Клиент сертификаты жоғалды ма? Атымен емес, сериялық нөмірмен кері қайтарыңыз

Клиентіңіздің сертификат файлы жоғалып кетті, ал бірінші реакция — атауды кері қайтарып, жаңасын шығару. Бұл реакция бастапқы сертификатты жарамды күйде қалдырады, өйткені кері қайтару белгіге емес, сериялық нөмірге негізделеді. CA шығарғанының көшірмесін әлі де ұстап тұруы әбден мүмкін, сол көшірмені табу — бүкіл жұмыс.

Файлды жоғалту — CA жазбасын жоғалту емес

Easy-RSA PKI өзі шығарған ашық сертификаттарды сақтайды, ал қазіргі шығарылымдар серия бойынша көшірмелерді PKI ішіндегі certs_by_serial қалтасында архивтейді. Бірдеңені кері қайтару үшін жеке кілт қажет емес. Маңыздысы — CA қол қойған нақты сертификат, ол CA-да әлдеқашан бар.

Дұрыс PKI-нің сақтық көшірмесінде, оның иесі әкімшімен бірге жұмыс істеңіз. Кері қайтару — тексерілетін операция, түн ортасында өндірістік дерекқорда жасалатын жөндеу емес.

Клиенттің кіріктірілген ашық сертификатының көшірмесі де жарайды, егер орналастыру оны сақтап қалса.

Алдымен шығарушыны және серияны оқыңыз

Қалпына келтірілген PEM-ді қарап, шығарушыны, сериялық нөмірді, субъектіні және жарамдылық мерзімін жазып алыңыз. Сериялық нөмір бір шығарушының ауқымында бірегей, ортаңыздағы барлық CA бойынша емес, сондықтан шығарушы сәйкестендірудің бөлігі. Егер бірнеше сертификат бір субъектіні бөліссе, оларды дәл осы сериялар ажыратады.

Мәндерді CA жазбаларымен және сертификат бар деп есептеген құрылғы немесе адаммен салыстырыңыз.

Жалпы атауды қайта пайдалануға болады және әдетте солай болады. Сериялар жазылмайынша қай сертификаттарды кері қайтаруды шешпеңіз.

Жаңа сертификатты кері қайтару неге ештеңе істемейді

Сол жалпы атаумен алмастырғыш шығару басқа сериялы екінші сертификат жасайды. Алмастырғышты кері қайтару жаңасын алып, бастапқыны мерзімі біткенше жарамды қалдырады. CA көзқарасынан бұлар екі тәуелсіз нысан, ал CRL атауларды емес, серияларды тізімдейді. CA индексі әр шығарылған сертификат үшін дәл осы себеппен бір жол ұстайды.

Сол шатасу кері қатені тудырады: клиенттің файлын жою және CA оны ұмытты деп ойлау. Клиентте жою кері қайтару оқиғасы емес, ал көшірмесі бар кез келген адам үшін сертификат жұмысын жалғастырады.

Екі қате де атауды сәйкестендіру ретінде қараудан туындайды.

Серия атайтын сертификатты кері қайтарыңыз

CA-ға тимес бұрын нысанды анықтаңыз: openssl x509 -in recovered-client.pem -noout -issuer -serial -subject -dates төрт мәнді бір өтуде басып шығарады, ал CA мұрағатымен салыстыратыныңыз — серия. Easy-RSA бұл мұрағатты pki/certs_by_serial астында сақтайды, әр серияның атына бір файл. Кері қайтару пәрмені серияны емес, жалпы атауды қабылдайды, сондықтан мұрағатталған файлды pki/issued/<common-name>.crt орнына көшіріп, атау анықтаған нысанға сілтесін. PKI қалтасынан easyrsa revoke <common-name> іске қосыңыз, содан кейін index.txt ішіндегі сәйкес жолдың R болып өзгергенін тексеріңіз. Серия — нысанды таңдау тәсілі, пәрмен қабылдайтын аргумент емес.

openssl x509 -in recovered-client.pem -noout -issuer -serial -subject -dates
cp pki/certs_by_serial/A1B2C3D4.pem pki/issued/client-01.crt
./easyrsa revoke client-01
grep -n client-01 pki/index.txt
./easyrsa gen-crl

Егер index.txt R көрсетпесе, тоқтап, CRL жасамас бұрын қатені оқыңыз, өйткені әлі жарамды жазбадан құрылған CRL ештеңені кері қайтармайды. Жол өзгергеннен кейін ғана easyrsa gen-crl іске қосып, файлды таратуға көшесіз.

CRL-ді шын мәнінде қолданылатын жерде жариялаңыз

PKI-нің қолдау көрсетілген жұмыс ағынымен жаңа CRL жасаңыз, содан кейін оны осы шығарушының кері қайтаруларын қолданатын әрбір тексерушіге жариялаңыз.

CA-да жатқан жаңартылған файл ештеңені өзгертпейді, өйткені VPN шешімді өз тексерушісінде аяқтайды. CRL-дің шығарушысын, жарамдылық мерзімін және кері қайтарылған серияларды тексеріп, қызметтің файлды қайта жүктейтінін, алдыңғысын кэштемегенін растаңыз. Меншік және жол мазмұн сияқты маңызды: демон оқи алмайтын CRL ешбір CRL жоқтығынан айырмашылығы жоқ. OpenVPN-нің crl-verify опциясы демон оқитын файлды атайды, сондықтан сервер конфигурациясында сол жолды және файл меншігін тексеріңіз.

Файл уақыт белгісімен емес, нақты қосылу әрекетімен тексеріңіз.

CRL қашан дұрыс құрал емес екенін біліңіз

Егер шығарушының жеке кілтіне енді сенім жоқ болса, белгілі серияларды кері қайтару рұқсатсыз иеленушінің жаңа сертификаттарға қол қоюына кедергі бола алмайды. Бұл шығарушы сенімінің ауысуы, яғни жаңа CA және тарату жоспары, CRL-ге тағы бір жазба емес. Бұрынғы әкімшінің қол жеткізуі болғаны кілттің теріс пайдаланылғанына өздігінен дәлел болмайды, сондықтан сенімді қайта құрмас бұрын деректерді алыңыз.

Күй әрпін аудару үшін шығару дерекқорын қолмен өңдеу қол қойылған кері қайтарудың орнын баспайды және CRL-ді жазбалармен үйлесімсіз қалдырады.

Серияны, CRL-ді және тарату қадамын бір жазбада ұстаңыз, сонда келесі аудит оқу жаттығуына айналады. Easy-RSA жобасы сіз орнатқан шығарылым үшін қолдау көрсетілетін пәрмендерді құжаттайды және бұл жалғыз бағынуға тұрарлық интерфейс.