Туура эмес VPN сертификатын жокко чыгардыңызбы? Калыбына келтирүү варианттары жана чектөөлөр

Бирөө CA консолунда сертификатты жокко чыгарды, эми колдонуучу туташа албайт. Биринчи сезим — жокко чыгаруунун артын кайтарууну издөө, бирок көпчүлүк PKIлерде ал жок: жокко чыгаруу сериялык номер тууралуу жарыяланган факт, ал эми колдоого алынган кайтуу жолу — жаңы сертификат, тескери жазылган жазуу эмес. Төмөнкү текшерүүлөрдү тартиби менен аткарыңыз, анткени кайсы оңдоого уруксат берилгени себеп кодуна жана ачкыч мурда ачылган-ачылбаганына байланыштуу.

Сертификатты аныктаңыз, адамды эмес

Жалпы аттар кайталанат. Өткөн чейректе кайра катталган колдонуучунун бирдей CN жана ар башка сериялык номерлери бар эки сертификаты болушу мүмкүн, ал эми бирөөнү жокко чыгарганда экинчиси иштеп турат. Адегенде так объектини аныктаңыз:

openssl x509 -in client.crt -noout -serial -issuer -subject -dates
openssl crl -in ca.crl -noout -text | head -40

Сериялык номерди, эмитентти, жокко чыгарылган күндү жана CRLде жазылган себепти жазыңыз. Андан кийин ошол сериялык номерди көрсөткөн түзмөктөрдү тактаңыз, анткени жокко чыгарылган сертификат дагы эле ноутбукта, телефондо жана кошумча маршрутизатордо орнотулган болушу мүмкүн, алардын бирине гана жеткен алмаштыруу экинчи окуяны жаратат.

Тез жүрүм-турум текшерүү эч нерсени өзгөртпөстөн абалды ырастайт:

openssl verify -crl_check -CAfile ca.crt -CRLfile ca.crl client.crt

Эгер ал сертификатты жокко чыгарылган деп билдирсе, CRL жана кардар макул; эгер ал таза текшерилсе, колуңуздагы кардар жокко чыгарылган эмес, жана издөө уланат.

CA кармоону же туруктуу жокко чыгарууну колдонгонун текшериңиз

RFC 5280 certificateHold-ни убактылуу абал, ал эми removeFromCRL-ни аны бошото турган сигнал катары аныктайт. Ал жашоо циклинде чыныгы, бирок бул жалпы артка кайтаруу баскычы эмес. Себеп кодун окуу эмитенттин бошотууну колдоону ойлогонун айтат.

Тузак — убактылуу ниет убактылуу жазууну билдирет деп ойлоо. Эгер CA жазуусунда keyCompromise же cessationOfOperation болсо, баскычты баскан адамдын ниетине карабастан сертификат туруктуу жокко чыгарылган. Тескерисинче, кармоону бошотууну ишке ашырбаган CAда certificateHold деп белгиленген жазуу иш жүзүндө туруктуу, анткени эч нерсе бошотууну эч качан жарыялабайт.

OpenSSL негизиндеги CAлар чекти көрсөтөт. ca буйругу -crl_reason маанилерин кабыл алат, анын ичинде certificateHold жана removeFromCRL, бирок дельта CRL жаратпайт — OpenSSL CA документтери өзүнүн CRL чыгышы үчүн ушул чектөөнү белгилейт. Сериялык номерди жөн эле калтырып кеткен толук CRL "бул жазуу бошотулду" деген дельтадан башка жарыялоо модели, ошондуктан removeFromCRL-ни OpenSSL негизиндеги VPN CAга чаптоо стандарттар менен аныкталган бошотууну бербейт.

Эгер ачкыч ачылган болушу мүмкүн болсо, аны алмаштырыңыз

Жокко чыгарылган сертификат — бул ачкычка мындан ары ишенүүгө болбойт деген билдирүү. Эгер жокко чыгаруу маңызы боюнча туура болсо — ноутбук жоголду, ачкыч жалпы дискке көчүрүлдү, жеке ачкыч билетке чапталды — ошол эле сертификатты калыбына келтирүү ниет боюнча иштеп турган коопсуздук чечимин тескери бурат.

