OCSP géint enger CRL: wéi all Widderruffpréifung tatsächlech funktionéiert

Eng vun dësen zwou Widderruffpréifunge gëtt eng ënnerschriwwen Äntwert iwwer een eenzegen Zertifikat zréck, an déi aner gëtt eng ënnerschriwwen Lëscht zréck, déi Dir ganz eroflued. Béid solle engem Iwwerpréifer soen, ob en Nofweis nach vertrauenswierdeg ass, a béid schléissen op Manéieren, déi sech guer net gläichen. D'Reiefolleg hei drënner follegt deem, wat en Operateur an der Produktioun tatsächlech begéint, ugefaange mat de Byte op der Leitung bis zu engem Gateway, deen eng Verbindung refuséiert. En Etapp iwwersprangen ass de Wee, wéi eng Deploiement mat enger Widderruffpolitik ophält, déi nëmmen um Pabeier existéiert.

Etapp 1: Wat all Prüfung zréckgëtt a wéi laang se brauchbar bleift

Eng CRL gëtt als een ënnerschriwwent Objet publizéiert, deen all Zertifikat deckt, deen en Ausschaffer widderruff huet, dofir hëlt en Iwwerpréifer se eemol an notzt se erëm, bis den nextUpdate vun der Lëscht vergaangen ass. Eng OCSP-Äntwert ass méi schmuel: se äntwert fir genee een Zertifikat a bréngt thisUpdate, producedAt an normalerweis och nextUpdate mat. Dee Ënnerscheed bestëmmt alles anescht. Eng gecachte CRL veraltert Rou, well d'Datei nach ëmmer geparst gëtt an hir Ënnerschrëft nach ëmmer verifizéiert gëtt, wärend eng ofgelaf OCSP-Äntwert kloer wäertlos ass, dee Moment wou Dir hir Zäitstempel liest.

Cachéieren ass dofir dat éischt, wat muss festgeluecht ginn: wéi eng Komponent d'Kopie hält an wéi en Deckel déi Kopie befollegt. Op engem Gateway sollt den Deckel nextUpdate minus eng Sécherheetsmarge sinn, ni dat, wat en HTTP-Caché-Header zoufälleg proposéiert. openssl crl -in issuer.crl -noout -lastupdate -nextupdate dréckt béid Datumer, an eng Lëscht, deenen hiren nextUpdate schonn an der Vergaangenheet läit, muss als fehlend behandelt ginn an net just als al.

Etapp 2: Wouhin den Zertifikat de Client weist

Den Dëppchenzertifikat dréit meeschtens zwou Hiwäiser: eng CRL-Verdeelungspunkt-Erweiderung an en Zougrëff op Autoritéitsinformatioun fir OCSP. openssl x509 -in client.pem -noout -ext crlDistributionPoints dréckt déi éischt, an déi zweet steet ënner der AIA-Sektioun vun openssl x509 -in client.pem -noout -text. All Erweiderung ass en Hiwäis, keng Flicht. En Client, deen ni eng Widderruffpréifung ëmsetzt, verbënnt sech ausgezeechent mat engem Zertifikat, deenen seng Erweiderungen en Äntwerer nennen, deen zënter engem Joer dout ass.

Verdeelungspunkte nennen dacks en internen Host, deen nëmmen an engem eenzegen Netzwiersegment opgeléist gëtt, a verschidde méi al Clienten refuséieren ldap-URLen am Ganzen. Test d'Erreechbarkeet vum Host, deen den Tunnel terminéiert, net vun dengem eegenen Laptop, well dat ass déi eenzeg Siicht, deenen hire Feeler wierklech zielt.

