ತಪ್ಪಾದ VPN ಪ್ರಮಾಣಪತ್ರವನ್ನು ರದ್ದುಗೊಳಿಸಿದ್ದೀರಾ? ಮರುಪ್ರಾಪ್ತಿ ಆಯ್ಕೆಗಳು ಮತ್ತು ಮಿತಿಗಳು

ಯಾರೋ CA ಕನ್ಸೋಲ್ನಲ್ಲಿ ಪ್ರಮಾಣಪತ್ರವನ್ನು ರದ್ದುಗೊಳಿಸಿದ್ದಾರೆ ಮತ್ತು ಈಗ ಬಳಕೆದಾರರು ಸಂಪರ್ಕಿಸಲು ಸಾಧ್ಯವಿಲ್ಲ. ಮೊದಲ ಪ್ರವೃತ್ತಿ ರದ್ದತಿಯನ್ನು ಹುಡುಕುವುದು, ಮತ್ತು ಹೆಚ್ಚಿನ PKIಗಳಲ್ಲಿ ಅದು ಇಲ್ಲ: ರದ್ದತಿಯು ಸೀರಿಯಲ್ ಸಂಖ್ಯೆಯ ಬಗ್ಗೆ ಘೋಷಿಸಲಾದ ಸತ್ಯವಾಗಿದೆ, ಮತ್ತು ಬೆಂಬಲಿತ ಹಿಂತಿರುಗುವ ಮಾರ್ಗವು ಹೊಸ ಪ್ರಮಾಣಪತ್ರವಾಗಿದೆ, ಹಿಮ್ಮುಖ ದಾಖಲೆ ಅಲ್ಲ. ಕೆಳಗಿನ ಪರಿಶೀಲನೆಗಳನ್ನು ಕ್ರಮವಾಗಿ ಮಾಡಿ, ಏಕೆಂದರೆ ಯಾವ ದುರಸ್ತಿ ನಿಮಗೆ ಅನುಮತಿಸಲಾಗಿದೆ ಎಂಬುದು ಕಾರಣ ಕೋಡ್ ಮತ್ತು ಕೀ ಎಂದಾದರೂ ಬಹಿರಂಗವಾಗಿದೆಯೇ ಎಂಬುದನ್ನು ಅವಲಂಬಿಸಿದೆ.

ಪ್ರಮಾಣಪತ್ರವನ್ನು ಗುರುತಿಸಿ, ವ್ಯಕ್ತಿಯನ್ನಲ್ಲ

ಸಾಮಾನ್ಯ ಹೆಸರುಗಳು ಪುನರಾವರ್ತಿಸುತ್ತವೆ. ಕಳೆದ ತ್ರೈಮಾಸಿಕದಲ್ಲಿ ಮರು-ನೋಂದಣಿ ಮಾಡಿದ ಬಳಕೆದಾರರು ಒಂದೇ CN ಮತ್ತು ವಿಭಿನ್ನ ಸೀರಿಯಲ್ ಸಂಖ್ಯೆಗಳೊಂದಿಗೆ ಎರಡು ಪ್ರಮಾಣಪತ್ರಗಳನ್ನು ಹೊಂದಿರಬಹುದು, ಮತ್ತು ಒಂದನ್ನು ರದ್ದುಗೊಳಿಸಿದರೆ ಇನ್ನೊಂದು ಕೆಲಸ ಮಾಡುತ್ತದೆ. ಮೊದಲು ನಿಖರವಾದ ವಸ್ತುವನ್ನು ನಿರ್ಧರಿಸಿ:

openssl x509 -in client.crt -noout -serial -issuer -subject -dates
openssl crl -in ca.crl -noout -text | head -40

