Pametėte kliento sertifikatą? Atšaukite pagal serijos numerį, ne pagal vardą

Jūsų kliento sertifikato failas dingo, o refleksas yra atšaukti vardą ir išduoti naują. Šis refleksas palieka originalų sertifikatą galiojantį, nes atšaukimas veikia pagal serijos numerį, o ne pagal etiketę. CA beveik tikrai vis dar saugo išduoto dokumento kopiją, ir tos kopijos suradimas yra visas darbas.

Failo praradimas nėra CA įrašo praradimas

Easy-RSA PKI saugo išduotus viešuosius sertifikatus, o dabartinės versijos taip pat archyvuoja kopijas pagal seriją PKI certs_by_serial kataloge. Norint ką nors atšaukti, privataus rakto nereikia. Svarbiausia yra tikslus sertifikatas, kurį pasirašė CA, ir CA jį jau turi.

Dirbkite su teisingos PKI atsargine kopija kartu su ją valdančiu administratoriumi. Atšaukimas yra audituojama operacija, o ne remontas gamybinėje duomenų bazėje vidurnaktį.

Kliento įterpto viešojo sertifikato kopija taip pat tinka, jei diegimas ją išsaugojo.

Pirmiausia perskaitykite išdavėją ir seriją

Patikrinkite atkurtą PEM ir užsirašykite išdavėją, serijos numerį, subjektą ir galiojimo laikotarpį. Serijos numeris yra unikalus vieno išdavėjo apimtyje, o ne visose jūsų aplinkos CA, todėl išdavėjas yra tapatybės dalis. Jei keli sertifikatai turi tą patį subjektą, juos skiria būtent šios serijos.

Palyginkite reikšmes su CA įrašais ir su įrenginiu ar asmeniu, kuris, jūsų manymu, turi sertifikatą.

Bendras vardas gali būti naudojamas pakartotinai, ir dažniausiai taip daroma. Neskirkite, kurių sertifikatų atsisakyti, kol serijos numeriai neužrašyti.

Kodėl naujo sertifikato atšaukimas nieko neduoda

Išduodant pakaitalą tuo pačiu bendru vardu sukuriamas antras sertifikatas su kita serija. Atšaukus pakaitalą, naujasis atšaukiamas, o originalus lieka galiojantis iki jo galiojimo pabaigos. CA požiūriu tai du nepriklausomi objektai, o CRL išvardija serijas, o ne vardus. CA indeksas laiko po vieną eilutę kiekvienam išduotam sertifikatui būtent dėl šios priežasties.

Ta pati painiava sukelia priešingą klaidą: ištrinti kliento failą ir manyti, kad CA jį pamiršo. Ištrynimas kliente nėra atšaukimo įvykis, o sertifikatas toliau veikia visiems, kas turi kopiją.

Abi klaidos kyla iš to, kad vardas laikomas tapatybe.

Atšaukite sertifikatą, kurį nurodo serija

Nustatykite objektą prieš liesdami CA: openssl x509 -in recovered-client.pem -noout -issuer -serial -subject -dates atspausdina keturias reikšmes vienu kartu, o serija yra tai, ką lyginate su CA archyvu. Easy-RSA saugo tą archyvą po pki/certs_by_serial, po vieną failą kiekvienai serijai. Atšaukimo komanda priima bendrą vardą, o ne seriją, todėl nukopijuokite archyvuotą failą į pki/issued/<common-name>.crt ir leiskite vardui nurodyti nustatytą objektą. Paleiskite easyrsa revoke <common-name> iš PKI katalogo, tada patikrinkite, ar atitinkama eilutė index.txt faile pasikeitė į R. Serija yra būdas pasirinkti objektą, o ne argumentas, kurį komanda priima.

openssl x509 -in recovered-client.pem -noout -issuer -serial -subject -dates
cp pki/certs_by_serial/A1B2C3D4.pem pki/issued/client-01.crt
./easyrsa revoke client-01
grep -n client-01 pki/index.txt
./easyrsa gen-crl

Jei index.txt nerodo R, sustokite ir perskaitykite klaidą prieš generuodami CRL, nes CRL, sudarytas iš vis dar galiojančio įrašo, nieko neatsisako. Tik po to, kai eilutė pasikeičia, paleidžiate easyrsa gen-crl ir pereinate prie failo platinimo.

Paskelbkite CRL ten, kur jis iš tikrųjų taikomas

Sugeneruokite naują CRL naudodami palaikomą PKI darbo eigą, tada paskelbkite jį kiekviename tikrintuve, kuris taiko šio išdavėjo atšaukimus.

Atnaujintas failas, gulintis ant CA, nieko nekeičia, nes VPN sprendimą užbaigia savo tikrintuve. Patikrinkite CRL išdavėją, galiojimo laikotarpį ir atšauktas serijas bei įsitikinkite, kad paslauga failą įkelia iš naujo, o ne kašuoja ankstesnį. Nuosavybė ir kelias svarbūs tiek pat, kiek turinys: CRL, kurio demonas negali perskaityti, nesiskiria nuo jokio CRL. OpenVPN parinktis crl-verify nurodo failą, kurį skaito demonas, todėl patikrinkite tą kelią ir failo nuosavybę serverio konfigūracijoje.

Tikrinkite tikru prisijungimo bandymu, o ne failo laiko žyma.

Žinokite, kada CRL yra netinkamas įrankis

Jei išdavėjo privatus raktas nebėra patikimas, žinomų serijų atšaukimas nesustabdys neteisėto turėtojo pasirašyti naujų sertifikatų. Tai išdavėjo pasitikėjimo perėjimas, tai yra nauja CA ir platinimo planas, o ne dar vienas įrašas CRL. Buvusio administratoriaus prieiga savaime nėra rakto piktnaudžiavimo įrodymas, todėl pirmiau surinkite faktus, o tada atstatykite pasitikėjimą.

Rankinis išdavimo duomenų bazės redagavimas siekiant apversti būsenos raidę nepakeičia pasirašyto atšaukimo ir palieka CRL nenuoseklų su įrašais.

Laikykite seriją, CRL ir platinimo žingsnį vienoje pastaboje, ir kitas auditas taps skaitymo pratimu. Easy-RSA projektas dokumentuoja palaikomas komandas jūsų įdiegtai versijai, ir tai yra vienintelė sąsaja, kurios verta laikytis.