VPN-Zertifikatsinventar: Wat d’CA-Regëster ka beweisen
E Server-Dossier, en CA-Regëster, eng Widderruff-Lëscht an eng Sitzungstabell äntweren op verschidde Froen. Halt se getrennt, wann Dir VPN-Identitéiten inventariséiert.
Är Paart akzeptéiert en Zertifikat vum Client, dat se nach ni gesinn huet, well dat, mat deem se konfiguréiert ass, en traute Aussteller ass, an d’Zertifikat kënnt am Handshake eran. Sou soll de Protokoll schaffen, an duerfir ass eng Dossier-Lëscht um Server en schlechten Inventar. Den Aussteller weess, wat hien erstallt huet, de Server weess, wat sech verbonnen huet, an de Widderruff-Status weess, wat zréckgezu gouf. En Inventar, deen déi dräi Opzeechnungen gemescht huet, behaapt am Schluss eppes, wat keng vun hinnen gesot huet.
D’Paart vertraut engem Aussteller, net enger Dateilëscht
D’Validatioun vergläicht en presentéierten Zertifikat mat engem Vertrauensanker, sou datt eng Identitéit, déi dee selwechten Aussteller gëschter erstallt huet, sech verbënnt, ouni jeemools um Server senger Disk existéiert ze hunn. Dofir muss näischt kopéiert ginn, an et muss een et och net em Hand ze stëmmen. Dofir beschreiwen dem Server seng eege Opzeechnungen Ukommen, net d’Bevëlkerung vun Identitéiten, déi kéinten ukommen.
Déi ëmgedréit Gruef ass grad esou ongemittlech. En Dossier kann ofgelafe Zertifikater enthalen, zréckgezunnen an Identitéiten, déi fir Apparater ausgestallt goufen, déi ni agesat goufen. Dateien ze zielen äntwert, wéi vill Dateien et gëtt, wat eng Fro ass, déi keen gestallt huet. Fänkt dofir mat den Opzeechnungen un, déi Bedeitung droen.
Véier Froen, véier verschidde Regëster
All Opzeechnungstyp äntwert eng Fro gutt an déi aner schlecht, dofir gesäit e Bericht, deen se verbënnt, komplett aus, während en op eng spezifesch Manéier falsch ass. D’Tabell hei drënner sortéiert se no der Fro, déi se entscheeden, an net no dem System, deen se produzéiert.
| Question you are answering | Where the answer lives | How quickly it changes | What it will never show |
|---|---|---|---|
| Was this identity ever created? | The issuer's issuance database | Only when something is issued | Whether the device still exists |
| Is a copy sitting on this host? | The paths you actually inspected | Whenever anyone copies files | Certificates that were never copied here |
| Has the issuer withdrawn it? | Published revocation state | When the issuer next publishes | Withdrawals that are not published yet |
| Is it connected right now? | The live session table | Continuously | Anything about past or future sessions |
En Archiv vun ëffentlechen Zertifikater ass keen Geheimnis, well et keng privat Schlësselen dréit, awer et ass och net ze deelen. Sujeten an Apparat-Nimm verroden operationell Detailer, an de Bericht soll bei deem Publikum bleiwen, deen en brauch. Privat Schlësselen bleiwen komplett ausserhalb vum Inventar, well den Inventar Metadaten brauch an net Umeldungsdaten.
Aussteller plus Seriennummer ass dee eenzegen zouverlässege Schlëssel
Sujete ginn nei benotzt a Dateinimm gi weiderverwennt, dofir kann en Numm, deen d’lescht Joer ee Apparat identifizéiert huet, elo een aneren identifizéieren. Keng vun deenen zwee ass e Schlëssel, an e Bericht, deen op engem vun hinnen opgebaut ass, wäert am Schluss zwou Identitéiten an enger Linn verschmëlzen.
D’Pair Aussteller a Seriennummer identifizéiert en Zertifikat eenzegaarteg, an déi zwee Felder kommen aus dem Zertifikat selwer. Schreift se op mat dem Sujet, den Gëltegkeetsdatumen, der Quell, vun där d’Kopie koum, an der verantwortlecher Persoun oder dem Apparat. Füügt de Widderruff- an den Asazstatus als getrennte Felder mat hiren eegenen Observatiounszäiten derbäi, well en Zertifikat bannent senger Gëltegkeetsfënster net automatesch autoriséiert ass. Déi zwou Tatsaachen liewen an ënnerschiddleche Systemer, an hir Zesummeféierung verstoppt de Fall, wou eng Identitéit zréckgezu gouf, während hir Datei nach aktuell ausgesäit.
Liest ee Zertifikat op eng Kéier
En Wildcard, deen sech iwwer en Dossier erstreckt, ass keng Batch-Schnittstell, an en verstoppt, wéi eng Datei wéi eng Ausgab produzéiert huet. Liest d’Metadaten pro Zertifikat, a liest d’Widderruff-Säit aus hirem eegene Artefakt. D’OpenSSL-x509-Referenz lëscht d’Felder op, déi déi Optiounen drécken.
openssl x509 -in <cert>.pem -noout -issuer -serial -subject -dates -fingerprint -sha256
openssl crl -in <issuer>.crl -noout -text | head -n 40Fir eng verwalt Easy-RSA PKI, frot d’Ausstellungsdatebank iwwer de Workflow, deen den Instrument ënnerstëtzt amplaz eng Dossier-Struktur unzehuelen, an haalt d’Originaler just liesbar, während den Inventar zesummegesat gëtt. D’Format vum Regëster ass reegelméisseg genuch, fir valabel Entréen ze zielen an déi zréckgezunnen opzelëschten, ouni d’Datebank em Hand opzemaachen.
grep -c '^V' pki/index.txt
grep '^R' pki/index.txt | cut -f4,5En Inventar, deen déi nächst Ausstellung iwwerlieft
En eemolegen Dossier-Dump ass veralt, dee Moment wou den nächsten Zertifikat ausgestallt gëtt, dofir baut de Bericht aus dem Ausstellungs-Workflow an loosst en als Deel vum normale Betrib aktualiséieren. Dat mécht de Bericht och reproduzéierbar, wat zielt, wann zwou Persounen net d’accord sinn, wat ausgestallt gouf.
Benotzt d’Resultat fir Entscheedungen iwwer Erneierung an Ausserbetribsnam, net als Tabelles-Rechnung. Eng lokal Kopie läschen mécht déi distanziert Kopien, déi et schonn gëtt, net ongëlteg. Zitt d’Identitéit iwwer de konfiguréierte Widderruff- a Genehmegungs-Workflow zréck, an notéiert dann de Widderruff mat sengem Datum. Eng Identitéit, déi vum Server verschwonnen ass, awer nach vum Aussteller vertraut gëtt, ass net ausser Betrib, an dee Verefferen trennt ee geneeën Inventar vun engem, deen just berouegt.