ಸೀರಿಯಲ್ ಸಂಖ್ಯೆ, ನೀಡುವವರು, ರದ್ದತಿ ದಿನಾಂಕ ಮತ್ತು CRLನಲ್ಲಿ ದಾಖಲಾದ ಕಾರಣವನ್ನು ಬರೆಯಿರಿ. ನಂತರ ಆ ಸೀರಿಯಲ್ ಸಂಖ್ಯೆಯನ್ನು ಪ್ರಸ್ತುತಪಡಿಸುವ ಸಾಧನಗಳನ್ನು ಖಚಿತಪಡಿಸಿ, ಏಕೆಂದರೆ ರದ್ದಾದ ಪ್ರಮಾಣಪತ್ರವು ಇನ್ನೂ ಲ್ಯಾಪ್ಟಾಪ್, ಫೋನ್ ಮತ್ತು ಬಿಡಿ ರೌಟರ್ನಲ್ಲಿ ಸ್ಥಾಪಿತವಾಗಿರಬಹುದು, ಮತ್ತು ಅವುಗಳಲ್ಲಿ ಒಂದಕ್ಕೆ ಮಾತ್ರ ತಲುಪುವ ಬದಲಿ ಎರಡನೇ ಘಟನೆಯನ್ನು ಉಂಟುಮಾಡುತ್ತದೆ.

ತ್ವರಿತ ವರ್ತನೆ ಪರಿಶೀಲನೆ ಏನನ್ನೂ ಬದಲಾಯಿಸದೆ ಸ್ಥಿತಿಯನ್ನು ಖಚಿತಪಡಿಸುತ್ತದೆ:

openssl verify -crl_check -CAfile ca.crt -CRLfile ca.crl client.crt

ಅದು ಪ್ರಮಾಣಪತ್ರವನ್ನು ರದ್ದಾಗಿ ವರದಿ ಮಾಡಿದರೆ, CRL ಮತ್ತು ಕ್ಲೈಂಟ್ ಒಪ್ಪುತ್ತವೆ; ಅದು ಸ್ವಚ್ಛವಾಗಿ ಪರಿಶೀಲಿಸಿದರೆ, ನಿಮ್ಮ ಕೈಯಲ್ಲಿರುವ ಕ್ಲೈಂಟ್ ರದ್ದಾದದ್ದಲ್ಲ, ಮತ್ತು ಹುಡುಕಾಟ ಮುಂದುವರಿಯುತ್ತದೆ.

CA ಹಿಡಿತ ಅಥವಾ ಶಾಶ್ವತ ರದ್ದತಿಯನ್ನು ಬಳಸಿದೆಯೇ ಎಂದು ಪರಿಶೀಲಿಸಿ

RFC 5280 certificateHold ಅನ್ನು ತಾತ್ಕಾಲಿಕ ಸ್ಥಿತಿ ಮತ್ತು removeFromCRL ಅನ್ನು ಅದನ್ನು ಬಿಡುಗಡೆ ಮಾಡುವ ಸಂಕೇತ ಎಂದು ವ್ಯಾಖ್ಯಾನಿಸುತ್ತದೆ. ಆ ಜೀವನಚಕ್ರ ನಿಜವಾದದ್ದು, ಆದರೆ ಅದು ಸಾಮಾನ್ಯ ರದ್ದತಿ ಬಟನ್ ಅಲ್ಲ. ಕಾರಣ ಕೋಡ್ ಓದುವುದು ನೀಡುವವರು ಎಂದಾದರೂ ಬಿಡುಗಡೆಯನ್ನು ಬೆಂಬಲಿಸಲು ಉದ್ದೇಶಿಸಿದ್ದರೇ ಎಂದು ಹೇಳುತ್ತದೆ.

