Zertifikatswiderruff schlägt fehl: wéi en Host wat net erreecht

Zertifikater kënnen an hirer Gültegkeetsdauer leien, wärend d'VPN nach ëmmer e Feeler bei der Authentifizéierung mëldet, an een schléisst doraus, datt den Zertifikat widerrufe gouf. Dat sinn dräi verschidde Fakten. Widerruffsdaten muss den Apparat ofruffen, deen d'Validatioun duerchféiert, an zwar vun engem Verëffentlechungspunkt, deen am Zertifikat selwer genannt ass. Kann deen Apparat de Punkt net erreechen, schléit d'Prüfung aus Grënn fehl, déi näischt mam Status vum Zertifikat ze dinn hunn.

De Validator besëtzt den Ofruffwee

Fänkt domat un, de Validator z'identifizéieren. Wann e Laptop den Zertifikat vum Gateway prüft, mécht de Laptop den Ofruff; wann de Gateway e Clientzertifikat prüft, mécht et de Gateway. En Authentifizéierungsdéngscht am Hannergrond kann en drëtten Validator mat senger eegeer Netzwierkpositioun dobäisetzen. Jiddereen huet eng aner Route an d'Internet an eng aner Proxy-Konfiguratioun. Beweiser, déi op der Aarbechtsplaz vun engem Administrateur gesammelt goufen, soe näischt iwwer e Server bannent enger DMZ.

Schreift den Zertifikat, de Validator, d'Zäit vum Versuch an den geneeë Statuscode op, ier Dir eppes ännert.

Liest de Verëffentlechungspunkt aus dem Zertifikat

Den Zertifikat nennt, wou säi Status läit. Liest déi Felder, amplaz eng CA-Adress ze roden.

openssl x509 -in gateway.cer -noout -text | grep -A3 "CRL Distribution Points"
openssl x509 -in gateway.cer -noout -text | grep -A2 "Authority Information Access"

Déi éischt Erweiderung lëscht CRL-Verdeelungspunkten op, an déi zweet lëscht Methoden fir den Zougang zu Autoritéitsinformatiounen, déi den OCSP-Status an den Ofruff vum Aussteller-Zertifikat kënnen ofdecken. Dat sinn ënnerschiddlech Mechanisme, an en OCSP-Responder ass keng CRL-Datei. Den Verëffentlechungs-Host ass dacks e normale Web-Server an net d'CA-Maschinn, well en Offline-Aussteller eng CRL ënnerschreiwe kann, déi en anere Server verdeelt. Dofir ass eng Firewallregele, déi als Zougang zur CA beschriwwe gëtt, ze vag, fir ëmgesat oder iwwerpréift ze ginn.

Test den Ofruff vum Apparat, deen validéiert

Féiert den Ofrufftest an der Ëmwelt duerch, déi d'Validatioun tatsächlech mécht, mat approuvéiertem Zertifikatsmaterial an ouni privaten Schlësselen.

certutil -urlfetch -verify .\client-test.cer
curl -sS -o /dev/null -w "%{http_code}\n" http://crl.example.com/ca.crl

De certutil-Laf iwwerpréift d'Kette a mëld, wéi eng URL-Ofruff erfonnt oder feelgeschloen sinn, wärend den curl-Opruff eng eenzeg Verëffentlechungsadress vum selwechten Host testt a just e Statuscode zréckgëtt. En feelgeschloenenen Ofruff vun enger erreechbarer Adress weist op Problemer mam Inhalt oder der Ënnerschrëft hin; e Verbindungsfeeler weist op Routing, DNS oder Proxy hin. Hält béid Resultater, well en eenzegen erfollegräichen Ofruff net beweist, datt déi ganz Kette notzbar ass. Ännert den Exemplar-Host an de Pad op de Verdeelungspunkt, deen am Zertifikat fonnt gëtt.

Trennt fehlend Daten vum Widerruffsstatus

Véier Resultater gesinn vun dobausse gläich aus: de Punkt ass net erreechbar, d'Lëscht ass veraltert, d'Lëscht ass vum falschen Aussteller ënnerschriwwen, oder den Zertifikat ass wierklech widerrufen. Nëmmen dat lescht ass en Statusresultat, an nëmmen dat justifiéiert d'Ewechhuele vum Zougang. D'Cachéi verstäerkt d'Bild nach, well virdrun ofgeruff Daten en ënnerbrachne Verëffentlechungspad bis zum nächsten Update kënnen verstoppen. D'Widerruffsprüfung ausschalten, onverbonnen Zertifikater läschen oder de Gateway nei starten ersetzen all d'Diagnos duerch Aktivitéit.

No der Verbesserung forcéiert eng nei Authentifizéierung a bestätegt, datt den ugeduechte Statusofruff geléngt. Wou et eng kontrolléiert Testidentitéit gëtt, bestätegt, datt se nach ëmmer ofgelehnt gëtt, well d'Disponibilitéit, déi d'Prüfung ewechhëlt, keng Reparatur ass.