Widderrufft VPN-Zertifikat verbënnt nach? CRL-Duerchsetzung préiwen

Du hues d'Zertifikat widderruff, eng nei Lëscht erstallt, an dat al Profil bréngt nach ëmmer en Tunnel erop. Um Widderruff selwer ass näischt futti: eng CRL ass eng ënnerschriwwe Feststellung, datt eng Seriennummer net méi gülteg ass, an se ännert den Zougang eréischt, wann d'Komponent, déi TLS terminéiert, se fir den richtegen Aussteller lued, ier se d'Acceptatiounsentscheedung trëfft. Genau do leie méi vun dëse Fäll, an dowéinst sinn Widderruff an Oflehnung zwou verschidde Saachen.

Schaff déi fënnef Kontrollen hei drënner an der Reiefolleg duerch, a bleif bei der éischter, déi net hält, well all spéider Kontroll déi virech als wouer viraussetzt.

Préif, wéi eng Komponent d'Acceptatiounsentscheedung trëfft

Nenn de Prozess, deen d'Client-Zertifikat validéiert, well nëmmen dee Prozess eng Lëscht duerchsetze kann. Op engem OpenVPN-Server ass et den Daemon selwer, konfiguréiert mat crl-verify. Bei ocserv ass et d'Linn crl an ocserv.conf. Bei strongSwan sinn d'Inputen déi geluede CRLen zesumme mat strictcrlpolicy. En TLS-terminéierende Proxy oder Apparat virum VPN kann de richtege Prüfer sinn, an wann dat esou ass, gesäit den Daemon hannendrun d'Client-Zertifikat ni.

WireGuard gehéiert an eng aner Kategorie. Et huet keng Zertifikater a keng Widderrufflëscht; e Peer gëtt iwwer säi ëffentleche Schlëssel an der Konfiguratioun eragelooss, also heescht Zougang ophiewen, dee Schlëssel ewechzehuelen. Wann s du bei enger pure WireGuard-Installatioun no enger CRL siche gees, ass dee Mechanismus net do.

Passt op d'Falle vun der Client-Säit op. E Client, deen d'Verbindung refuséiert, well him den Server-Zertifikat net gefält, setzt d'Kette vum Server duerch an widderrifft net seng eegen Autorisatioun. E Benotzer-Zertifikat gëtt nëmmen do widderruff, wou dat Benotzer-Zertifikat validéiert gëtt, an dat ass bal ëmmer d'Server-Säit.

Préif, fir wéi en Aussteller d'Lëscht ënnerschriwwe gouf

Eng CRL ass op eng ausstellend CA begrenzt. Mat enger Root an enger Intermediate kommen d'Blat-Zertifikater vun der Intermediate, also ass d'Lëscht, déi zielt, d'CRL vun der Intermediate; d'Lëscht vun der Root seet näischt iwwer déi Blieder. E Prüfer, deen op déi falsch Datei weist, parst se frou, fënnt keen passenden Aschrag an akzeptéiert alles.

Bestäteg d'Koppelung, ier s den Daemon beréiert. Den Aussteller um Zertifikat muss mam Subjekt vun der Lëscht iwwereneestëmmen:

openssl x509 -in client.crt -noout -issuer -serial
openssl crl  -in intermediate.crl -noout -issuer -lastupdate -nextupdate

Wann béid vun der selwechter CA kommen, ass d'Seriennummer, déi fir d'Zertifikat gedréckt gouf, dee Wäert, deen an der Lëscht musst stoen. Wann se net iwwereneestëmmen, hues du déi falsch CRL oder déi falsch Kopie dovun.

D'Gëltegkeet gehéiert zu der selwechter Kontroll. En nextUpdate an der Vergaangenheet mécht d'Lëscht al, an e Prüfer, deen fail-closed schafft, weist dann all Client of amplaz nëmmen dee widderrufften.