ಬಲೆ ಎಂದರೆ ತಾತ್ಕಾಲಿಕ ಉದ್ದೇಶವು ತಾತ್ಕಾಲಿಕ ದಾಖಲೆಯನ್ನು ಸೂಚಿಸುತ್ತದೆ ಎಂದು ಊಹಿಸುವುದು. CA ನಮೂದು keyCompromise ಅಥವಾ cessationOfOperation ಹೊಂದಿದ್ದರೆ, ಬಟನ್ ಒತ್ತಿದ ವ್ಯಕ್ತಿಯ ಉದ್ದೇಶ ಏನೇ ಇರಲಿ, ಪ್ರಮಾಣಪತ್ರವು ಶಾಶ್ವತವಾಗಿ ರದ್ದಾಗಿದೆ. ವಿರುದ್ಧವಾಗಿ, ಹಿಡಿತ-ಬಿಡುಗಡೆಯನ್ನು ಜಾರಿಗೊಳಿಸದ CAನಲ್ಲಿ certificateHold ಎಂದು ಗುರುತಿಸಲಾದ ನಮೂದು ಪ್ರಾಯೋಗಿಕವಾಗಿ ಶಾಶ್ವತವಾಗಿದೆ, ಏಕೆಂದರೆ ಬಿಡುಗಡೆಯನ್ನು ಯಾವುದೂ ಎಂದಿಗೂ ಪ್ರಕಟಿಸುವುದಿಲ್ಲ.

OpenSSL-ಆಧಾರಿತ CAಗಳು ಮಿತಿಯನ್ನು ವಿವರಿಸುತ್ತವೆ. ca ಆದೇಶವು -crl_reason ಮೌಲ್ಯಗಳನ್ನು ಸ್ವೀಕರಿಸುತ್ತದೆ, ಅವುಗಳಲ್ಲಿ certificateHold ಮತ್ತು removeFromCRL ಸೇರಿವೆ, ಆದರೆ ಡೆಲ್ಟಾ CRLಗಳನ್ನು ಉತ್ಪಾದಿಸುವುದಿಲ್ಲ — OpenSSL CA ದಾಖಲೆಗಳು ತಮ್ಮ CRL ಔಟ್ಪುಟ್ಗೆ ಈ ಮಿತಿಯನ್ನು ಹೇಳುತ್ತವೆ. ಸೀರಿಯಲ್ ಸಂಖ್ಯೆಯನ್ನು ಸುಮ್ಮನೆ ಬಿಟ್ಟುಬಿಡುವ ಪೂರ್ಣ CRL "ಈ ನಮೂದು ಬಿಡುಗಡೆಯಾಗಿದೆ" ಎನ್ನುವ ಡೆಲ್ಟಾಗಿಂತ ಬೇರೆ ಪ್ರಕಟಣೆ ಮಾದರಿಯಾಗಿದೆ, ಆದ್ದರಿಂದ OpenSSL-ಆಧಾರಿತ VPN CAಗೆ removeFromCRL ಅಂಟಿಸುವುದು ಮಾನಕಗಳಿಂದ ವ್ಯಾಖ್ಯಾನಿಸಲಾದ ಬಿಡುಗಡೆಯನ್ನು ನೀಡುವುದಿಲ್ಲ.

ಕೀ ಬಹಿರಂಗವಾಗಿರಬಹುದಾದರೆ, ಅದನ್ನು ಬದಲಾಯಿಸಿ

ರದ್ದಾದ ಪ್ರಮಾಣಪತ್ರವು ಈ ಕೀಗೆ ಇನ್ನು ನಂಬಿಕೆ ಇಡಲಾಗದು ಎಂಬ ಘೋಷಣೆಯಾಗಿದೆ. ರದ್ದತಿಯು ವಸ್ತುತಃ ಸರಿಯಾಗಿದ್ದರೆ — ಲ್ಯಾಪ್ಟಾಪ್ ಕಳೆದುಹೋಯಿತು, ಕೀ ಹಂಚಿದ ಡಿಸ್ಕ್ಗೆ ನಕಲಿಸಲಾಯಿತು, ಖಾಸಗಿ ಕೀ ಟಿಕೆಟ್ನಲ್ಲಿ ಅಂಟಿಸಲಾಯಿತು — ಅದೇ ಪ್ರಮಾಣಪತ್ರವನ್ನು ಮರುಸ್ಥಾಪಿಸುವುದು ಉದ್ದೇಶಿಸಿದಂತೆ ಕೆಲಸ ಮಾಡುತ್ತಿದ್ದ ಭದ್ರತಾ ನಿರ್ಧಾರವನ್ನು ಹಿಮ್ಮುಖಗೊಳಿಸುತ್ತದೆ.