Каттоо процесси аркылуу жаңы ачкыч жупун чыгарыңыз, жаңы профилди таратыңыз жана эски сериялык номерди анын бүт өмүрү бою жокко чыгарылган бойдон калтырыңыз. Сериялык номер же манжа изи менен инсандыкты бекиткен бардык нерсени жаңыртыңыз, анын ичинде кирүү тизмелери, түзмөктөрдүн инвентаризациясы жана белгилүү бир сертификатты күткөн мониторинг.

Эскисин калыбына келтирүүнүн ыңгайлуулук далили чыныгы, бирок ага ачык жооп бериш керек, үнсүз эмес. "Колдонуучуга бүгүн кирүү керек" — чыгарууну тездетүүгө себеп, эсеп бере албаган ачкычтын жокко чыгарылышын артка кайтарууга себеп эмес.

Эгер бул административдик ката болсо, көзөмөл астында алмаштырыңыз

Жокко чыгаруу жөн гана туура эмес болуп, ачкыч эч качан ачылбаган болсо, оңдоо дагы эле түзөтүү эмес, көзөмөлдөнгөн алмаштыруу болуп калат. Эмитенттин колдоого алынган процессин колдонуңуз, сериялык номерди жана чыгаруу тарыхын бузулбаган бойдон сактаңыз жана эки азгырыктуу кыска жолдон качыңыз: index.txt ичиндеги статус белгисин R-тен кайра V-ке буруу жана жаңы сертификат сериялык номерди кайра колдоно алышы үчүн чыгаруу сабын жок кылуу.

OpenSSL CAда маалымат базасы табуляция менен бөлүнгөн жана аны туура эмес окуу оңой, бул кол менен түзөтүүнү жагымдуу кылат:

awk -F'\t' '$1=="R" {print $4, $3, $6}' index.txt

Аны окуңуз, жазбаңыз. Файлды түзөтүү кийинки CRLди эч кандай аудит изи жок өзгөртөт, ал эми түпнуска сапты дагы эле кармаган каалаган экинчи CA нускасы же камдык көчүрмө кийинчерээк ага каршы чыгат.

Алмаштырууну чыгаргандан кийин кадимки механизм аркылуу жаңы CRL жарыялаңыз жана кардарлар аны алышына жол бериңиз. CRLди алып салуу, анын өмүрүн нөлгө кыскартуу же кардар профилинде жокко чыгаруу текшерүүсүн өчүрүү CA мурун жарыялаган бардык башка жокко чыгарууларды алсыратуу менен бир колдонуучуну оңдойт.

Жаңы кирүүнү ырастаңыз жана жазууну сактаңыз

Жаңы туташуу менен сынаңыз, мурун ачылган сессия менен эмес. Тируу туннель жаңы кол алышуу аткарган кирүү текшерүүлөрүн кайра аткарбашы мүмкүн, ал эми CRL кэштери кардар жаңырганга чейин туташууну уланта аларын билдирет. Ажыратыңыз, кайра туташыңыз жана сервер журналында кайсы сериялык номер кабыл алынганын ырастаңыз.

Эмне болгонун дагы жаңы кезинде жазып алыңыз: кайсы сериялык номер жокко чыгарылды, ким, кандай себеп менен, кайсы алмаштыруу чыгарылды жана CRL качан кайра жарыяланды. Ошол жазуу кийинки жокко чыгаруу кароосун мүмкүн кылат жана ката жашырылбай чечилгенин далилдейт.

Келечекте кыскача токтотуулар үчүн, жайылтууда болсо, кирүүнү токтотуу механизмин колдонуңуз — инсандык катмарында өчүрүлгөн аккаунт, алынган топ мүчөлүгү, кармалган кардар профили. Бул убактылуу саясат чечимин чыгарылган сертификат дагы ишенимдүүбү деген суроодон бөлүп турат, жана так ушул айырма биринчи жолу жоголгон.