VPN-vottorðaskrá: hvað CA-höfuðbók getur sannað
Mappa á þjóninum, CA-höfuðbók, afturköllunarlisti og lotutafla svara mismunandi spurningum. Haltu þeim aðskildum þegar þú skrásetur VPN-auðkenni.
Gáttin þín tekur við biðlara-vottorði sem hún hefur aldrei séð, því það sem hún er stillt með er traustur útgefandi, og vottorðið berst í handabandinu. Þannig á prótókollinn að virka, og þess vegna er skrá yfir möppu á þjóninum léleg skrá. Útgefandinn veit hvað hann bjó til, þjónninn veit hvað tengdist, og afturköllunarstaðan veit hvað var dregið til baka. Skrá sem blandar þessum þremur færslum endar á að fullyrða eitthvað sem engin þeirra sagði.
Gáttin treystir útgefanda, ekki skrá yfir skrár
Staðfesting ber saman framlagt vottorð við traustsakkeri, svo auðkenni sem sami útgefandi bjó til í gær tengist án þess að hafa nokkurn tíma verið til á diski þjónsins. Ekkert þarf að afrita til að það gerist, og enginn þarf að samþykkja það handvirkt. Því lýsa eigin færslur þjónsins komum, ekki heildinni af auðkennum sem gætu komið.
Öfugt bil er jafn óþægilegt. Mappa getur haldið útrunnum vottorðum, afturkölluðum og auðkennum sem gefin voru út fyrir tæki sem aldrei voru sett upp. Að telja skrár svarar hversu margar skrár eru til, sem er spurning sem enginn spurði. Byrjaðu í staðinn á færslunum sem bera merkingu.
Fjórar spurningar, fjórar mismunandi skrár
Hver færslugerð svarar einni spurningu vel og hinum illa, þess vegna virðist skýrsla sem sameinar þær fullkomin á meðan hún er röng á ákveðinn hátt. Taflan hér að neðan raðar þeim eftir spurningunni sem þær leysa, ekki eftir kerfinu sem framleiðir þær.
| Question you are answering | Where the answer lives | How quickly it changes | What it will never show |
|---|---|---|---|
| Was this identity ever created? | The issuer's issuance database | Only when something is issued | Whether the device still exists |
| Is a copy sitting on this host? | The paths you actually inspected | Whenever anyone copies files | Certificates that were never copied here |
| Has the issuer withdrawn it? | Published revocation state | When the issuer next publishes | Withdrawals that are not published yet |
| Is it connected right now? | The live session table | Continuously | Anything about past or future sessions |
Safn opinberra vottorða er ekki leyndarmál, þar sem það inniheldur enga einkalykla, en það er heldur ekki deilanlegt. Viðföng og tækjanöfn afhjúpa rekstrarupplýsingar, og skýrslan á að vera hjá þeim lesendum sem þurfa hana. Einkalyklar haldast algjörlega utan skrárinnar, því skráin þarf lýsigögn en ekki skírteini.
Útgefandi og raðnúmer er eina stöðuga lykillinn
Viðföng eru endurnýtt og skráarnöfn eru notuð aftur, svo nafn sem auðkenndi eitt tæki í fyrra getur nú auðkennt annað. Hvort tveggja er ekki lykill, og skýrsla byggð á hvorugu mun að lokum sameina tvö auðkenni í eina línu.
Parið útgefandi og raðnúmer auðkennir vottorð á einstakan hátt, og báðir reitir koma úr vottorðinu sjálfu. Skráðu þau með viðfanginu, gildisdögunum, upprunanum sem eintakið kom frá og ábyrgum aðila eða tæki. Bættu við afturköllunar- og uppsetningarstöðu sem aðskildum reitum með eigin athugunartíma, því vottorð innan gildistímabils síns er ekki sjálfkrafa heimilað. Þessar tvær staðreyndir lifa í mismunandi kerfum, og sameining þeirra felur það tilfelli þar sem auðkenni var dregið til baka á meðan skráin virðist enn í gildi.
Lestu eitt vottorð í einu
Villiteikn sem teygir sig yfir möppu er ekki runnviðmót, og það felur hvaða skrá framleiddi hvaða úttak. Lestu lýsigögnin fyrir hvert vottorð, og lestu afturköllunarhliðina úr eigin gögnum þess. OpenSSL x509 tilvísunin listar reitina sem þessir valkostir prenta.
openssl x509 -in <cert>.pem -noout -issuer -serial -subject -dates -fingerprint -sha256
openssl crl -in <issuer>.crl -noout -text | head -n 40Fyrir stýrða Easy-RSA PKI, spurðu útgáfugagnagrunninn í gegnum vinnuflæðið sem tólið styður í stað þess að gera ráð fyrir möppuskipulagi, og haltu frumeintökunum lesheimum á meðan skráin er sett saman. Höfuðbókarformið er nógu reglulegt til að telja gildar færslur og lista þær afturkölluðu án þess að opna gagnagrunninn handvirkt.
grep -c '^V' pki/index.txt
grep '^R' pki/index.txt | cut -f4,5Skrá sem stendur af sér næstu útgáfu
Einu sinni niðurhal möppu verður úrelt á þeirri stundu sem næsta vottorð er gefið út, svo byggðu skýrsluna úr útgáfuvinnuflæðinu og láttu hana uppfærast sem hluta af venjulegum rekstri. Það gerir skýrsluna líka endurgeranlega, sem skiptir máli þegar tveir eru ósammála um hvað var gefið út.
Notaðu niðurstöðuna fyrir ákvarðanir um endurnýjun og úreldingu, ekki sem töflureikniaðgerð. Að eyða staðbundnu eintaki ógildir ekki fjarlægu eintökin sem þegar eru til. Dragðu auðkennið til baka í gegnum stillta afturköllunar- og heimildavinnuflæðið, og skráðu síðan afturköllunina með dagsetningu hennar. Auðkenni sem er horfið af þjóninum en útgefandinn treystir enn hefur ekki verið úreld, og sá munur aðgreinir nákvæma skrá frá þeirri sem aðeins veitir huggun.