ನೋಂದಣಿ ಪ್ರಕ್ರಿಯೆಯ ಮೂಲಕ ಹೊಸ ಕೀ ಜೋಡಿಯನ್ನು ನೀಡಿ, ಹೊಸ ಪ್ರೊಫೈಲ್ ವಿತರಿಸಿ, ಮತ್ತು ಹಳೆಯ ಸೀರಿಯಲ್ ಸಂಖ್ಯೆಯನ್ನು ಅದರ ಇಡೀ ಜೀವಿತಾವಧಿಯಲ್ಲಿ ರದ್ದಾಗಿ ಬಿಡಿ. ಸೀರಿಯಲ್ ಸಂಖ್ಯೆ ಅಥವಾ ಬೆರಳಚ್ಚಿನಿಂದ ಗುರುತನ್ನು ಪಿನ್ ಮಾಡುವ ಎಲ್ಲವನ್ನೂ ನವೀಕರಿಸಿ, ಅವುಗಳಲ್ಲಿ ಪ್ರವೇಶ ಪಟ್ಟಿಗಳು, ಸಾಧನ ದಾಸ್ತಾನುಗಳು ಮತ್ತು ನಿರ್ದಿಷ್ಟ ಪ್ರಮಾಣಪತ್ರವನ್ನು ನಿರೀಕ್ಷಿಸುವ ಮೇಲ್ವಿಚಾರಣೆ ಸೇರಿವೆ.

ಹಳೆಯದನ್ನು ಮರುಸ್ಥಾಪಿಸುವ ಅನುಕೂಲತೆಯ ವಾದ ನಿಜವಾದದ್ದು, ಆದರೆ ಅದಕ್ಕೆ ಸ್ಪಷ್ಟವಾಗಿ ಉತ್ತರಿಸಬೇಕು, ಮೌನವಾಗಲ್ಲ. "ಬಳಕೆದಾರರಿಗೆ ಇಂದು ಪ್ರವೇಶ ಬೇಕು" ಎಂಬುದು ನೀಡುವಿಕೆಯನ್ನು ವೇಗಗೊಳಿಸುವ ಕಾರಣ, ನೀವು ಲೆಕ್ಕ ನೀಡಲಾಗದ ಕೀಯ ರದ್ದತಿಯನ್ನು ಹಿಂಪಡೆಯುವ ಕಾರಣವಲ್ಲ.

ಅದು ಆಡಳಿತಾತ್ಮಕ ತಪ್ಪಾಗಿದ್ದರೆ, ನಿಯಂತ್ರಣದಲ್ಲಿ ಬದಲಾಯಿಸಿ

ರದ್ದತಿಯು ಕೇವಲ ತಪ್ಪಾಗಿದ್ದು ಕೀ ಎಂದಿಗೂ ಬಹಿರಂಗವಾಗದಿದ್ದಾಗ, ದುರಸ್ತಿ ಇನ್ನೂ ಸಂಪಾದನೆಯಲ್ಲ, ನಿಯಂತ್ರಿತ ಬದಲಿಯಾಗಿದೆ. ನೀಡುವವರ ಬೆಂಬಲಿತ ಪ್ರಕ್ರಿಯೆಯನ್ನು ಬಳಸಿ, ಸೀರಿಯಲ್ ಸಂಖ್ಯೆ ಮತ್ತು ನೀಡುವಿಕೆ ಇತಿಹಾಸವನ್ನು ಅಖಂಡವಾಗಿ ಇರಿಸಿ, ಮತ್ತು ಎರಡು ಆಮಿಷದ ಶಾರ್ಟ್ಕಟ್ಗಳನ್ನು ತಪ್ಪಿಸಿ: index.txt ನಲ್ಲಿ ಸ್ಥಿತಿ ಅಕ್ಷರವನ್ನು R ನಿಂದ ಮತ್ತೆ V ಗೆ ತಿರುಗಿಸುವುದು, ಮತ್ತು ಹೊಸ ಪ್ರಮಾಣಪತ್ರವು ಸೀರಿಯಲ್ ಸಂಖ್ಯೆಯನ್ನು ಮರುಬಳಕೆ ಮಾಡಲು ನೀಡುವಿಕೆ ಸಾಲನ್ನು ಅಳಿಸುವುದು.

