დაკარგეთ კლიენტის სერტიფიკატი? გააუქმეთ სერიული ნომრით, არა სახელით

თქვენი კლიენტის სერტიფიკატის ფაილი გაქრა და პირველი რეაქცია სახელის გაუქმება და ახლის გაცემაა. ეს რეაქცია ორიგინალ სერტიფიკატს ძალაში ტოვებს, რადგან გაუქმება სერიულ ნომერზე მუშაობს და არა ეტიკეტზე. CA თითქმის დარწმუნებით ინახავს გაცემულის ასლს და სწორედ ამ ასლის პოვნაა მთელი საქმე.

ფაილის დაკარგვა CA-ის ჩანაწერის დაკარგვა არ არის

Easy-RSA PKI ინახავს გაცემულ საჯარო სერტიფიკატებს, ხოლო მიმდინარე გამოშვებები სერიის მიხედვით ასლებსაც არქივებს PKI-ის certs_by_serial საქაღალდეში. კერძო გასაღები გაუქმებისთვის საჭირო არ არის. მთავარია ზუსტად ის სერტიფიკატი, რომელიც CA-მ ხელი მოაწერა და რომელიც CA-ს უკვე აქვს.

იმუშავეთ სწორი PKI-ის სარეზერვო ასლზე, მის მფლობელ ადმინისტრატორთან ერთად. გაუქმება აუდიტირებადი ოპერაციაა და არა შუაღამისას საწარმოო მონაცემთა ბაზაზე შესრულებული შეკეთება.

კლიენტის ჩაშენებული საჯარო სერტიფიკატის ასლიც გამოდგება, თუ განლაგებამ ერთი შეინახა.

ჯერ წაიკითხეთ გამცემი და სერია

შეამოწმეთ აღდგენილი PEM და ჩაწერეთ გამცემი, სერიული ნომერი, სუბიექტი და მოქმედების ვადა. სერიული ნომერი უნიკალურია ერთი გამცემის ფარგლებში და არა თქვენი გარემოს ყველა CA-ს შორის, ამიტომ გამცემი იდენტურობის ნაწილია. თუ რამდენიმე სერტიფიკატი ერთ სუბიექტს იზიარებს, სწორედ ეს სერიები განასხვავებს მათ.

შეადარეთ მნიშვნელობები CA-ის ჩანაწერებს და იმ მოწყობილობას ან პიროვნებას, რომელიც, თქვენი აზრით, სერტიფიკატს ფლობს.

საერთო სახელის ხელახლა გამოყენება შეიძლება და ჩვეულებრივ ასეც ხდება. ნუ გადაწყვეტთ, რომელი სერტიფიკატები გააუქმოთ, სანამ სერიები ჩაწერილი არ იქნება.

რატომ არაფერს აკეთებს ახალი სერტიფიკატის გაუქმება

იმავე საერთო სახელით შემცვლელის გაცემა ქმნის მეორე სერტიფიკატს სხვა სერიით. შემცვლელის გაუქმება ახალს იწვევს უკან და ორიგინალს ძალაში ტოვებს ვადის ამოწურვამდე. CA-ის თვალსაზრისით ეს ორი დამოუკიდებელი ობიექტია და CRL სერიებს ჩამოთვლის და არა სახელებს. CA-ის ინდექსი ზუსტად ამიტომ ინახავს ერთ სტრიქონს ყოველ გაცემულ სერტიფიკატზე.

იგივე დაბნეულობა საპირისპირო შეცდომას წარმოშობს: კლიენტის ფაილის წაშლა და ვარაუდი, რომ CA-მ ის დაივიწყა. კლიენტთან წაშლა გაუქმების მოვლენა არ არის და სერტიფიკატი განაგრძობს მუშაობას ყველასთვის, ვისაც ასლი აქვს.

ორივე შეცდომა სახელის იდენტურობად მიჩნევიდან მოდის.

