ಕ್ಲೈಂಟ್ ಪ್ರಮಾಣಪತ್ರ ಕಳೆದುಹೋಗಿದೆಯೇ? ಹೆಸರಿನಿಂದ ಅಲ್ಲ, ಸೀರಿಯಲ್‌ನಿಂದ ರದ್ದುಮಾಡಿ

ನಿಮ್ಮ ಕ್ಲೈಂಟ್‌ನ ಪ್ರಮಾಣಪತ್ರ ಫೈಲ್ ಮಾಯವಾಗಿದೆ, ಮತ್ತು ತಕ್ಷಣದ ಪ್ರತಿಕ್ರಿಯೆ ಹೆಸರನ್ನು ರದ್ದುಮಾಡಿ ಹೊಸದನ್ನು ನೀಡುವುದು. ಆ ಪ್ರತಿಕ್ರಿಯೆ ಮೂಲ ಪ್ರಮಾಣಪತ್ರವನ್ನು ಮಾನ್ಯವಾಗಿ ಬಿಡುತ್ತದೆ, ಏಕೆಂದರೆ ರದ್ದತಿ ಲೇಬಲ್‌ನ ಮೇಲಲ್ಲ, ಸೀರಿಯಲ್ ಸಂಖ್ಯೆಯ ಮೇಲೆ ಕೆಲಸ ಮಾಡುತ್ತದೆ. CA ತಾನು ನೀಡಿದ್ದರ ಪ್ರತಿಯನ್ನು ಬಹುತೇಕ ಖಚಿತವಾಗಿ ಇನ್ನೂ ಇಟ್ಟುಕೊಂಡಿದೆ, ಮತ್ತು ಆ ಪ್ರತಿಯನ್ನು ಹುಡುಕುವುದೇ ಇಡೀ ಕೆಲಸ.

ಫೈಲ್ ಕಳೆದುಕೊಳ್ಳುವುದು CA ದಾಖಲೆ ಕಳೆದುಕೊಳ್ಳುವುದಲ್ಲ

Easy-RSA PKI ತಾನು ನೀಡಿದ ಸಾರ್ವಜನಿಕ ಪ್ರಮಾಣಪತ್ರಗಳನ್ನು ಇಡುತ್ತದೆ, ಮತ್ತು ಪ್ರಸ್ತುತ ಆವೃತ್ತಿಗಳು PKI ಯ certs_by_serial ಡೈರೆಕ್ಟರಿಯಲ್ಲಿ ಸೀರಿಯಲ್ ಪ್ರಕಾರ ಪ್ರತಿಗಳನ್ನು ಸಹ ಸಂಗ್ರಹಿಸುತ್ತವೆ. ಏನನ್ನಾದರೂ ರದ್ದುಮಾಡಲು ಖಾಸಗಿ ಕೀ ಬೇಕಿಲ್ಲ. ಮುಖ್ಯವಾದದ್ದು CA ಸಹಿ ಮಾಡಿದ ನಿಖರ ಪ್ರಮಾಣಪತ್ರ, ಅದು CA ಬಳಿ ಈಗಾಗಲೇ ಇದೆ.

ಸರಿಯಾದ PKI ಯ ಬ್ಯಾಕಪ್ ಪ್ರತಿಯಲ್ಲಿ, ಅದರ ಮಾಲೀಕರಾದ ನಿರ್ವಾಹಕರೊಂದಿಗೆ ಕೆಲಸ ಮಾಡಿ. ರದ್ದತಿ ಪರಿಶೀಲನೀಯ ಕಾರ್ಯಾಚರಣೆ, ಮಧ್ಯರಾತ್ರಿ ಉತ್ಪಾದನಾ ಡೇಟಾಬೇಸ್‌ನಲ್ಲಿ ಮಾಡುವ ದುರಸ್ತಿ ಅಲ್ಲ.

