Pazaudējāt klienta sertifikātu? Atsauciet pēc sērijas numura, nevis pēc nosaukuma

Jūsu klienta sertifikāta fails ir pazudis, un reflekss ir atsaukt nosaukumu un izdot jaunu. Šis reflekss atstāj oriģinālo sertifikātu derīgu, jo atsaukšana balstās uz sērijas numuru, nevis uz etiķeti. CA gandrīz noteikti joprojām glabā izdotā kopiju, un šīs kopijas atrašana ir viss darbs.

Faila zaudēšana nav CA ieraksta zaudēšana

Easy-RSA PKI glabā izdotos publiskos sertifikātus, un pašreizējās versijas arhivē arī kopijas pēc sērijas PKI mapē certs_by_serial. Privātā atslēga atsaukšanai nav nepieciešama. Svarīgākais ir precīzais sertifikāts, ko parakstījusi CA, un CA tas jau ir.

Strādājiet ar pareizās PKI dublējumu kopā ar administratoru, kuram tā pieder. Atsaukšana ir auditējama darbība, nevis remonts ražošanas datubāzē pusnaktī.

Der arī klienta iegultā publiskā sertifikāta kopija, ja izvietošana kādu saglabāja.

Vispirms izlasiet izdevēju un sēriju

Pārbaudiet atjaunoto PEM un pierakstiet izdevēju, sērijas numuru, subjektu un derīguma periodu. Sērijas numurs ir unikāls viena izdevēja ietvaros, nevis visās jūsu vides CA, tāpēc izdevējs ir identitātes daļa. Ja vairāki sertifikāti kopīgo subjektu, tieši šīs sērijas tos atšķir.

Salīdziniet vērtības ar CA ierakstiem un ar ierīci vai personu, kurai, jūsuprāt, pieder sertifikāts.

Koplietojamu nosaukumu var izmantot atkārtoti, un parasti tā arī notiek. Nelemi, kuri sertifikāti jāatsauc, pirms sērijas numuri nav pierakstīti.

Kāpēc jaunā sertifikāta atsaukšana neko nedara

Izsniedzot aizvietotāju ar to pašu koplietojamo nosaukumu, tiek izveidots otrs sertifikāts ar citu sēriju. Atsaucot aizvietotāju, jaunais tiek atsaukts, un oriģinālais paliek derīgs līdz tā termiņa beigām. CA skatījumā tie ir divi neatkarīgi objekti, un CRL uzskaita sērijas, nevis nosaukumus. CA indekss glabā vienu rindu katram izdotajam sertifikātam tieši šī iemesla dēļ.

Tā pati neskaidrība rada pretējo kļūdu: izdzēst klienta failu un pieņemt, ka CA to aizmirsa. Dzēšana klientā nav atsaukšanas notikums, un sertifikāts turpina darboties ikvienam, kam ir kopija.

Abas kļūdas rodas no nosaukuma uztveršanas par identitāti.

Atsauciet sertifikātu, kuru nosauc sērija

Identificējiet objektu pirms CA aizskaršanas: openssl x509 -in recovered-client.pem -noout -issuer -serial -subject -dates izdrukā četras vērtības vienā piegājienā, un sērija ir tas, ko salīdzināt ar CA arhīvu. Easy-RSA glabā šo arhīvu zem pki/certs_by_serial, ar vienu failu katrai sērijai. Atsaukšanas komanda pieņem koplietojamu nosaukumu, nevis sēriju, tāpēc kopējiet arhivēto failu uz pki/issued/<common-name>.crt un ļaujiet nosaukumam norādīt uz identificēto objektu. Palaidiet easyrsa revoke <common-name> no PKI mapes, tad pārbaudiet, vai attiecīgā rinda failā index.txt ir mainījusies uz R. Sērija ir veids, kā izvēlaties objektu, nevis arguments, ko komanda pieņem.

openssl x509 -in recovered-client.pem -noout -issuer -serial -subject -dates
cp pki/certs_by_serial/A1B2C3D4.pem pki/issued/client-01.crt
./easyrsa revoke client-01
grep -n client-01 pki/index.txt
./easyrsa gen-crl

Ja index.txt neuzrāda R, apstājieties un izlasiet kļūdu pirms CRL ģenerēšanas, jo CRL, kas veidots no joprojām derīga ieraksta, neko neatsauc. Tikai pēc rindas maiņas jūs palaižat easyrsa gen-crl un pārejat pie faila izplatīšanas.

Publicējiet CRL tur, kur tas faktiski tiek piemērots

Ģenerējiet jaunu CRL, izmantojot PKI atbalstīto darbplūsmu, pēc tam publicējiet to katrā pārbaudītājā, kas piemēro šī izdevēja atsaukumus.

Atjaunināts fails, kas atrodas uz CA, neko nemaina, jo VPN lēmumu pabeidz savā pārbaudītājā. Pārbaudiet CRL izdevēju, derīguma periodu un atsauktās sērijas, un apstipriniet, ka pakalpojums failu ielādē no jauna, nevis kešo iepriekšējo. Īpašumtiesības un ceļš ir tikpat svarīgi kā saturs: CRL, ko dēmons nevar nolasīt, neatšķiras no CRL neesamības. OpenVPN opcija crl-verify nosauc failu, ko dēmons lasa, tāpēc pārbaudiet šo ceļu un faila īpašumtiesības servera konfigurācijā.

Pārbaudiet ar reālu savienojuma mēģinājumu, nevis ar faila laika zīmi.

Ziniet, kad CRL ir nepareizais rīks

Ja izdevēja privātā atslēga vairs nav uzticama, zināmu sēriju atsaukšana nevar apturēt neatļautu turētāju no jaunu sertifikātu parakstīšanas. Tas ir izdevēja uzticības pāreja, tas ir jauna CA un izplatīšanas plāns, nevis vēl viens ieraksts CRL. Bijušā administratora piekļuve pati par sevi nav atslēgas ļaunprātīgas izmantošanas pierādījums, tāpēc vispirms iegūstiet faktus un tad atjaunojiet uzticību.

Izdošanas datubāzes manuāla rediģēšana, lai apgrieztu statusa burtu, neaizstāj parakstītu atsaukšanu un atstāj CRL nekonsekventu ar ierakstiem.

Glabājiet sēriju, CRL un izplatīšanas soli vienā piezīmē, un nākamā revīzija kļūs par lasīšanas vingrinājumu. Easy-RSA projekts dokumentē atbalstītās komandas jūsu instalētajai versijai, un tā ir vienīgā saskarne, kurai ir vērts sekot.