Nebula-Blocklist: verdeel se, de Liichttuerm wäert et net maachen
En Andrag an der Blocklist gëllt just op Hosts, déi se gelueden hunn. Vergläicht d'Verdeele vun der Lëscht mat der Rotatioun vun der CA an iwwerpréift duerno e refuséierte Peer an een, dee funktionéiert.
D'Uwendung vun der Blocklist ass eng Eegenschaft vum Host, deen d'Préifung mécht, an net vum Zertifikat, dee gepréift gëtt. Eng Maschinn, déi den Andrag ni gelueden huet, akzeptéiert d'Identitéit weider, an näischt am Handshake warnt Iech, datt zwee Peers net d'accord sinn. D'bëlleg Léisung an déi deier Léisung fir deen eenzege exponéierte Berechtegungsnoweis ënnerscheede sech am Ëmfang an an der Ëmkéierbarkeet, also wielt bewosst. D'Deeler hei ënnen decken of, wat den Andrag mécht, wou en higeléiert muss ginn, wéini d'Rotatioun déi besser Äntwert ass, a wéi een beweist, datt eng vun deenen zwee funktionéiert huet.
Wat en Andrag an der Blocklist wierklech mécht
D'PKI-Konfiguratioun zielt Fangerofdréck op, déi een Host refuséiere muss, obwuel den Zertifikat gëlteg ënnerschriwwen an net ofgelaf ass. D'Uwendung geschitt lokal, géint d'Lëscht, déi deen Host beim Start vum Service gelueden huet. Näischt vum Andrag reest am Zertifikat, also kann e Peer d'Entscheedung net aus dem Berechtegungsnoweis léieren, deen him gewise gëtt. Dofir spillt e Liichttuerm hei keng Roll: Liichttierm hëllefen de Peers, sech géigesäiteg ze fannen, an iwwerdroe Verkéier, wou e direkte Wee feelt. Si sinn eng Entdeckungs- an Iwwerdroungsschéicht, keen Distributiounskanal fir Konfiguratioun.
D'Update vun enger Maschinn ännert d'Entscheedungen vun där Maschinn an léisst all aneren Peer genee esou wéi en war. En Peer, deen der Ënnerschrëftsauteet vertraut an den Andrag ni gesinn huet, huet kee Grond, eppes ze refuséieren. Dofir beweist d'Teste vun der Revocatioun duerch d'Kucke vum Liichttuerm näischt, well vun der Komponent, déi Dir kuckt, ni verlaangt gouf, d'Lëscht ëmzesetzen.
Identifizéiert den Zertifikat, net d'Apparat
Benotzt de Fangerofdrock vum Berechtegungsnoweis, deen Dir refuséiere wëllt, well en Hostnumm, en Apparat-Label oder eng aktuell Adress identifizéiert haut eng Maschinn an de nächste Mount eppes anescht. Keng vun dëse Stréng erschéngt an der Blocklist, a keng vun hinnen iwwerlieft eng Reinstallatioun. Dréckt den Zertifikat, liest de Fangerofdrock a préift, datt en zum Berechtegungsnoweis gehéiert, deen ausscheedt, an net zu sengem Ersatz. Béid Fichieren ze liesen ass wichteg, wann den Ersatz schonn ausgestallt ass, well den ale an den neien Zertifikat en Numm deele kënnen an a jidwerem anere Feld ënnerscheeden.
Hällt fest, wéi een Fangerofdrock blockéiert gouf a wéini, sou datt eng spéider Audit eng ofgeschloss Ännerung vun enger geplangter trennt. Notéiert och, wat den Andrag net mécht: en annulléiert d'Ënnerschrëftsauteet net, an en hält net op, datt en zukünftege Zertifikat vun där Auteet akzeptéiert gëtt. En Hostzertifikat blockéieren an eng kompromittéiert Auteet ersetzen sinn ënnerschiddlech Operatiounen mat ënnerschiddleche Konsequenzen.
nebula-cert print -path /etc/nebula/host.crt
pki:
blocklist:
- "a1b2c3d4e5f6"Verdeelt se wéi all aner Konfiguratioun
Behandelt d'Lëscht als Konfiguratioun mat engem Liwwermécanismus an net als eng Datei, déi een ännert, wéi en dru mécht. Schéckt déi ganz Lëscht an net en Delta, sou datt en Host, deen en fréieren Update verpasst huet, sech zesummefënnt, amplaz Lücken ze sammelen. D'Nebula-PKI-Dokumentatioun recommandéiert genee dat, an et ass derwäert, dem Rot wuertwiertlech ze follegen, amplaz en a manuell Prozedur ëmzeschreiwen.
