VPN sertifikātu uzskaite: ko var pierādīt CA reģistrs
Mape serverī, CA reģistrs, atsaukšanas saraksts un sesiju tabula atbild uz dažādiem jautājumiem. Veicot VPN identitāšu uzskaiti, turiet tos atsevišķi.
Jūsu vārteja pieņem klienta sertifikātu, kuru tā nekad nav redzējusi, jo tas, ar ko tā ir konfigurēta, ir uzticams izdevējs, un sertifikāts ierodas rokas paspiešanas laikā. Tā protokolam ir jādarbojas, un tieši tāpēc mapes saraksts serverī ir slikta uzskaite. Izdevējs zina, ko viņš izveidoja, serveris zina, kas pieslēdzās, un atsaukšanas stāvoklis zina, kas tika atsaukts. Uzskaite, kas sajauc šos trīs ierakstus, galu galā apgalvo kaut ko tādu, ko neviens no tiem neteica.
Vārteja uzticas izdevējam, nevis failu sarakstam
Validācija salīdzina iesniegto sertifikātu ar uzticības enkuru, tāpēc identitāte, ko tas pats izdevējs izveidoja vakar, pieslēdzas, nekad nav pastāvējusi servera diskā. Lai tas notiktu, nekas nav jākopē, un neviens to nav jāapstiprina ar roku. Tāpēc paša servera ieraksti apraksta ierašanos, nevis to identitāšu kopumu, kas varētu ierasties.
Pretējā plaisa ir tikpat neērta. Mapē var būt sertifikāti, kuriem beidzies termiņš, atsaukti sertifikāti un identitātes, kas izsniegtas ierīcēm, kuras nekad netika izvietotas. Failu skaitīšana atbild, cik failu ir, un tas ir jautājums, ko neviens neuzdeva. Tā vietā sāciet ar ierakstiem, kuriem ir nozīme.
Četri jautājumi, četri dažādi ieraksti
Katrs ieraksta veids uz vienu jautājumu atbild labi, bet uz pārējiem slikti, tāpēc ziņojums, kas tos apvieno, izskatās pilnīgs, lai gan ir konkrēti nepareizs. Zemāk esošā tabula kārto tos pēc jautājuma, ko tie atrisina, nevis pēc sistēmas, kas tos rada.
| Question you are answering | Where the answer lives | How quickly it changes | What it will never show |
|---|---|---|---|
| Was this identity ever created? | The issuer's issuance database | Only when something is issued | Whether the device still exists |
| Is a copy sitting on this host? | The paths you actually inspected | Whenever anyone copies files | Certificates that were never copied here |
| Has the issuer withdrawn it? | Published revocation state | When the issuer next publishes | Withdrawals that are not published yet |
| Is it connected right now? | The live session table | Continuously | Anything about past or future sessions |
Publisku sertifikātu arhīvs nav noslēpums, jo tajā nav privāto atslēgu, bet tas nav arī koplietojams. Subjekti un ierīču nosaukumi atklāj darbības detaļas, un ziņojumam jāpaliek pie tās auditorijas, kurai tas nepieciešams. Privātās atslēgas paliek pilnīgi ārpus uzskaites, jo uzskaitei vajag metadatus, nevis akreditācijas datus.
Izdevējs un sērijas numurs ir vienīgā stabilā atslēga
Subjekti tiek pārstrādāti un failu nosaukumi tiek izmantoti atkārtoti, tāpēc nosaukums, kas pērn apzīmēja vienu ierīci, tagad var apzīmēt citu. Neviens no tiem nav atslēga, un ziņojums, kas balstīts uz kādu no tiem, galu galā apvienos divas identitātes vienā rindā.
Izdevēja un sērijas numura pāris unikāli identificē sertifikātu, un abi lauki nāk no paša sertifikāta. Ierakstiet tos kopā ar subjektu, derīguma datumiem, avotu, no kura nāca kopija, un atbildīgo personu vai ierīci. Pievienojiet atsaukšanas un izvietošanas statusu kā atsevišķus laukus ar saviem novērojumu laikiem, jo sertifikāts derīguma logā nav automātiski pilnvarots. Šie divi fakti dzīvo dažādās sistēmās, un to apvienošana slēpj gadījumu, kad identitāte tika atsaukta, kamēr tās fails vēl izskatās aktuāls.
Lasiet vienu sertifikātu vienlaikus
Aizstājējzīme, kas izplešas pāri mapei, nav pakešu saskarne, un tā slēpj, kurš fails deva kādu izvadi. Lasiet metadatus katram sertifikātam atsevišķi, un lasiet atsaukšanas pusi no tā paša artefakta. OpenSSL x509 uzziņa uzskaita laukus, ko izdrukā šīs opcijas.
openssl x509 -in <cert>.pem -noout -issuer -serial -subject -dates -fingerprint -sha256
openssl crl -in <issuer>.crl -noout -text | head -n 40Pārvaldītai Easy-RSA PKI vaicājiet izsniegšanas datubāzi, izmantojot darbplūsmu, ko atbalsta rīks tā vietā, lai pieņemtu mapju izvietojumu, un turiet oriģinālus tikai lasāmus, kamēr uzskaite tiek veidota. Reģistra formāts ir pietiekami regulārs, lai saskaitītu derīgus ierakstus un uzskaitītu atsauktos, neatverot datubāzi ar roku.
grep -c '^V' pki/index.txt
grep '^R' pki/index.txt | cut -f4,5Uzskaite, kas pārdzīvo nākamo izsniegšanu
Vienreizēja mapes izgūšana noveco tajā mirklī, kad tiek izsniegts nākamais sertifikāts, tāpēc veidojiet ziņojumu no izsniegšanas darbplūsmas un ļaujiet tam atjaunoties kā parastas darbības daļai. Tas padara ziņojumu arī atkārtojamu, un tas ir svarīgi, kad divi cilvēki nepiekrīt, kas tika izsniegts.
Izmantojiet rezultātu atjaunošanas un ekspluatācijas pārtraukšanas lēmumiem, nevis kā izklājlapu vingrinājumu. Lokālas kopijas dzēšana neanulē jau esošās attālās kopijas. Atsauciet identitāti, izmantojot konfigurēto atsaukšanas un autorizācijas darbplūsmu, pēc tam reģistrējiet atsaukšanu ar tās datumu. Identitāte, kas pazuda no servera, bet izdevējs tai joprojām uzticas, nav izbeigta, un tieši šī atšķirība atdala precīzu uzskaiti no tādas, kas tikai nomierina.