Client-Zertifikat verluer? Widderruff no der Seriennummer, net nom Numm

D'Zertifikatsdatei vun Ärem Client ass fort, an de Reflex ass den Numm ze widderruffen an en neit auszestellen. Dee Reflex läisst dat ursprénglecht Zertifikat gülteg, well de Widderruff op enger Seriennummer baséiert an net op engem Label. D'CA hält bal sécher nach eng Kopie vun deem, wat se ausgestallt huet, an déi Kopie ze fannen ass déi ganz Aufgab.

Eng Datei verléieren ass net den Datensaz vun der CA verléieren

Eng Easy-RSA-PKI hält déi ausgestallt ëffentlech Zertifikater, an aktuell Versiounen archiveren och Kopien no der Serie am certs_by_serial-Verzeechnes vun der PKI. De private Schlëssel ass net néideg fir eppes ze widderruffen. Wat zielt, ass dat genee Zertifikat, dat d'CA ënnerschriwwen huet, an dat huet d'CA schonn.

Schafft op enger Sécherungskopie vun der richtege PKI, mam Administrateur, deem se gehéiert. E Widderruff ass eng auditabel Operatioun an net eng Reparatur op enger Produktiounsdatebank um Mëtternuecht.

Eng Kopie vum agebauten ëffentleche Zertifikat vum Client geet och, wann d'Deployment eng opgehuewen huet.

Liest den Aussteller an d'Serieals éischt

Ënnersicht de restauréierte PEM a schreift den Aussteller, d'Seriennummer, de Sujet an d'Gültegkeetsperiod op. D'Seriennummer ass eenzegaarteg am Beräich vun engem Aussteller, net iwwer all CA an Ärer Ëmwelt, dofir ass den Aussteller Deel vun der Identitéit. Wa méi Zertifikater e Sujet deelen, sinn et genee déi Seriennummeren, déi se ënnerscheeden.

Vergläicht d'Wäerter mat den Opzeechnunge vun der CA an mat dem Apparat oder der Persoun, vun där Dir mengt, si hätt d'Zertifikat.

En allgemengen Numm kann erëm benotzt ginn, an dat gëtt dacks gemaach. Entscheet net, wéi eng Zertifikater zréckgezunn ginn, ier d'Seriennummeren opschriwwen sinn.

Firwat de Widderruff vum neien Zertifikat näischt bewierkt

En Ersatz mam selwechten allgemengen Numm auszestellen erstellt en zweet Zertifikat mat enger anerer Seriennummer. De Widderruff vum Ersatz zitt dat neit zréck an léisst dat ursprénglecht bis zum Ofleef gülteg. Aus der Siicht vun der CA sinn dat zwee onofhängeg Objeten, an eng CRL lëscht Seriennummeren an net Nimm. Den CA-Index hält genee dofir eng Zeil pro ausgestalltem Zertifikat.

Déi selwecht Verwiesslung bréngt de Géigendeel-Fehler: d'Datei vum Client läschen an unhuelen, d'CA hätt se vergiess. Läschen um Client ass keen Evenement vum Widderruff, an d'Zertifikat funktionéiert weider fir jiddereen, deen eng Kopie huet.

Béid Fehler kommen doheem, den Numm als Identitéit ze behandelen.

Widderrufft d'Zertifikat, dat d'Serie bezeechent

Identifizéiert d'Objet, ier Dir d'CA beréiert: openssl x509 -in recovered-client.pem -noout -issuer -serial -subject -dates dréckt déi véier Wäerter an engem Passage aus, an d'Serie ass dat, wat Dir mam CA-Archiv ofgläicht. Easy-RSA hält deen Archiv ënner pki/certs_by_serial, mat enger Datei pro Seriennummer. Den Widderruffs-Befehl hëlt en allgemengen Numm an net eng Serie, also kopéiert d'archivéiert Datei op pki/issued/<common-name>.crt a loosst den Numm op dat identifizéiert Objet weisen. Fiert easyrsa revoke <common-name> aus dem PKI-Verzeechnes aus, da kontrolléiert, ob déi entspriechend Zeil an index.txt op R ëmgeännert huet. D'Serie ass de Wee, wéi Dir d'Objet auswielt, net en Argument, deen de Befehl unhëlt.

openssl x509 -in recovered-client.pem -noout -issuer -serial -subject -dates
cp pki/certs_by_serial/A1B2C3D4.pem pki/issued/client-01.crt
./easyrsa revoke client-01
grep -n client-01 pki/index.txt
./easyrsa gen-crl

Wann index.txt net R weist, halt un a liest de Fehler, ier Dir eng CRL generéiert, well eng CRL, déi aus engem nach gültegen Datensaz gebaut ass, näischt zréckzitt. Eréischt nodeems d'Zeil ëmgeännert huet, fiert Dir easyrsa gen-crl aus a gitt op d'Verdeelung vun der Datei iwwer.

Publizéiert d'CRL do, wou se tatsächlech duerchgesat gëtt

Generéiert eng nei CRL iwwer den ënnerstëtzten Aarbechtsflux vun der PKI, da publizéiert se bei all Iwwerpréifer, deen d'Widderruff vun dësem Aussteller duerchsetzt.

Eng aktualiséiert Datei op der CA ännert näischt, well de VPN d'Entscheedung bei sengem eegenen Iwwerpréifer ofschléisst. Kontrolléiert den Aussteller vun der CRL, seng Gültegkeetsperiod an déi widdergeruff Seriennummeren, a bestätegt, datt de Service d'Datei nei lued an net déi vireg cachet. Propriétéit a Wee zielen grad sou vill wéi den Inhalt: eng CRL, déi den Daemon net liese kann, ass net z'ënnerscheeden vun enger feelender CRL. D'Optioun crl-verify vum OpenVPN bezeechent d'Datei, déi den Daemon liest, also kontrolléiert dee Wee an d'Proprietéit vun der Datei an der Serverkonfiguratioun.

Verifizéiert mat engem richtegen Uschlossversuch, net mat dem Zäitstempel vun der Datei.

Wësst, wéini eng CRL de falschen Instrument ass

Wann dem Aussteller säi private Schlëssel net méi vertraut gëtt, kann den Zréckzuch vu bekannten Seriennummeren net verhënneren, datt en onberechtegt Besëtzer nei Zertifikater ënnerschreift. Dat ass en Iwwergang vum Ausstellervertrauen, also eng nei CA an e Verdeelungsplang, net nach eng Entrée an der CRL. Datt e fréieren Administrateur Zougang hat, ass fir sech kee Beweis fir de Mëssbrauch vum Schlëssel, also beschafft d'Fakten, ier Dir d'Vertrauen nei opbaut.

D'Ausstellungsdatebank vun Hand ze änneren, fir e Statusbuschstaab ëmzedréien, ersetzt keen ënnerschriwwene Widderruff an hannerléisst d'CRL am Widdersproch mat den Opzeechnungen.

Hält d'Seriennummer, d'CRL an de Verdeelungsschratt an enger Notiz, an déi nächst Auditioun gëtt eng Liesübung. Den Easy-RSA-Projet dokumentéiert déi ënnerstëtzt Befehler fir déi installéiert Versioun, an dat ass déi eenzeg Schnëttstell, déi et wäert ass ze befollegen.