Bestätegt, datt de lafende Service den Inhalt nei gelueden huet, an net just, datt d'Datei op der Disk geännert huet. Verfollegt, wéi eng Maschinne d'Ännerung ugewannt hunn, a haalt d'Lëscht vun deenen déi nach feelen siichtbar, bis se eidel ass. E Laptop, deen eng Woch zou ass, ass e Peer, deen d'Entscheedung ni geléiert huet, an et kann sech aus engem Netzwierk erëm verbannen, mat deem keen gerechent huet. Hällt d'Liwwermethod nieft dem Fangerofdrock fest, well déi nächst Revocatioun se erëm benotzt an et déi éischt ass, wou de Prozess gedebuggt gëtt.
Blocklist oder Rotatioun vun der Auteet
En Andrag an der Blocklist ass enk: eng Identitéit funktionéiert net méi an alles aneres geet virun. D'Rotatioun vun der Ënnerschrëftsauteet ass breet: all Zertifikat, deen se ausgestallt huet, gëtt onvertrauenswürdeg, an all Host brauch en neie Berechtegungsnoweis an en neie Vertrauensanker. Dat éischt ass eng geriichte Revocatioun an dat zweet eng Migratioun, dofir brauche se ënnerschiddlech Genehmegungen an ënnerschiddlech Ënnerhaltsfënster. D'Tabell setzt déi zwee niefteneen op Ëmfang, Opwand an Ëmkéierbarkeet.
| Question | Blocklist entry | Authority rotation |
|---|---|---|
| What stops working | One identity | Every certificate from that authority |
| Fleet work | Push one file and confirm a reload | New credentials and a new trust anchor everywhere |
| Reversible | Yes, remove the line | No, the old authority stays distrusted |
| Fits | A lost or stolen device | A leaked authority key |
En verluerene Laptop verlaangt d'Blocklist, well de Radius vum Schued eng Identitéit ass an d'Ännerung ëmkéierbar ass, wann Dir de falschen Fangerofdrock blockéiert hutt. En ausgelafene Auteetsschlëssel verlaangt eng Rotatioun, well d'Blocklist bei Zertifikaten, déi nach net ausgestallt goufen, net hëllefe kann. Tëschent dësen Extreme freet Iech, ob den exponéierte Berechtegungsnoweis eppes aneres hätt ënnerschreiwe kënnen, well eng Auteet méi wéi een Host ass.
Schreift d'Entscheedung virun engem Tëschefall op, well Wielen ënner Drock éischter déi breet Optioun als Standard produzéiert. Wéi ee Wee Dir och hëlt, de verbleiwwende Aarbechtspunkt ass deeselwechten: beweisen, datt d'Uwendung op den Hosts geschitt ass, déi zielen. De Fangerofdrock an den Datum an deem Moment festzehalen ass dat, wat de Beweis méi spéit méiglech mécht.
Préift de Refus an de Rescht
Verbannt Iech vun der blockéierter Identitéit a bestätegt de Feeler, verbannt Iech duerno vun engem autoriséierte Peer a bestätegt, datt en nach ëmmer erreecht, wat en brauch. Eng Ännerung, déi jidderee brécht, ass keng erfollegräich Revocatioun. Maacht béides aus frësche Sessiounen, well de gecachte Staat d'Resultat ka verstoppen.
Préift, ob eng etabléiert Sessioun no der Ännerung ophält, a notéiert d'Verhalen fir Är Versioun a Konfiguratioun, amplaz unzehuelen, datt d'Ännere vun enger Datei eppes ophält. D'Optioun disconnect_invalid deckt Clienten, deenen hir Zertifikater ofgelaf oder ongëlteg sinn, also bestätegt, wéi se op Äre Fall ugewannt gëtt, ier Dir Iech op se verloosst. Wann eng direkt Beendigung eng Ufuerderung ass, test se speziell a notéiert, wat Dir observéiert hutt. Widderhollt duerno den Test no engem Neistart, well en Host, deen d'Lëscht nëmme bis zum nächsten Neistart ëmsetzt, e Liwwerproblem huet, dat den éischten Test verstoppt huet. En gesonde Liichttuerm seet Iech, datt d'Entdeckung funktionéiert, an net, datt e Peer eng Politik ugewannt huet.