haldið áfram að tengjast þar til hann endurnýjast. Aftengdu, tengdu aftur og staðfestu í þjónustuskránni hvaða raðnúmer var tekið gilt.

Skráðu hvað gerðist meðan það er enn ferskt: hvaða raðnúmer var afturkallað, af hverjum, með hvaða ástæðu, hvaða staðgengill var gefinn út og hvenær CRL var birt aftur. Sú skráning er það sem gerir næstu afturköllunarúttekt mögulega, og hún er líka sönnunin fyrir því að mistakið var meðhöndlað en ekki falið.

Fyrir stuttar stöðvanir í framtíðinni skaltu nota aðildarhlésferli ef uppsetningin hefur slíkt — reikningur óvirkjaður í auðkennislaginu, aðild að hópi fjarlægð, biðlarapróf haldið eftir. Það heldur tímabundinni stefnuákvörðun aðskilinni frá spurningunni um hvort útgefið vottorð sé enn traustvekjandi, og einmitt sá munur týndist í fyrsta skipti.