ಕ್ಲೈಂಟ್‌ನ ಇನ್‌ಲೈನ್ ಸಾರ್ವಜನಿಕ ಪ್ರಮಾಣಪತ್ರದ ಪ್ರತಿಯೂ ಸರಿಹೊಂದುತ್ತದೆ, ನಿಯೋಜನೆ ಒಂದನ್ನು ಇಟ್ಟುಕೊಂಡಿದ್ದರೆ.

ಮೊದಲು ನೀಡುಗ ಮತ್ತು ಸೀರಿಯಲ್ ಓದಿ

ಮರುಪಡೆದ PEM ಅನ್ನು ಪರಿಶೀಲಿಸಿ ಮತ್ತು ನೀಡುಗ, ಸೀರಿಯಲ್ ಸಂಖ್ಯೆ, ವಿಷಯ ಮತ್ತು ಮಾನ್ಯತಾ ಅವಧಿಯನ್ನು ಬರೆಯಿರಿ. ಸೀರಿಯಲ್ ಸಂಖ್ಯೆ ಒಂದು ನೀಡುಗನ ವ್ಯಾಪ್ತಿಯಲ್ಲಿ ಅನನ್ಯ, ನಿಮ್ಮ ಪರಿಸರದ ಎಲ್ಲಾ CA ಗಳಲ್ಲಿ ಅಲ್ಲ, ಆದ್ದರಿಂದ ನೀಡುಗ ಗುರುತಿನ ಭಾಗ. ಹಲವು ಪ್ರಮಾಣಪತ್ರಗಳು ಒಂದೇ ವಿಷಯವನ್ನು ಹಂಚಿಕೊಂಡರೆ, ಅವುಗಳನ್ನು ಬೇರ್ಪಡಿಸುವುದು ಆ ಸೀರಿಯಲ್‌ಗಳೇ.

ಮೌಲ್ಯಗಳನ್ನು CA ದಾಖಲೆಗಳೊಂದಿಗೆ ಮತ್ತು ಪ್ರಮಾಣಪತ್ರ ಹೊಂದಿದೆ ಎಂದು ನೀವು ನಂಬುವ ಸಾಧನ ಅಥವಾ ವ್ಯಕ್ತಿಯೊಂದಿಗೆ ಹೊಂದಿಸಿ.

ಸಾಮಾನ್ಯ ಹೆಸರನ್ನು ಮತ್ತೆ ಬಳಸಬಹುದು, ಮತ್ತು ಸಾಮಾನ್ಯವಾಗಿ ಹಾಗೆ ಮಾಡಲಾಗುತ್ತದೆ. ಸೀರಿಯಲ್‌ಗಳನ್ನು ಬರೆಯುವ ಮೊದಲು ಯಾವ ಪ್ರಮಾಣಪತ್ರಗಳನ್ನು ಹಿಂತೆಗೆದುಕೊಳ್ಳಬೇಕೆಂದು ನಿರ್ಧರಿಸಬೇಡಿ.

ಹೊಸ ಪ್ರಮಾಣಪತ್ರವನ್ನು ರದ್ದುಮಾಡಿದರೆ ಏಕೆ ಏನೂ ಆಗುವುದಿಲ್ಲ

ಅದೇ ಸಾಮಾನ್ಯ ಹೆಸರಿನೊಂದಿಗೆ ಬದಲಿ ನೀಡಿದರೆ ಬೇರೆ ಸೀರಿಯಲ್‌ನ ಎರಡನೇ ಪ್ರಮಾಣಪತ್ರ ಸೃಷ್ಟಿಯಾಗುತ್ತದೆ. ಬದಲಿಯನ್ನು ರದ್ದುಮಾಡಿದರೆ ಹೊಸದು ಹಿಂತೆಗೆಯುತ್ತದೆ ಮತ್ತು ಮೂಲವು ಅದರ ಅವಧಿ ಮುಗಿಯುವವರೆಗೆ ಮಾನ್ಯವಾಗಿ ಉಳಿಯುತ್ತದೆ. CA ದೃಷ್ಟಿಯಿಂದ ಇವು ಎರಡು ಸ್ವತಂತ್ರ ವಸ್ತುಗಳು, ಮತ್ತು CRL ಹೆಸರುಗಳಲ್ಲ, ಸೀರಿಯಲ್‌ಗಳನ್ನು ಪಟ್ಟಿ ಮಾಡುತ್ತದೆ. CA ಸೂಚ್ಯಂಕ ಪ್ರತಿ ನೀಡಿದ ಪ್ರಮಾಣಪತ್ರಕ್ಕೂ ಒಂದು ಸಾಲು ಇಡುವುದು ಅದೇ ಕಾರಣಕ್ಕೆ.

