Қате VPN сертификатын қайтарып алдыңыз ба? Қалпына келтіру нұсқалары мен шектеулер

Біреу CA консолінде сертификатты қайтарып алды, енді пайдаланушы қосыла алмайды. Бірінші сезім — болдырмауды іздеу, ал көптеген PKI-де ол жоқ: қайтарып алу — сериялық нөмір туралы жарияланған факт, ал қолдау көрсетілген қайту жолы — жаңа сертификат, кері бұрылған жазба емес. Төмендегі тексерулерді ретімен орындаңыз, өйткені қандай жөндеуге рұқсат етілгені себеп кодына және кілттің бұрын-соңды ашылғанына байланысты.

Сертификатты анықтаңыз, адамды емес

Жалпы атаулар қайталанады. Өткен тоқсанда қайта тіркелген пайдаланушының бірдей CN және әртүрлі сериялық нөмірлері бар екі сертификаты болуы мүмкін, ал біреуін қайтарып алу екіншісін жұмыс істеуінде қалдырады. Алдымен нақты нысанды анықтаңыз:

openssl x509 -in client.crt -noout -serial -issuer -subject -dates
openssl crl -in ca.crl -noout -text | head -40

Сериялық нөмірді, эмитентті, қайтарып алу күнін және CRL-де тіркелген себепті жазыңыз. Содан кейін сол сериялық нөмірді ұсынатын құрылғыларды анықтаңыз, өйткені қайтарып алынған сертификат әлі ноутбукте, телефонда және қосалқы маршрутизаторда орнатылған болуы мүмкін, ал олардың тек біреуіне жететін ауыстыру екінші оқиғаны тудырады.

Жылдам мінез-құлық тексерісі ештеңе өзгертпей-ақ күйді растайды:

openssl verify -crl_check -CAfile ca.crt -CRLfile ca.crl client.crt

Егер ол сертификатты қайтарып алынған деп хабарласа, CRL мен клиент келіседі; егер ол таза тексерілсе, сіздің қолыңыздағы клиент қайтарып алынған емес, және іздеу жалғасады.

CA ұстап тұруды немесе тұрақты қайтарып алуды қолданғанын тексеріңіз

RFC 5280 certificateHold-ні уақытша күй, ал removeFromCRL-ні оны босататын сигнал ретінде анықтайды. Бұл өмірлік цикл шынайы, бірақ ол жалпы болдырмау түймесі емес. Себеп кодын оқу эмитенттің босатуды қолдауды әйтеуір көздегенін айтады.

Тұзақ — уақытша ниет уақытша жазбаны білдіреді деп болжау. Егер CA жазбасында keyCompromise немесе cessationOfOperation болса, түймені басқан адамның ниетіне қарамастан сертификат тұрақты түрде қайтарып алынған. Керісінше, ұстап тұруды босатуды іске асырмайтын CA-да certificateHold деп белгіленген жазба іс жүзінде тұрақты, өйткені ештеңе босатуды ешқашан жарияламайды.

OpenSSL негізіндегі CA-лар шектеуді көрсетеді. ca командасы -crl_reason мәндерін қабылдайды, оның ішінде certificateHold және removeFromCRL, бірақ дельта CRL жасамайды — OpenSSL CA құжаттамасы өзінің CRL шығысы үшін осы шектеуді атайды. Сериялық нөмірді жай ғана тыс қалдыратын толық CRL "бұл жазба босатылды" дейтін дельтадан өзге жариялау моделі, сондықтан removeFromCRL-ні OpenSSL негізіндегі VPN CA-ға қою стандарттармен айқындалған босатуды бермейді.

Егер кілт ашылған болуы мүмкін болса, оны ауыстырыңыз

Қайтарып алынған сертификат — бұл кілтке енді сенуге болмайтыны туралы мәлімдеме. Егер қайтарып алу мәні бойынша дұрыс болса — ноутбук жоғалды, кілт ортақ дискіге көшірілді, жеке кілт билетке қойылды — сол сертификатты қалпына келтіру әдейі жұмыс істеп тұрған қауіпсіздік шешімін кері қайтарады.