Préif, ob d'Seriennummer an der geluedener Kopie steet

Widderruffen schreift en Aschrag an d'CA-Datebank, an d'Nei-Erstellen schreift eng nei Datei. Keng vun den zwou Aktiounen erreecht en lafende Daemon, deen déi al Kopie beim Start gelueden huet. Dump d'Lëscht an siche d'Seriennummer:

openssl crl -in intermediate.crl -noout -text | grep -i -A2 'Serial Number'
openssl ca -revoke client.crt
openssl ca -gencrl -out intermediate.crl

Préif dann, wéi deng Implementatioun d'Datei ophëlt. OpenVPN liest e Pad, deen crl-verify krut, eemol beim Start, also brauch eng nei Lëscht en Neistart oder en Neistart-Signal; déiselwecht Optioun op en Verzeechnes geriicht gëtt bei all Verbindung nei gelies, an dowéinst gëtt et de Verzeechnesmodus. strongSwan muss seng Umeldungsinformatiounen nei lueden, zum Beispill mat swanctl --load-creds. Datt d'Datei op der Plack korrekt ass an datt de Prüfer se benotzt, sinn zwou verschidde Saachen.

Préif d'Politik fir eng fehlend oder ofgelafene Lëscht

Dëst ass d'Entscheedung, déi vill Installatiounen ni explizit treffen, an se entscheet, ob de Widderruff dech schützt oder all erausspärrt. Fail-closed heescht, datt ouni brauchbar Widderruffsinformatioun eng Oflehnung entsteet; fail-open heescht, datt de Prüfer ouni se viru leeft. strongSwan bitt d'Wiel als strictcrlpolicy un. OpenVPN mat crl-verify refuséiert de Start op enger Datei, déi et net liesen oder parse kann, an eng ofgelafene Lëscht erschéngt als TLS-Verifikatiounsfehler iwwer eng ofgelafene CRL amplaz als stille Akzept.

Egal wéi eng Richtung s du wiels, d'Automatiséierung zielt méi wéi d'Wiel: en Job, deen d'CRL virun nextUpdate nei erstallt, an eng Warnung, wann déi agesat Kopie eeler gëtt, halen all Politik dovun of, en Zwëschefall ze ginn. Online-Kontroll mat OCSP verluecht d'Aktualitéit op e Responder, awer déiselwecht Regel gëllt, well e Prüfer, deen net ageriicht ass fir d'Äntwert ze kontrolléieren, ännert näischt.

Préif déi aktiv Sëtzung, dann d'Kopien vum Schlëssel

De Widderruff gëtt während der Zertifikatsvalidéierung evaluéiert, déi beim Verbannen an beim Neiverhandelen geschitt. Eng etabléiert Sëtzung leeft weider, bis se nei verhandelt, an den Standard vun OpenVPN ass eemol an der Stonn mat reneg-sec 3600. Wann d'Persoun elo aus dem Netz muss, terminéier d'Sëtzung an publizéier d'Lëscht, a bestäteg duerno, datt d'Reconnect refuséiert gëtt.

Trenn d'Berechtegung vun hire Kopien. E Profil op engem Laptop läschen hält eng aner Kopie vum selwechte private Schlëssel net dovun of, sech z'authentifizéieren; de Widderruff ass et, deen all Kopie notzlos mécht, an eréischt wann déi virech Kontrollen halen. Gëff engem Ersatz-Apparat säin eegenen Zertifikat, sou datt ee ka widderruff ginn ouni deen aneren ze beréieren.

Ier s et fäerdeg nenns: d'validéierend Komponent ass benannt, den Aussteller vun der Lëscht passt zum Aussteller vum Blat, déi widderrufft Seriennummer sëtzt an der Kopie, déi den Daemon tatsächlech gelueden huet, d'Politik fir fehlend oder ofgelafene Lëschte ass bewosst a iwwerwaacht, an déi aktiv Sëtzung gouf terminéiert amplaz ofgewaart. D'Formater dohannert stinn an RFC 5280.