OpenSSL CAನಲ್ಲಿ ಡೇಟಾಬೇಸ್ ಟ್ಯಾಬ್-ಬೇರ್ಪಡಿಸಲಾಗಿದೆ ಮತ್ತು ತಪ್ಪಾಗಿ ಓದುವುದು ಸುಲಭ, ಇದು ಕೈಯಿಂದ ಸಂಪಾದನೆಯನ್ನು ಆಕರ್ಷಕಗೊಳಿಸುತ್ತದೆ:

awk -F'\t' '$1=="R" {print $4, $3, $6}' index.txt

ಅದನ್ನು ಓದಿ, ಬರೆಯಬೇಡಿ. ಫೈಲ್ ಸಂಪಾದಿಸುವುದು ಯಾವುದೇ ಆಡಿಟ್ ಜಾಡು ಇಲ್ಲದೆ ಮುಂದಿನ CRL ಅನ್ನು ಬದಲಾಯಿಸುತ್ತದೆ, ಮತ್ತು ಮೂಲ ಸಾಲನ್ನು ಇನ್ನೂ ಹೊಂದಿರುವ ಯಾವುದೇ ಎರಡನೇ CA ನಿದರ್ಶನ ಅಥವಾ ಬ್ಯಾಕಪ್ ನಂತರ ಅದರೊಂದಿಗೆ ಒಪ್ಪುವುದಿಲ್ಲ.

ಬದಲಿ ನೀಡಿದ ನಂತರ, ಸಾಮಾನ್ಯ ಕ್ರಮದ ಮೂಲಕ ಹೊಸ CRL ಪ್ರಕಟಿಸಿ ಮತ್ತು ಕ್ಲೈಂಟ್ಗಳು ಅದನ್ನು ತೆಗೆದುಕೊಳ್ಳಲಿ. CRL ತೆಗೆಯುವುದು, ಅದರ ಜೀವಿತಾವಧಿಯನ್ನು ಶೂನ್ಯಕ್ಕೆ ಕಡಿತಗೊಳಿಸುವುದು ಅಥವಾ ಕ್ಲೈಂಟ್ ಪ್ರೊಫೈಲ್ನಲ್ಲಿ ರದ್ದತಿ ಪರಿಶೀಲನೆಯನ್ನು ನಿಷ್ಕ್ರಿಯಗೊಳಿಸುವುದು CA ಎಂದಾದರೂ ಪ್ರಕಟಿಸಿದ ಪ್ರತಿಯೊಂದು ಇತರ ರದ್ದತಿಯನ್ನು ದುರ್ಬಲಗೊಳಿಸುವ ಮೂಲಕ ಒಬ್ಬ ಬಳಕೆದಾರರನ್ನು ಸರಿಪಡಿಸುತ್ತದೆ.

