Widerruffene Client verbënnt weider: d’Lëscht ass ni ukomm

Widerruff geet ni an en lafenden Tunnel fir eng Sëtzung ze läschen. D’Lëscht ass en Input fir d’Zertifikatsprüfung a gëtt beim Austausch vum Steierkanal consultéiert, deen eng TLS-Sëtzung ufänkt. Dës eng Tatsaach erkläert déi zwou Iwwerraschungen: e widerruffene Client verbënnt sech erëm, well d’Lëscht ni beim Prüfer ukomm ass, an eng bestoend Sëtzung iwwerlieft, well kee méi eppes nei gepréift huet.

Eng Lëscht ass en Input, keng Aktioun

Beim Opbau vun der Sëtzung validéiert de Server de Client-Zertifika géint seng Vertrauensanker, an d’Widerruff-Direktiv setzt eng Lëschtsich op dës Entscheedung. D’Prüfung geschitt um Server, dofir kann de Client net gesinn datt säin Zertifika widerruffe gouf a bitt ëmmer nach deen selwechten un. En Profil dee sech nach verbënnt beweist dofir just datt en eenzege Prüfer d’Kette akzeptéiert huet, net datt de Widerruff versot huet.

D’Lëscht ass selwer en ënnerschriwwenen Objet mat engem Ausgabdatum an engem nächsten Update-Datum. Eng fremd Lëscht, eng vun enger anerer Autoritéit ënnerschriwwen oder eng där hire nächsten Update vergaang ass, ersetzt déi aktuell net, an ob eng al Lëscht ofgeleent oder stëlleg akzeptéiert gëtt, hänkt vum Déploiement of.

Nei Verbindung géint lafend Sëtzung

De Widerruff gëtt bewäert wann eng Sëtzung opgebaut oder nei verhandelt gëtt, net géint den Datenkanal bei all Pak. E Client deen nach verbonne war huet Verkéiersschlëssel, dofir léisst hien och weider Päck duer nodeems säi Zertifika op der Lëscht erschéngt. De Standard-Intervall fir nei Verhandlunge gëtt an Stonne gemooss, dofir kann eng aktualiséiert Lëscht fir Neikommer gräifen, während en lafenden Tunnel bestoe bleift.

Eng direkt Duerchsetzung verlaangt eng bewosst Aktioun an net just d’Lëscht. De Service nei starten zwéngt all Client sech erëm ze verbannen, während d’Beende vun enger eenzeger Sëtzung iwwer d’Verwaltungsinterface déi aner onberéiert léisst. Wielt eng pro Incident a notéiert wéi eng Dir benotzt hutt. Déi zwou Optiounen hu verschidden Impaktradius, an dat ass déi richteg Entscheedung.

Liwwert d’Datei déi de Prüfer tatsächlech liest

D’Lëscht muss aus dem Register vun der Autoritéit generéiert a dann op all Maschinn kopéiert ginn déi Zertifikater prüft. Se um CA-Host generéieren an ni um Server installéieren ass de heefegste Feeler, an et gesäit genee aus wéi eng futti Widerruffsfunktioun.

ca ca.crt
cert server.crt
key server.key
crl-verify /etc/openvpn/crl.pem

Zwee Detailer entscheeden ob d’Datei tatsächlech gelies gëtt. En relativen Pad gëtt géint de Konfiguratiounsverzeechnis opgeléist, dofir gëtt eng Kopie am Home vun engem Bediener vläicht ni fonnt. An den Daemon gëtt normalerweis no dem Start seng Privilegien of, dofir brauch de Runtime-Kont Sichtrecht op all Elterenverzeechnis a Liesrecht op der Datei. Préift béides mam Runtime-Kont an net mat root, soss beweist den Test dat Falscht.

Op systemd-Hoste kann eng gehäert Eenheet de Pad och verstoppen, mat enger nëmme-Lies-Vue oder engem geschützten Systemverzeechnis. Vun ëmmerhalb vum Service ass dat net vun enger feelender Datei z’ënnerscheeden, dofir préift d’Restriktioune vun der Eenheet ier Dir no engem Berechtegungsfeeler sicht. Liest d’Eenheetsdatei ier Dir de Modus vun der Datei beschëllegt.

Bestätegt um Server, net um Client

De Serverlog nennt wat geschitt ass: d’Lëscht opmaachen, se lueden oder d’Prüfung mat der widerruffener Seriennummer feelen. De Client mellt just en allgemenge Handshake-Feeler, dofir sinn Client-Loggen eng schlecht Plaz fir eng Widerruffsentscheedung ze sichen.

Préift mat engem frëschen Versuch aus dem widerruffene Profil an hält dann op. Eng erfolgreich Verbindung aus deem Profil ass d’Signal fir de Dateipad an de Runtime-Kont z’ënnersichen, net fir unzehuelen d’Lëscht wier falsch. Hält deen erfolgreiche Versuch als Akzeptanztest, a zielt keng Reverbindung déi Dir net observéiert hutt.

Wat näischt widerrufft

De Profil vun engem Laptop läschen, d’Zertifikatsdatei vum Client ewechhuelen oder dem Benotzer soen hie soll ophalen sech ze verbannen ännert näischt um Server. Den Zertifika bleift gülteg bis d’Autoritéit de Widerruff registréiert an de Prüfer déi resultéierend Lëscht liest.

Dofir ass d’Kette wäert opzeschreiwen: registréiert de Widerruff, generéiert an ënnerschreift d’Lëscht, verdeelt genee déi Datei a bestätegt datt de Service-Kont se liese kann. All Glidd ass kuerz, an all fehlend Glidd léisst e widerruffene Client frou sech verbannen. Eng Checklist mat véier Zeile schléit eng Annahm ouni eng eenzeg.