Falscht VPN-Zertifikat widerruff? Erhuelungsoptiounen a Grenzen

Een huet e Zertifikat an der CA-Konsole widerruff an elo kann e Benotzer sech net verbannen. Den éischten Instinkt ass d'Réckgängig ze sichen, an a meeschten PKIen gëtt et keng: de Widerruff ass eng erkläert Tatsaach iwwer eng Seriennummer, an de unterstützte Wee zréck ass en neit Zertifikat, keen ëmgedréiten Datensatz. Gitt déi ënnen Kontrollen an der Rei duerch, well wéi eng Reparatur erlaabt ass, hänkt vum Grondcode an dovun of, ob de Schlëssel jeemools exponéiert gouf.

Identifizéiert d'Zertifikat, net d'Persoun

Gewéinlech Nimm widderhuelen sech. E Benotzer, dee lescht Quartal nei ageschriwwe gouf, kann zwee Zertifikate mat der selwechter CN an ënnerschiddleche Seriennummeren hunn, an de Widerruff vun engem léisst deen aneren funktionnéieren. Bestëmmt als éischt dat genee Objet:

openssl x509 -in client.crt -noout -serial -issuer -subject -dates
openssl crl -in ca.crl -noout -text | head -40

Schreift d'Seriennummer, den Aussteller, den Datum vum Widerruff an de Grond, deen an der CRL agedroe gouf, op. Bestätegt duerno, wéi eng Apparater dës Seriennummer presentéieren, well en widerrufft Zertifikat nach op engem Laptop, engem Telefon an engem Ersatzrouter installéiert ka sinn, an en Ersatz, deen nëmmen een vun hinnen erreecht, produzéiert en zweeten Tëschefall.

Eng séier Verhalenskontroll bestätegt den Zoustand ouni eppes ze changéieren:

openssl verify -crl_check -CAfile ca.crt -CRLfile ca.crl client.crt

Wann se d'Zertifikat als widerruff mëscht, stëmmen d'CRL an de Client iwwerenee; wann et propper verifizéiert, ass de Client, deen Dir hält, net deen widerrufften, an d'Sich geet weider.

Kuckt no, ob d'CA eng Spär oder e permanente Widerruff benotzt huet

RFC 5280 definéiert certificateHold als temporäre Zoustand an removeFromCRL als dat Signal, dat en fräigëtt. Dee Liewenszyklus ass real, awer et ass keen allgemenge Réckgängigsknäppchen. De Grondcode liesen seet Iech, ob den Aussteller jeemools eng Fräigabe wollt ënnerstëtzen.

D'Falle ass unzehuelen, eng temporär Absicht bedeit en temporären Datensatz. Wann den CA-Andro keyCompromise oder cessationOfOperation dréit, ass d'Zertifikat permanent widerruff, egal wat d'Persoun, déi de Knäppchen gedréckt huet, virhat. Ëmgedréit ass en Andro mat certificateHold op enger CA, déi d'Spärfräigabe net implementéiert, an der Praxis permanent, well näischt jeemools d'Fräigabe publizéiere wäert.

OpenSSL-baséiert CAen illustréieren d'Grenz. Den ca-Befehl akzeptéiert -crl_reason-Wäerter, dorënner certificateHold an removeFromCRL, awer en generéiert keng Delta-CRLen — d'OpenSSL CA-Dokumentatioun nennt déi Aschränkung fir hire CRL-Output. Eng komplett CRL, déi d'Seriennummer einfach ewechléisst, ass en anert Publikatiounsmodell wéi en Delta, dee seet "dësen Andro ass fräiginn", also produzéiert d'Afügen vun removeFromCRL an en OpenSSL-baséiert VPN-CA net déi standardsdefinéiert Fräigabe.

Wann de Schlëssel exposéiert konnt sinn, ersetzt en

En widerrufft Zertifikat ass eng Ausso, datt dësem Schlëssel vläicht net méi ze vertraue ass. Wann de Widerruff sachlech richteg war — Laptop verluer, Schlëssel op eng gedeelt Disk kopéiert, private Schlëssel an en Ticket agefüügt — dann ëmdréit d'Erhuelung vum selwechten Zertifikat eng Sécherheetsentscheedung, déi wéi virgesinn funktionnéiert huet.