ಹೊಸ ಪ್ರವೇಶವನ್ನು ಖಚಿತಪಡಿಸಿ ಮತ್ತು ದಾಖಲೆಯನ್ನು ಇರಿಸಿ

ಹೊಸ ಸಂಪರ್ಕದೊಂದಿಗೆ ಪರೀಕ್ಷಿಸಿ, ಈಗಾಗಲೇ ತೆರೆದ ಅವಧಿಯೊಂದಿಗಲ್ಲ. ಜೀವಂತ ಸುರಂಗವು ಹೊಸ ಹಸ್ತಲಾಘವ ಮಾಡುವ ಪ್ರವೇಶ ಪರಿಶೀಲನೆಗಳನ್ನು ಮತ್ತೆ ಚಲಾಯಿಸದೇ ಇರಬಹುದು, ಮತ್ತು CRL ಕ್ಯಾಶ್ಗಳು ಕ್ಲೈಂಟ್ ರಿಫ್ರೆಶ್ ಆಗುವವರೆಗೆ ಸಂಪರ್ಕಿಸುತ್ತಲೇ ಇರಬಹುದು ಎಂದರ್ಥ. ಸಂಪರ್ಕ ಕಡಿತಗೊಳಿಸಿ, ಮತ್ತೆ ಸಂಪರ್ಕಿಸಿ, ಮತ್ತು ಸರ್ವರ್ ಲಾಗ್ನಲ್ಲಿ ಯಾವ ಸೀರಿಯಲ್ ಸಂಖ್ಯೆಯನ್ನು ಸ್ವೀಕರಿಸಲಾಯಿತು ಎಂದು ಖಚಿತಪಡಿಸಿ.

ಏನಾಯಿತು ಎಂಬುದನ್ನು ಇನ್ನೂ ತಾಜಾವಾಗಿರುವಾಗ ದಾಖಲಿಸಿ: ಯಾವ ಸೀರಿಯಲ್ ಸಂಖ್ಯೆಯನ್ನು ರದ್ದುಗೊಳಿಸಲಾಯಿತು, ಯಾರಿಂದ, ಯಾವ ಕಾರಣದಿಂದ, ಯಾವ ಬದಲಿ ನೀಡಲಾಯಿತು, ಮತ್ತು CRL ಯಾವಾಗ ಮರುಪ್ರಕಟವಾಯಿತು. ಆ ದಾಖಲೆಯೇ ಮುಂದಿನ ರದ್ದತಿ ಪರಿಶೀಲನೆಯನ್ನು ಸಾಧ್ಯಗೊಳಿಸುತ್ತದೆ, ಮತ್ತು ತಪ್ಪನ್ನು ಮುಚ್ಚದೆ ನಿರ್ವಹಿಸಲಾಗಿದೆ ಎಂಬುದಕ್ಕೆ ಸಾಕ್ಷಿಯೂ ಆಗಿದೆ.

ಭವಿಷ್ಯದಲ್ಲಿ ಸಣ್ಣ ಅಮಾನತ್ತುಗಳಿಗೆ, ನಿಯೋಜನೆಯಲ್ಲಿ ಇದ್ದರೆ ಪ್ರವೇಶ-ವಿರಾಮ ಕ್ರಮವನ್ನು ಬಳಸಿ — ಗುರುತಿನ ಪದರದಲ್ಲಿ ನಿಷ್ಕ್ರಿಯಗೊಳಿಸಿದ ಖಾತೆ, ತೆಗೆದುಹಾಕಿದ ಗುಂಪು ಸದಸ್ಯತ್ವ, ತಡೆಹಿಡಿದ ಕ್ಲೈಂಟ್ ಪ್ರೊಫೈಲ್. ಇದು ತಾತ್ಕಾಲಿಕ ನೀತಿ ನಿರ್ಧಾರವನ್ನು ನೀಡಲಾದ ಪ್ರಮಾಣಪತ್ರವು ಇನ್ನೂ ನಂಬಲರ್ಹವೇ ಎಂಬ ಪ್ರಶ್ನೆಯಿಂದ ಪ್ರತ್ಯೇಕವಾಗಿ ಇರಿಸುತ್ತದೆ, ಮತ್ತು ಮೊದಲ ಬಾರಿಗೆ ಕಳೆದುಹೋದ ವ್ಯತ್ಯಾಸ ಅದೇ ಆಗಿದೆ.