ಅದೇ ಗೊಂದಲ ವಿಪರೀತ ತಪ್ಪನ್ನು ಸೃಷ್ಟಿಸುತ್ತದೆ: ಕ್ಲೈಂಟ್‌ನ ಫೈಲ್ ಅನ್ನು ಅಳಿಸಿ CA ಅದನ್ನು ಮರೆತಿದೆ ಎಂದು ಭಾವಿಸುವುದು. ಕ್ಲೈಂಟ್‌ನಲ್ಲಿ ಅಳಿಸುವುದು ರದ್ದತಿ ಘಟನೆ ಅಲ್ಲ, ಮತ್ತು ಪ್ರತಿ ಹೊಂದಿರುವ ಯಾರಿಗೂ ಪ್ರಮಾಣಪತ್ರ ಕೆಲಸ ಮಾಡುತ್ತಲೇ ಇರುತ್ತದೆ.

ಎರಡೂ ತಪ್ಪುಗಳು ಹೆಸರನ್ನು ಗುರುತಿನಂತೆ ಪರಿಗಣಿಸುವುದರಿಂದ ಬರುತ್ತವೆ.

ಸೀರಿಯಲ್ ಹೆಸರಿಸುವ ಪ್ರಮಾಣಪತ್ರವನ್ನು ರದ್ದುಮಾಡಿ

CA ಅನ್ನು ಮುಟ್ಟುವ ಮೊದಲು ವಸ್ತುವನ್ನು ಗುರುತಿಸಿ: openssl x509 -in recovered-client.pem -noout -issuer -serial -subject -dates ನಾಲ್ಕು ಮೌಲ್ಯಗಳನ್ನು ಒಂದೇ ಹಾದಿಯಲ್ಲಿ ಮುದ್ರಿಸುತ್ತದೆ, ಮತ್ತು CA ಆರ್ಕೈವ್‌ನೊಂದಿಗೆ ನೀವು ಹೊಂದಿಸುವುದು ಸೀರಿಯಲ್ ಅನ್ನು. Easy-RSA ಆ ಆರ್ಕೈವ್ ಅನ್ನು pki/certs_by_serial ಅಡಿಯಲ್ಲಿ ಇಡುತ್ತದೆ, ಪ್ರತಿ ಸೀರಿಯಲ್ ಹೆಸರಿನಲ್ಲಿ ಒಂದು ಫೈಲ್. ರದ್ದತಿ ಆಜ್ಞೆ ಸೀರಿಯಲ್ ಅಲ್ಲ, ಸಾಮಾನ್ಯ ಹೆಸರನ್ನು ತೆಗೆದುಕೊಳ್ಳುತ್ತದೆ, ಆದ್ದರಿಂದ ಸಂಗ್ರಹಿತ ಫೈಲ್ ಅನ್ನು pki/issued/<common-name>.crt ಗೆ ನಕಲಿಸಿ ಮತ್ತು ಹೆಸರು ನೀವು ಗುರುತಿಸಿದ ವಸ್ತುವನ್ನು ಸೂಚಿಸಲಿ. PKI ಡೈರೆಕ್ಟರಿಯಿಂದ easyrsa revoke <common-name> ಚಲಾಯಿಸಿ, ನಂತರ index.txt ನಲ್ಲಿನ ಸಂಬಂಧಿತ ಸಾಲು R ಆಗಿ ಬದಲಾಗಿದೆಯೇ ಎಂದು ಪರಿಶೀಲಿಸಿ. ಸೀರಿಯಲ್ ವಸ್ತುವನ್ನು ಆಯ್ಕೆ ಮಾಡುವ ವಿಧಾನ, ಆಜ್ಞೆ ಸ್ವೀಕರಿಸುವ ವಾದವಲ್ಲ.