Gitt en neit Schlësselpaar iwwer den Aschreiwungsprozess eraus, verdeelt den neie Profil a loosst déi al Seriennummer fir hire ganze Liewen widerruff. Aktualiséiert alles, wat d'Identitéit iwwer Seriennummer oder Fangerofdrock festnéilt, dorënner Zougangslëschten, Apparatinventairen a Monitoring, dat en bestëmmten Zertifikat erwaart.

D'Bequemlechkeetsargument fir deen alen z'erhuelen ass real, awer et soll ausdrécklech beäntwert ginn, net stëll. "De Benotzer brauch haut Zougang" ass e Grond, d'Ausgab ze beschleunegen, keen Grond, de Widerruff vun engem Schlëssel zréckzehuelen, fir deen Dir keng Rechenschaft kënnt ofleeën.

Wann et en administratiwe Feeler war, ersetzt ënner Kontroll

Wann de Widerruff einfach falsch war an de Schlëssel ni exposéiert gouf, ass d'Reparatur nach ëmmer eng kontrolléiert Ersetzung an net eng Ännerung. Benotzt den ënnerstëtzte Prozess vum Aussteller, haalt d'Seriennummer an d'Ausgabhistorie onbeschiedegt, a vermeit déi zwee verlockend Ofkierzungen: den Zoustandszeechen an index.txt vun R zréck op V ze dréien, an d'Ausgabzeil ze läschen, sou datt en neit Zertifikat d'Seriennummer ka weiderbenotzen.

Op enger OpenSSL-CA ass d'Datebank tabulatoregetrennt a liicht falsch ze liesen, wat d'manuell Ännerung attraktiv mécht:

awk -F'\t' '$1=="R" {print $4, $3, $6}' index.txt

Liest se, schreift se net. D'Ännere vun der Datei ännert déi nächst CRL ouni all Audit-Spur, an all zweet CA-Instanz oder Backop, déi d'Originalzeil nach huet, wäert hir méi spéit widerspriechen.

Nodeems Dir den Ersatz erausginn hutt, publizéiert eng frësch CRL iwwer de normale Mechanismus a loosst d'Clienten se ophuelen. Eng CRL ewechhuelen, hir Liewensdauer op null verkierzen oder d'Widerruffspréifung am Clientprofil desaktivéieren reparéiert ee Benotzer, andeems all aner Widerruff geschwächt gëtt, déi d'CA jeemools publizéiert huet.

Bestätegt eng frësch Admissionsaus an haalt de Rekord

Testt mat enger neier Verbindung, net mat der Sitzung, déi schonn oppen war. En liewegen Tunnel féiert d'Admissionskontrollen, déi en neie Handshake mécht, vläicht net nach eng Kéier aus, an CRL-Caches bedeiten, datt e Client sech ka weider verbannen, bis en sech aktualiséiert. Trennt, verbënnt erëm, a bestätegt am Serverlog, wéi eng Seriennummer zougelooss gouf.

Hält fest, wat geschitt ass, soulaang et nach frësch ass: wéi eng Seriennummer widerruff gouf, vun wiem, mat wéi engem Grond, wéi en Ersatz erausginn gouf a wéini d'CRL nei publizéiert gouf. Dee Rekord mécht déi nächst Widerruffsrevue méiglech, an et ass och de Beweis, datt de Feeler behandelt an net verstoppt gouf.

Fir kuerz Suspensiounen an Zukunft benotzt en Admissionspausmechanismus, wann den Deploiement een huet — en Kont, deen an der Identitéitsschicht desaktivéiert gëtt, eng entfernten Gruppememberschaft, e zréckgehalenen Clientprofil. Dat hält eng temporär Richtlinnentscheedung getrennt vun der Fro, ob en erausginn Zertifikat nach vertrauenswierdeg ass, an genau dee Ënnerscheed ass déi éischte Kéier verluer gaang.