გააუქმეთ სერტიფიკატი, რომელსაც სერია ასახელებს

იდენტიფიცირეთ ობიექტი CA-ზე შეხებამდე: openssl x509 -in recovered-client.pem -noout -issuer -serial -subject -dates ოთხ მნიშვნელობას ერთ გავლაში ბეჭდავს და სერიაა ის, რასაც CA-ის არქივს ადარებთ. Easy-RSA ამ არქივს pki/certs_by_serial-ის ქვეშ ინახავს, თითო ფაილი თითოეული სერიის სახელზე. გაუქმების ბრძანება საერთო სახელს იღებს და არა სერიას, ამიტომ დააკოპირეთ არქივირებული ფაილი pki/issued/<common-name>.crt-ში და სახელმა თქვენ მიერ იდენტიფიცირებულ ობიექტზე უნდა მიუთითოს. გაუშვით easyrsa revoke <common-name> PKI-ის საქაღალდიდან, შემდეგ შეამოწმეთ, რომ index.txt-ში შესაბამისი სტრიქონი R-ად შეიცვალა. სერია ობიექტის არჩევის გზაა და არა არგუმენტი, რომელსაც ბრძანება იღებს.

openssl x509 -in recovered-client.pem -noout -issuer -serial -subject -dates
cp pki/certs_by_serial/A1B2C3D4.pem pki/issued/client-01.crt
./easyrsa revoke client-01
grep -n client-01 pki/index.txt
./easyrsa gen-crl

თუ index.txt არ აჩვენებს R-ს, გაჩერდით და წაიკითხეთ შეცდომა CRL-ის შექმნამდე, რადგან ჯერ კიდევ ძალაში მყოფი ჩანაწერიდან აგებული CRL არაფერს იწვევს უკან. მხოლოდ სტრიქონის შეცვლის შემდეგ გაუშვით easyrsa gen-crl და გადადით ფაილის გავრცელებაზე.

გამოაქვეყნეთ CRL იქ, სადაც ის რეალურად სრულდება

შექმენით ახალი CRL PKI-ის მხარდაჭერილი სამუშაო პროცესით, შემდეგ გამოაქვეყნეთ ის ყველა ვერიფიკატორში, რომელიც ამ გამცემის გაუქმებებს ასრულებს.

CA-ზე მდებარე განახლებული ფაილი არაფერს ცვლის, რადგან VPN გადაწყვეტილებას საკუთარ ვერიფიკატორზე ამთავრებს. შეამოწმეთ CRL-ის გამცემი, მისი მოქმედების ვადა და გაუქმებული სერიები, და დაადასტურეთ, რომ სერვისი ფაილს ხელახლა ტვირთავს და არა წინას ქეშირებს. მფლობელობა და გზა შიგთავსივით მნიშვნელოვანია: CRL, რომელსაც დემონი ვერ წაიკითხავს, არ განსხვავდება CRL-ის არარსებობისგან. OpenVPN-ის crl-verify პარამეტრი ასახელებს ფაილს, რომელსაც დემონი კითხულობს, ამიტომ შეამოწმეთ ეს გზა და ფაილის მფლობელობა სერვერის კონფიგურაციაში.

დაადასტურეთ რეალური კავშირის მცდელობით და არა ფაილის დროის ნიშნით.

იცოდეთ, როდის არის CRL არასწორი ინსტრუმენტი

თუ გამცემის კერძო გასაღები აღარ არის სანდო, ცნობილი სერიების გაუქმება ვერ შეაჩერებს არაუფლებამოსილ მფლობელს ახალი სერტიფიკატების ხელმოწერაში. ეს გამცემის ნდობის გადასვლაა, ანუ ახალი CA და გავრცელების გეგმა და არა კიდევ ერთი ჩანაწერი CRL-ში. ყოფილი ადმინისტრატორის წვდომა თავისთავად არ არის გასაღების ბოროტად გამოყენების მტკიცებულება, ამიტომ ნდობის აღდგენამდე ფაქტები მოიპოვეთ.

გაცემის მონაცემთა ბაზის ხელით რედაქტირება სტატუსის ასოს გადასაბრუნებლად ხელმოწერილი გაუქმების შემცვლელი არ არის და CRL-ს ჩანაწერებთან შეუსაბამოდ ტოვებს.

შეინახეთ სერია, CRL და გავრცელების ნაბიჯი ერთ ჩანაწერში და შემდეგი აუდიტი კითხვის სავარჯიშო გახდება. Easy-RSA პროექტი ადასტურებს თქვენს მიერ დაყენებული გამოშვების მხარდაჭერილ ბრძანებებს და ეს ერთადერთი ინტერფეისია, რომლის მიყოლაც ღირს.