VPN сертификаттарынын тизмеси: CA реестри эмнени далилдей алат
Сервердеги папка, CA реестри, жокко чыгаруу тизмеси жана сессиялар таблицасы ар башка суроолорго жооп берет. VPN инсандыктарын тизмектегенде аларды өзүнчө кармаңыз.
Сиздин шлюзуңуз эч качан көрбөгөн кардар сертификатын кабыл алат, анткени ал конфигурацияланган нерсе — ишенимдүү чыгаруучу, ал эми сертификат кол алышуу учурунда келет. Протокол ушундай иштеши керек, ошондуктан сервердеги папка тизмеси начар тизме болуп саналат. Чыгаруучу эмнени жаратканын билет, сервер эмне туташканын билет, ал эми жокко чыгаруу абалы эмне кайтарылганын билет. Бул үч жазууну аралаштырган тизме акырында алардын эч бири айтпаган нерсени ырастайт.
Шлюз файлдар тизмесине эмес, чыгаруучуга ишенет
Валидация сунушталган сертификатты ишеним тиреги менен салыштырат, ошондуктан ошол эле чыгаруучу кечээ жараткан инсандык сервердин дискнде эч качан болбосо да туташат. Бул үчүн эч нерсе көчүрүүнүн кереги жок жана эч ким аны кол менен бекитпейт. Ошентип, сервердин өз жазуулары келүүлөрдү сүрөттөйт, келе ала турган инсандыктардын жыйындысын эмес.
Тескери ажырым да ошончолук ыңгайсыз. Папкада мөөнөтү өткөн сертификаттар, жокко чыгарылгандар жана эч качан жайгаштырылбаган түзмөктөр үчүн берилген инсандыктар болушу мүмкүн. Файлдарды саноо канча файл бар экенин жооп берет, бул эч ким сурабаган суроо. Анын ордуна маани берген жазуулардан баштаңыз.
Төрт суроо, төрт башка жазуу
Ар бир жазуу түрү бир суроого жакшы, калгандарына начар жооп берет, ошондуктан аларды бириктирген отчет толук көрүнөт, бирок белгилүү бир жактан ката. Төмөнкү таблица аларды өндүргөн система боюнча эмес, чечкен суроосу боюнча иреттейт.
| Question you are answering | Where the answer lives | How quickly it changes | What it will never show |
|---|---|---|---|
| Was this identity ever created? | The issuer's issuance database | Only when something is issued | Whether the device still exists |
| Is a copy sitting on this host? | The paths you actually inspected | Whenever anyone copies files | Certificates that were never copied here |
| Has the issuer withdrawn it? | Published revocation state | When the issuer next publishes | Withdrawals that are not published yet |
| Is it connected right now? | The live session table | Continuously | Anything about past or future sessions |
Коомдук сертификаттардын архиви жашыруун эмес, анткени анда жеке ачкычтар жок, бирок аны бөлүшүүгө да болбойт. Субъектилер жана түзмөктөрдүн аттары операциялык деталдарды ачат, ал эми отчет ага муктаж болгон аудиторияда калышы керек. Жеке ачкычтар тизмеден толугу менен тышкары калат, анткени тизмеге күбөлүктөр эмес, метаберилиштер керек.
Чыгаруучу жана сериялык номур — жалгыз туруктуу ачкыч
Субъектилер кайра иштетилет жана файл аттары кайра колдонулат, ошондуктан былтыр бир түзмөктү белгилеген ат азыр башкасын белгилеши мүмкүн. Экөө тең ачкыч эмес, ал эми алардын бирине негизделген отчет акырында эки инсандыкты бир сапка бириктирет.
Чыгаруучу жана сериялык номур жуптугу сертификатты бирдиктүү аныктайт жана эки талаа тең сертификаттын өзүнөн алынат. Аларды субъект менен, жарактуулук даталары менен, көчүрмө келген булак менен жана жооптуу адам же түзмөк менен жазып алыңыз. Жокко чыгаруу жана жайгаштыруу абалын өз байкоо убакыттары бар өзүнчө талаалар катары кошуңуз, анткени жарактуулук терезесинин ичиндеги сертификат автоматтык түрдө ыйгарым укуктуу эмес. Бул эки факт ар башка системаларда жашайт жана аларды бириктирүү файлы дагы эле актуалдуу көрүнгөн инсандыктын кайтарылган учурду жашырат.
Бир сертификатты бир убакта окуңуз
Папка боюнча таралган жапайы карта топтомдук интерфейс эмес жана кайсы файл кайсы чыгарылышты бергенин жашырат. Метаберилиштерди ар бир сертификат боюнча окуңуз, ал эми жокко чыгаруу тарабын анын өз артефактысынан окуңуз. OpenSSL x509 шилтемеси ошол параметрлер басып чыгарган талааларды тизмелейт.
openssl x509 -in <cert>.pem -noout -issuer -serial -subject -dates -fingerprint -sha256
openssl crl -in <issuer>.crl -noout -text | head -n 40Башкарылуучу Easy-RSA PKI үчүн чыгаруу маалымат базасынан курал колдогон жумуш агымы аркылуу сураңыз папка түзүлүшүн болжолдоонун ордуна, жана тизме курулуп жатканда түпнускаларды окууга гана ачык кармаңыз. Реестрдин форматы жетиштүү туруктуу, ошондуктан маалымат базасын кол менен ачпай эле жарактуу жазууларды санап, кайтарылгандарды тизмектесе болот.
grep -c '^V' pki/index.txt
grep '^R' pki/index.txt | cut -f4,5Кийинки чыгарууга туруштук бере турган тизме
Папканын бир жолку төгүлүшү кийинки сертификат чыгарылган учурда эскирет, ошондуктан отчетту чыгаруу жумуш агымынан куруп, кадимки иштин бөлүгү катары жаңыртылышына жол бериңиз. Бул отчетту кайра өндүрүүгө да ылайыктуу кылат, бул эки адам эмне чыгарылганы боюнча макул болбогондо маанилүү.
Натыйжаны жаңыртуу жана пайдалануудан чыгаруу чечимдери үчүн колдонуңуз, электрондук таблица көнүгүүсү катары эмес. Жергиликтүү көчүрмөнү жок кылуу мурунтан бар алыскы көчүрмөлөрдү жокко чыгарбайт. Инсандыкты конфигурацияланган жокко чыгаруу жана укук беруу жумуш агымы аркылуу кайтарыңыз, андан кийин кайтарууну датасы менен жазып алыңыз. Серверден жоголгон, бирок чыгаруучу дагы эле ишенген инсандык пайдалануудан чыгарылган эмес, жана дал ушул айырма так тизмени жөн гана тынчтандыруучу тизмеден бөлүп турат.