Тіркеу процесі арқылы жаңа кілт жұбын шығарыңыз, жаңа профильді таратыңыз және ескі сериялық нөмірді оның бүкіл өмірі бойы қайтарып алынған күйде қалдырыңыз. Сериялық нөмір немесе саусақ ізі бойынша сәйкестікті бекітетін барлық нәрсені жаңартыңыз, соның ішінде рұқсат тізімдері, құрылғы түгендеуі және белгілі бір сертификатты күтетін мониторинг.

Ескісін қалпына келтірудің ыңғайлылық дәлелі шынайы, бірақ оған ашық жауап беру керек, үнсіз емес. "Пайдаланушыға бүгін қатысу қажет" — шығаруды жеделдетуге себеп, есеп бере алмайтын кілттің қайтарып алынуын болдырмауға себеп емес.

Егер бұл әкімшілік қате болса, бақылаумен ауыстырыңыз

Қайтарып алу жай ғана қате болып, кілт ешқашан ашылмаған жағдайда, жөндеу әлі де өңдеу емес, бақыланатын ауыстыру болып қалады. Эмитенттің қолдау көрсетілген процесін пайдаланыңыз, сериялық нөмір мен шығару тарихын бүлінбеген күйде ұстаңыз және екі азғызарлық жалған жолдан аулақ болыңыз: index.txt ішіндегі мәртебе таңбасын R-тен қайта V-ке айналдыру және жаңа сертификат сериялық нөмірді қайта пайдалана алуы үшін шығару жолын жою.

OpenSSL CA-да дерекқор табуляциямен бөлінген және оны қате оқу оңай, бұл қолмен өңдеуді тартымды етеді:

awk -F'\t' '$1=="R" {print $4, $3, $6}' index.txt

Оны оқыңыз, жазбаңыз. Файлды өңдеу келесі CRL-ді ешқандай аудит ізінсіз өзгертеді, ал түпнұсқа жолды әлі ұстап тұрған кез келген екінші CA данасы немесе сақтық көшірме кейін онымен қайшы келеді.

Ауыстыруды шығарғаннан кейін қалыпты механизм арқылы жаңа CRL жариялаңыз және клиенттерге оны алуға рұқсат етіңіз. CRL-ді жою, оның өмірін нөлге қысқарту немесе клиент профилінде қайтарып алуды тексеруді өшіру CA бұрын-соңды жариялаған барлық басқа қайтарып алуды әлсірету арқылы бір пайдаланушыны түзейді.

Жаңа рұқсатты растаңыз және жазбаны сақтаңыз

Жаңа қосылыммен тексеріңіз, бұрын ашылған сессиямен емес. Тірі туннель жаңа қол алысудың орындайтын рұқсат тексерулерін қайта іске қоспауы мүмкін, ал CRL кэштері клиенттің жаңарғанша қосылуды жалғастыра алатынын білдіреді. Ажыратыңыз, қайта қосылыңыз және сервер журналында қай сериялық нөмірдің қабылданғанын растаңыз.

Болған жағдайды әлі жаңа кезінде жазып алыңыз: қай сериялық нөмір қайтарып алынды, кім, қандай себеппен, қандай ауыстыру шығарылды және CRL қашан қайта жарияланды. Сол жазба келесі қайтарып алу шолуын мүмкін етеді және қатенің жасырылмай, реттелгенінің дәлелі болады.

Болашақта қысқа тоқтатулар үшін, орналастыруда болса, рұқсатты кідірту механизмін пайдаланыңыз — сәйкестік қабатында өшірілген аккаунт, жойылған топ мүшелігі, ұсталған клиент профилі. Бұл уақытша саясат шешімін шығарылған сертификаттың әлі сенімді ме деген сұрақтан бөлек ұстайды, және дәл осы айырмашылық бірінші рет жоғалған.