openssl x509 -in recovered-client.pem -noout -issuer -serial -subject -dates
cp pki/certs_by_serial/A1B2C3D4.pem pki/issued/client-01.crt
./easyrsa revoke client-01
grep -n client-01 pki/index.txt
./easyrsa gen-crl

index.txt R ತೋರಿಸದಿದ್ದರೆ, ನಿಲ್ಲಿಸಿ ಮತ್ತು CRL ರಚಿಸುವ ಮೊದಲು ದೋಷವನ್ನು ಓದಿ, ಏಕೆಂದರೆ ಇನ್ನೂ ಮಾನ್ಯವಾದ ದಾಖಲೆಯಿಂದ ನಿರ್ಮಿಸಿದ CRL ಏನನ್ನೂ ಹಿಂತೆಗೆದುಕೊಳ್ಳುವುದಿಲ್ಲ. ಸಾಲು ಬದಲಾದ ನಂತರವೇ ನೀವು easyrsa gen-crl ಚಲಾಯಿಸಿ ಫೈಲ್ ವಿತರಣೆಗೆ ಮುಂದುವರಿಯುತ್ತೀರಿ.

CRL ನಿಜವಾಗಿ ಜಾರಿಯಾಗುವ ಸ್ಥಳದಲ್ಲೇ ಪ್ರಕಟಿಸಿ

PKI ಯ ಬೆಂಬಲಿತ ಕಾರ್ಯಪ್ರವಾಹದ ಮೂಲಕ ಹೊಸ CRL ರಚಿಸಿ, ನಂತರ ಈ ನೀಡುಗನ ರದ್ದತಿಗಳನ್ನು ಜಾರಿಗೊಳಿಸುವ ಪ್ರತಿ ಪರಿಶೀಲಕನಿಗೂ ಅದನ್ನು ಪ್ರಕಟಿಸಿ.

CA ಮೇಲೆ ಕುಳಿತಿರುವ ನವೀಕೃತ ಫೈಲ್ ಏನನ್ನೂ ಬದಲಿಸುವುದಿಲ್ಲ, ಏಕೆಂದರೆ VPN ತನ್ನದೇ ಪರಿಶೀಲಕನಲ್ಲಿ ನಿರ್ಣಯವನ್ನು ಮುಗಿಸುತ್ತದೆ. CRL ನ ನೀಡುಗ, ಅದರ ಮಾನ್ಯತಾ ಅವಧಿ ಮತ್ತು ರದ್ದಾದ ಸೀರಿಯಲ್‌ಗಳನ್ನು ಪರಿಶೀಲಿಸಿ, ಮತ್ತು ಸೇವೆ ಫೈಲ್ ಅನ್ನು ಮರುಲೋಡ್ ಮಾಡುತ್ತದೆಯೇ ಹೊರತು ಹಿಂದಿನದನ್ನು ಕ್ಯಾಶ್ ಮಾಡುವುದಿಲ್ಲ ಎಂದು ಖಚಿತಪಡಿಸಿ. ಮಾಲೀಕತ್ವ ಮತ್ತು ಮಾರ್ಗ ವಿಷಯದಷ್ಟೇ ಮುಖ್ಯ: ಡೀಮನ್ ಓದಲಾಗದ CRL ಯಾವುದೇ CRL ಇಲ್ಲದಿರುವುದಕ್ಕೆ ಸಮ. OpenVPN ನ crl-verify ಆಯ್ಕೆ ಡೀಮನ್ ಓದುವ ಫೈಲ್ ಅನ್ನು ಹೆಸರಿಸುತ್ತದೆ, ಆದ್ದರಿಂದ ಸರ್ವರ್ ಕಾನ್ಫಿಗ್‌ನಲ್ಲಿ ಆ ಮಾರ್ಗ ಮತ್ತು ಫೈಲ್‌ನ ಮಾಲೀಕತ್ವವನ್ನು ಪರಿಶೀಲಿಸಿ.

