Кардардын сертификаты жоголдубу? Аты менен эмес, сериялык номери менен жокко чыгарыңыз

Кардарыңыздын сертификат файлы жок болуп кетти, ал эми биринчи реакция — атты жокко чыгарып, жаңысын чыгаруу. Бул реакция баштапкы сертификатты жарактуу калтырат, анткени жокко чыгаруу белгиге эмес, сериялык номерге негизделет. CA чыгарганынын көчүрмөсүн дагы эле сакташы толук ыктымал, ошол көчүрмөнү табуу — бүт иш.

Файлды жоготуу — CA жазуусун жоготуу эмес

Easy-RSA PKI өзү чыгарган ачык сертификаттарды сактайт, ал эми азыркы чыгарылыштар серия боюнча көчүрмөлөрдү PKI ичиндеги certs_by_serial папкасында архивдейт. Бир нерсени жокко чыгаруу үчүн жеке ачкыч талап кылынбайт. Маанилүүсү — CA кол койгон так сертификат, ал CA-да мурунтан эле бар.

Туура PKIнин камдык көчүрмөсүндө, анын ээси болгон администратор менен иштеңиз. Жокко чыгаруу текшерилүүчү операция, түн ортосунда өндүрүштүк маалымат базасында жасалган оңдоо эмес.

Кардардын ичине камтылган ачык сертификатынын көчүрмөсү да жарайт, эгер жайгаштыруу бирөөнү сактап калса.

Алгач чыгаруучуну жана серияны окуңуз

Калыбына келтирилген PEMди текшерип, чыгаруучуну, сериялык номерди, субъектини жана жарактуулук мөөнөтүн жазып алыңыз. Сериялык номер бир чыгаруучунун чегинде уникалдуу, сиздин чөйрөңүздөгү бардык CA боюнча эмес, ошондуктан чыгаруучу инсандыктын бөлүгү. Эгер бир нече сертификат бир субъектини бөлүшсө, аларды дал ушул сериялар ажыратат.

Маанилерди CAнын жазуулары менен жана сертификат бар деп эсептеген түзмөк же адам менен салыштырыңыз.

Жалпы атты кайра колдонсо болот жана адатта ошондой болот. Сериялар жазылмайынча кайсы сертификаттарды артка тартууну чечпеңиз.

Жаңы сертификатты жокко чыгаруу эмнеге эч нерсе кылбайт

Ошол эле жалпы ат менен алмаштыргыч чыгаруу башка сериялуу экинчи сертификат жаратат. Алмаштыргычты жокко чыгаруу жаңысын тартып алат жана баштапкыны мөөнөтү бүткөнгө чейин жарактуу калтырат. CAнын көз карашынан булар эки көз карандысыз объект, ал эми CRL аттарды эмес, серияларды тизмелейт. CA индекси ар бир чыгарылган сертификат үчүн дал ушундай себептен улам бир сап кармайт.

Ошол эле чаташуу тескери катаны жаратат: кардардын файлын өчүрүп, CA аны унутуп калды деп ойлоо. Кардарда өчүрүү жокко чыгаруу окуясы эмес, ал эми көчүрмөсү бар ар ким үчүн сертификат иштей берет.

Эки ката тең атты инсандык катары карагандан келип чыгат.

Серия атаган сертификатты жокко чыгарыңыз

CAга тийүүдөн мурун объектини аныктаңыз: openssl x509 -in recovered-client.pem -noout -issuer -serial -subject -dates төрт маанини бир өтүүдө басып чыгарат, ал эми CA архиви менен салыштыраарыңыз — серия. Easy-RSA ошол архивди pki/certs_by_serial астында сактайт, ар бир сериянын атына бир файл. Жокко чыгаруу буйругу серияны эмес, жалпы атты кабыл алат, ошондуктан архивделген файлды pki/issued/<common-name>.crt ордуна көчүрүп, ат аныктаган объектиге көрсөтсүн. PKI папкасынан easyrsa revoke <common-name> иштетиңиз, анан index.txt ичиндеги тиешелүү сап R болуп өзгөргөнүн текшериңиз. Серия — объектини тандоонун жолу, буйрук кабыл алган аргумент эмес.

openssl x509 -in recovered-client.pem -noout -issuer -serial -subject -dates
cp pki/certs_by_serial/A1B2C3D4.pem pki/issued/client-01.crt
./easyrsa revoke client-01
grep -n client-01 pki/index.txt
./easyrsa gen-crl

Эгер index.txt R көрсөтпөсө, токтоп, CRL жарадардан мурун катаны окуңуз, анткени дагы эле жарактуу жазуудан курулган CRL эч нерсени артка тартпайт. Сап өзгөргөндөн кийин гана easyrsa gen-crl иштетип, файлды таратууга өтөсүз.

CRLди чындыгында колдонулуучу жерде жарыялаңыз

PKIнин колдоого алынган жумуш агымы менен жаңы CRL жаратыңыз, анан аны ушул чыгаруучунун жокко чыгарууларын колдонгон ар бир текшерүүчүгө жарыялаңыз.

CAда жаткан жаңыртылган файл эч нерсени өзгөртпөйт, анткени VPN чечимди өзүнүн текшерүүчүсүндө бүтүрөт. CRLдин чыгаруучусун, жарактуулук мөөнөтүн жана жокко чыгарылган серияларды текшерип, кызмат файлды кайра жүктөөрүн, мурункусун кэштебей турганын ырастаңыз. Ээлик жана жол мазмун сыяктуу эле маанилүү: демон окуй албаган CRL эч кандай CRL жоктугунан айырмаланбайт. OpenVPNдин crl-verify опциясы демон окуган файлды атайт, ошондуктан сервер конфигурациясында ошол жолду жана файлдын ээлигин текшериңиз.

Файлдын убакыт белгиси менен эмес, реалдуу туташуу аракети менен текшериңиз.

CRL качан туура эмес курал экенин билиңиз

Эгер чыгаруучунун жеке ачкычына мындан ары ишеним жок болсо, белгилүү серияларды артка тартуу укуксуз ээсинин жаңы сертификаттарга кол коюшуна тоскоол боло албайт. Бул чыгаруучу ишениминин өтүшү, башкача айтканда жаңы CA жана таратуу планы, CRLге дагы бир жазуу эмес. Мурунку администратордун кирүү мүмкүнчүлүгү болгону ачкычтын кыянаттык менен колдонулганына өзүнөн өзү далил эмес, ошондуктан ишенимди кайра курганга чейин фактыларды алыңыз.

Статус тамгасын оодаруу үчүн чыгаруу маалымат базасын кол менен оңдоо кол коюлган жокко чыгаруунун ордун баспайт жана CRLди жазууларга дал келбестикте калтырат.

Серияны, CRLди жана таратуу кадамын бир жазууда сактаңыз, кийинки аудит окуу көнүгүүсүнө айланат. Easy-RSA долбоору сиз орноткон чыгарылыш үчүн колдоого алынган буйруктарды документтештирет, жана бул ээрчүүгө татыктуу жалгыз интерфейс.