Etapp 3: Wielt fail-closed oder fail-open virum Ausfall

En onerreechbaren Äntwerer oder eng ofgelaf Lëscht zwingt eng Entscheedung: d'Verbindung refuséieren, oder se akzeptéieren an de Spalt festhalen. Den verify-Ënnerbefehl vun OpenSSL mécht déi strikt Wiel explizit, well -crl_check derbäisetzen eng net disponibel CRL an unable to get certificate CRL an eng feelgeschloe Verifizéierung ëmwandelt. Soft-fail ass a meeschte Stacks guer kee Fändel, et ass d'Fehlen vun der Prüfung, an dat ass genee de Grond, firwat en zoufälleg ausgeliwwert gëtt.

Fir ze gesinn, wéi en Verhalen en Client wierklech huet, huel den Äntwerer ewech a verbänn dech erëm. Wann den Tunnel nach ëmmer eropkënnt, fann d'Loglinn, déi déi iwwerspronge Prüfung festgehalen huet, a fro dann, ob iergendeen déi Linn wärend engem Tëschefall liese géif. Dee selwechte Fournisseur ka je no Protokoll ënnerschiddlech sinn: en IKEv2-Client an en OpenVPN-Client op enger Maschinn liesen net verbonne Konfiguratiounsknäpp.

Etapp 4: Beweist, datt d'Prüfung do leeft, wou den Trafic ugeholl gëtt

Fann de Prozess, deen d'Verbindung terminéiert oder autoriséiert, a fro en dann no der Konfiguratiounslinn, déi d'Widderruffprüfung aschalt. En Gateway, deen d'Kette validéiert, awer ni no Widderruff freet, setzt eng aner Politik ëm wéi déi an Ärer Dokumentatioun, an et beweist kee Screenshot vun enger Zertifikatskette dat Géigendeel. OpenVPN schreift d'Optioun als crl-verify; strongSwan hält CRL- an OCSP-Sich ënner der CA-Konfiguratioun, wou crl_uris oder ocsp_uris gesat ginn. Wann Dir op keng vun deenen zwou weise kënnt, hält et fir ugeholl, datt d'Prüfung feelt.

Eng OCSP-Äntwert zielt nëmmen, wann déi ausstellend CA se ënnerschriwwen huet, oder wann en Äntwerer se ënnerschriwwen huet, deen déi vun där CA delegéiert OCSPSigning-Erweiderung vum Schlësselgebrauch huet, dofir beweist eng Äntwert vun engem onverbonne Service näischt. Wann Dir den Äntwerer selwer bedreift, iwwerwaacht en als haart Ofhängegkeet, well een doudege Service gläichzäiteg en Ausfall fir all fail-closed-Client gëtt.

Etapp 5: Widderruff een Zertifikat absichtlech

Huelt en Testzertifikat, widderrufft et iwwer dee selwechte Kanal, deen d'Produktioun benotzt, a fro den Äntwerer direkt. openssl ocsp -issuer ca.pem -cert old.pem -url http://ocsp.example.net -resp_text sollt Cert Status: revoked zesumme mat enger Widderruffzäit mellen, an eng Äntwert good bedeit, datt Är Widderruffung den Äntwerer, deen Är Clienten froen, net erreecht huet. Duerno laaft openssl verify -crl_check -CRLfile issuer.crl -CAfile ca.pem old.pem, fir déiselwecht Entscheedung iwwer de Lëschtewee ze gesinn. Liest de Grondstrang amplaz vum Ausgangscode, well eng Widderruffoflehnung an e Kettenfeeler allebéid am Feeler ophalen.

D'Etapp, déi wierklech zielt, ass déi lescht: verbänn dech erëm mam ale Profil géint de richtege Duerchsetzungspunkt a bestätegt, datt d'Refusatioun vun der Widderruffung kënnt. Verbänn dech duerno mat engem frëschen, gültegen Zertifikat erëm, fir ze beweisen, datt Dir net just de Lauschterer futti gemaach huet. D'Profil um Client läschen beweist näischt iwwer d'Entscheedung vum Server, an och net eng erfollegräich openssl verify-Ausféierung op enger Maschinn, déi ni en Tunnel terminéiert. RFC 6960 definéiert, wat eng konform OCSP-Äntwert enthält, inklusiv de Statuswäerter, déi dësen Test liest.