ಫೈಲ್‌ನ ಟೈಮ್‌ಸ್ಟ್ಯಾಂಪ್‌ನಿಂದ ಅಲ್ಲ, ನಿಜವಾದ ಸಂಪರ್ಕ ಪ್ರಯತ್ನದಿಂದ ಪರಿಶೀಲಿಸಿ.

CRL ಯಾವಾಗ ತಪ್ಪು ಸಾಧನ ಎಂದು ತಿಳಿಯಿರಿ

ನೀಡುಗನ ಖಾಸಗಿ ಕೀಗೆ ಇನ್ನು ನಂಬಿಕೆ ಇಲ್ಲದಿದ್ದರೆ, ತಿಳಿದ ಸೀರಿಯಲ್‌ಗಳನ್ನು ಹಿಂತೆಗೆದುಕೊಳ್ಳುವುದು ಅನಧಿಕೃತ ಹೊಂದಿರುವವರು ಹೊಸ ಪ್ರಮಾಣಪತ್ರಗಳಿಗೆ ಸಹಿ ಮಾಡುವುದನ್ನು ತಡೆಯಲಾರದು. ಅದು ನೀಡುಗ ನಂಬಿಕೆಯ ಪರಿವರ್ತನೆ, ಅಂದರೆ ಹೊಸ CA ಮತ್ತು ವಿತರಣಾ ಯೋಜನೆ, CRL ನಲ್ಲಿ ಇನ್ನೊಂದು ನಮೂದು ಅಲ್ಲ. ಮಾಜಿ ನಿರ್ವಾಹಕರಿಗೆ ಪ್ರವೇಶ ಇತ್ತು ಎಂಬುದು ಸ್ವತಃ ಕೀ ದುರುಪಯೋಗದ ಸಾಕ್ಷ್ಯವಲ್ಲ, ಆದ್ದರಿಂದ ನಂಬಿಕೆಯನ್ನು ಮರುನಿರ್ಮಿಸುವ ಮೊದಲು ಸತ್ಯಗಳನ್ನು ಸಂಗ್ರಹಿಸಿ.

ಸ್ಥಿತಿ ಅಕ್ಷರವನ್ನು ತಿರುಗಿಸಲು ನೀಡುವಿಕೆ ಡೇಟಾಬೇಸ್ ಅನ್ನು ಕೈಯಿಂದ ಸಂಪಾದಿಸುವುದು ಸಹಿ ಮಾಡಿದ ರದ್ದತಿಗೆ ಪರ್ಯಾಯವಲ್ಲ, ಮತ್ತು ಅದು CRL ಅನ್ನು ದಾಖಲೆಗಳೊಂದಿಗೆ ಅಸಂಗತವಾಗಿ ಬಿಡುತ್ತದೆ.

ಸೀರಿಯಲ್, CRL ಮತ್ತು ವಿತರಣಾ ಹಂತವನ್ನು ಒಂದೇ ಟಿಪ್ಪಣಿಯಲ್ಲಿ ಇಡಿ, ಮುಂದಿನ ಆಡಿಟ್ ಓದುವ ಅಭ್ಯಾಸವಾಗುತ್ತದೆ. Easy-RSA ಯೋಜನೆ ನೀವು ಸ್ಥಾಪಿಸಿದ ಆವೃತ್ತಿಗೆ ಬೆಂಬಲಿತ ಆಜ್ಞೆಗಳನ್ನು ದಾಖಲಿಸುತ್ತದೆ, ಮತ್ತು ಅನುಸರಿಸಲು ಯೋಗ್ಯವಾದ ಏಕೈಕ ಇಂಟರ್ಫೇಸ್ ಅದೇ.