Nebula blokavimo sąrašas: paskirstykite jį, švyturys to nepadarys

Blokavimo sąrašo vykdymas yra tikrinantį hostą apibūdinanti savybė, o ne tikrinamo sertifikato savybė. Mašina, kuri niekada neįkėlė įrašo, toliau priima tapatybę, ir niekas rankos paspaudime neperspėja, kad du partneriai nesutaria. Pigus ir brangus tos pačios atskleistos prisijungimo informacijos sprendimai skiriasi aprėptimi ir grįžtamumu, todėl rinkitės sąmoningai. Tolesniuose skyriuose aprašoma, ką įrašas daro, kur jį reikia pristatyti, kada rotacija yra geresnis atsakymas ir kaip įrodyti, kad vienas iš jų suveikė.

Ką iš tikrųjų daro blokavimo sąrašo įrašas

PKI konfigūracija išvardija pirštų atspaudus, kuriuos hostas turi atmesti net tada, kai sertifikatas teisėtai pasirašytas ir nepasibaigęs. Vykdymas vyksta vietoje, pagal sąrašą, kurį tas hostas įkėlė paleidus paslaugą. Niekas apie įrašą nekeliauja sertifikato viduje, todėl partneris negali sužinoti sprendimo iš jam parodytos prisijungimo informacijos. Štai kodėl švyturys čia nevaidina jokio vaidmens: švyturiai padeda partneriams rasti vienas kitą ir perduoti srautą ten, kur tiesioginis kelias nepavyksta. Jie yra aptikimo ir perdavimo sluoksnis, o ne konfigūracijos platinimo kanalas.

Vienos mašinos atnaujinimas pakeičia tos mašinos sprendimus ir palieka kiekvieną kitą partnerį lygiai tokį, koks jis buvo. Partneris, kuris pasitiki pasirašymo institucija ir niekada nematė įrašo, neturi jokios priežasties ką nors atmesti. Todėl atšaukimo testavimas stebint švyturį nieko neįrodo, nes komponento, kurį stebite, niekada nebuvo prašyta vykdyti sąrašo.

Identifikuokite sertifikatą, o ne įrenginį

Naudokite prisijungimo informacijos, kurią ketinate atmesti, pirštų atspaudą, nes hosto vardas, įrenginio žymė ar dabartinis adresas šiandien identifikuoja mašiną, o kitą mėnesį kažką kita. Nė viena iš šių eilučių nerodoma blokavimo sąraše ir nė viena neišgyvena perdiegimo. Atspausdinkite sertifikatą, perskaitykite pirštų atspaudą ir patikrinkite, ar jis priklauso išimamai prisijungimo informacijai, o ne jos pakaitalui. Abiejų failų skaitymas svarbus, kai pakaitalas jau išduotas, nes senasis ir naujasis sertifikatai gali dalytis vardu ir skirtis visuose kituose laukuose.

Užrašykite, kuris pirštų atspaudas ir kada buvo užblokuotas, kad vėlesnis auditas atskirtų užbaigtą pakeitimą nuo numatyto. Taip pat pažymėkite, ko įrašas nedaro: jis nepanaikina pasirašymo institucijos ir netrukdo priimti būsimo tos institucijos sertifikato. Hosto sertifikato blokavimas ir kompromituotos institucijos pakeitimas yra skirtingos operacijos su skirtingomis pasekmėmis.

nebula-cert print -path /etc/nebula/host.crt
pki:
  blocklist:
    - "a1b2c3d4e5f6"

Paskirstykite jį kaip bet kurią kitą konfigūraciją

Traktuokite sąrašą kaip konfigūraciją su pristatymo mechanizmu, o ne kaip failą, kurį kas nors redaguoja, kai prisimena. Siųskite visą sąrašą, o ne delta, kad hostas, praleidęs ankstesnį atnaujinimą, susivienytų, o ne kauptų spragas. Nebula PKI dokumentacija rekomenduoja būtent tai, ir verta patarimo laikytis pažodžiui, o ne perfrazuoti jį į rankinį procesą.

Patvirtinkite, kad veikianti paslauga iš naujo įkėlė turinį, o ne tik kad pasikeitė diske esantis failas. Stebėkite, kurios mašinos pritaikė pakeitimą, ir laikykite likusį sąrašą matomą, kol jis bus tuščias. Savaitę uždarytas nešiojamasis kompiuteris yra partneris, kuris niekada neišmoko sprendimo, ir gali vėl prisijungti iš tinklo, kurio niekas nesitikėjo. Užrašykite pristatymo metodą šalia pirštų atspaudo, nes kitas atšaukimas jį naudos dar kartą, o pirmasis yra tas, kuriame procesas derinamas.

Blokavimo sąrašas ar institucijos rotacija

Blokavimo sąrašo įrašas yra siauras: viena tapatybė nustoja veikti, o visa kita tęsiasi. Pasirašymo institucijos rotacija yra plati: kiekvienas jos išduotas sertifikatas tampa nepatikimu, ir kiekvienam hostui reikia naujos prisijungimo informacijos bei naujo pasitikėjimo inkaro. Pirmasis yra tikslinis atšaukimas, antrasis yra migracija, todėl jiems reikia skirtingų patvirtinimų ir skirtingų priežiūros langų. Lentelė juos stato greta pagal aprėptį, pastangas ir grįžtamumą.

Pamestas nešiojamasis kompiuteris reikalauja blokavimo sąrašo, nes žalos spindulys yra viena tapatybė ir pakeitimą galima grąžinti, jei užblokavote neteisingą pirštų atspaudą. Nutekėjęs institucijos raktas reikalauja rotacijos, nes blokavimo sąrašas negali padėti sertifikatams, kurie dar neišduoti. Tarp šių kraštutinumų paklauskite, ar atskleista prisijungimo informacija galėjo pasirašyti ką nors kita, nes institucija yra daugiau nei vienas hostas.

Užrašykite sprendimą prieš incidentą, nes pasirinkimas esant spaudimui paprastai duoda platų variantą pagal nutylėjimą. Kad ir kokį kelią pasirinktumėte, likęs darbo elementas tas pats: įrodyti, kad vykdymas įvyko svarbiuose hostuose. Pirštų atspaudo ir datos užrašymas tuo metu yra tai, kas vėliau padaro įrodymą įmanomą.

Patikrinkite atmetimą ir likusią dalį

Prisijunkite iš užblokuotos tapatybės ir patvirtinkite nesėkmę, tada prisijunkite iš įgalioto partnerio ir patvirtinkite, kad jis vis dar pasiekia tai, ko jam reikia. Pakeitimas, kuris sulaužo visiems, nėra sėkmingas atšaukimas. Abudu atlikite iš naujų sesijų, nes talpykloje esanti būsena gali paslėpti rezultatą.

Patikrinkite, ar po pakeitimo nutrūksta jau nustatyta sesija, ir užrašykite elgseną savo versijai ir konfigūracijai, o ne manykite, kad failo redagavimas ką nors nutraukia. Parinktis disconnect_invalid apima klientus, kurių sertifikatai pasibaigę arba negaliojantys, todėl patvirtinkite, kaip ji taikoma jūsų atveju, prieš ja pasikliaudami. Jei būtinas nedelsiant nutraukimas, išbandykite tai atskirai ir užrašykite, ką pastebėjote. Tada pakartokite testą po perkrovimo, nes hostas, kuris sąrašą vykdo tik iki kito perkrovimo, turi pristatymo problemą, kurią pirmasis testas nuslėpė. Sveikas švyturys pasako, kad aptikimas veikia, o ne kad koks nors partneris pritaikė politiką.