Изгубен клиентски сертификат? Откажете по сериски број, не по име

Датотеката со сертификатот на вашиот клиент исчезна, а рефлексот е да се откаже името и да се издаде нов. Тој рефлекс го остава оригиналниот сертификат валиден, бидејќи откажувањето работи на сериски број, а не на ознака. CA речиси сигурно уште чува копија од она што го издала, и пронаоѓањето на таа копија е целата задача.

Губењето датотека не е губење на записот на CA

Easy-RSA PKI ги чува издадените јавни сертификати, а тековните верзии архивираат и копии по серија во директориумот certs_by_serial на PKI. Приватниот клуч не е потребен за откажување. Важен е точниот сертификат што CA го потпишала, а CA веќе го има.

Работете на резервна копија од правилниот PKI, заедно со администраторот што го поседува. Откажувањето е операција што може да се ревидира, а не поправка на продукциска база на полноќ.

Копија од вградениот јавен сертификат на клиентот исто така е доволна, ако распоредувањето сочувало една.

Прво прочитајте го издавачот и серијата

Прегледајте го обновениот PEM и запишете ги издавачот, серискиот број, субјектот и периодот на важност. Серискиот број е единствен во опсегот на еден издавач, не меѓу сите CA во вашата околина, затоа издавачот е дел од идентитетот. Ако неколку сертификати делат субјект, токму тие серии ги разликуваат.

Споредете ги вредностите со записите на CA и со уредот или лицето за кое сметате дека го држи сертификатот.

Заедничкото име може повторно да се употреби, и обично така се прави. Не одлучувајте кои сертификати да се повлечат додека сериите не се запишани.

Зошто откажувањето на новиот сертификат не прави ништо

Издавањето замена со истото заедничко име создава втор сертификат со друга серија. Откажувањето на замената ја повлекува новата и го остава оригиналот валиден до неговото истекување. Од гледна точка на CA тоа се два независни објекти, а CRL наведува серии, а не имиња. Индексот на CA држи еден ред за секој издаден сертификат токму поради тоа.

Истата забуна го создава обратниот пропуст: бришење на клиентската датотека и претпоставка дека CA го заборавила. Бришењето кај клиентот не е настан на откажување, и сертификатот продолжува да работи за секој што има копија.

Двете грешки доаѓаат од третирањето на името како идентитет.

Откажете го сертификатот што го именува серијата

Идентификувајте го објектот пред да ја допрете CA: openssl x509 -in recovered-client.pem -noout -issuer -serial -subject -dates ги печати четирите вредности во еден премин, а серијата е она што го споредувате со архивата на CA. Easy-RSA ја чува таа архива под pki/certs_by_serial, со една датотека по серија. Командата за откажување прима заедничко име, а не серија, затоа копирајте ја архивираната датотека во pki/issued/<common-name>.crt и оставете името да покажува на идентификуваниот објект. Извршете easyrsa revoke <common-name> од директориумот на PKI, потоа проверете дали соодветниот ред во index.txt преминал во R. Серијата е начинот на кој го избирате објектот, а не аргумент што командата го прима.

openssl x509 -in recovered-client.pem -noout -issuer -serial -subject -dates
cp pki/certs_by_serial/A1B2C3D4.pem pki/issued/client-01.crt
./easyrsa revoke client-01
grep -n client-01 pki/index.txt
./easyrsa gen-crl

Ако index.txt не покажува R, запрете и прочитајте ја грешката пред да генерирате CRL, бидејќи CRL изграден од запис што уште е валиден не повлекува ништо. Дури откако редот ќе се смени, ја извршувате easyrsa gen-crl и преминувате на дистрибуција на датотеката.

Објавете го CRL таму каде што навистина се применува

Генерирајте нов CRL преку поддржаниот работен тек на PKI, потоа објавете го кај секој проверувач што ги применува откажувањата на овој издавач.

Ажурирана датотека што стои на CA не менува ништо, бидејќи VPN ја завршува одлуката кај својот проверувач. Проверете ги издавачот на CRL, периодот на важност и откажаните серии, и потврдете дека услугата ја вчитува датотеката повторно наместо да ја кешира претходната. Сопственоста и патеката се важни колку и содржината: CRL што демонот не може да го прочита не се разликува од никаков CRL. Опцијата crl-verify на OpenVPN ја именува датотеката што демонот ја чита, затоа проверете ја таа патека и сопственоста на датотеката во конфигурацијата на серверот.

Проверете со вистински обид за поврзување, не со временската ознака на датотеката.

Знајте кога CRL е погрешен алат

Ако приватниот клуч на издавачот веќе не е доверлив, повлекувањето на познати серии не може да го спречи неовластениот држач да потпишува нови сертификати. Тоа е премин на довербата во издавачот, односно нов CA и план за дистрибуција, а не уште еден запис во CRL. Тоа што поранешен администратор имал пристап само по себе не е доказ за злоупотреба на клучот, затоа утврдете ги фактите пред да ја обновите довербата.

Рачното уредување на базата на издавање за да се преврти буква за статус не е замена за потпишано откажување и го остава CRL во неусогласеност со записите.

Чувајте ги серијата, CRL и чекорот на дистрибуција во една белешка, и следната ревизија ќе стане вежба за читање. Проектот Easy-RSA ги документира поддржаните команди за верзијата што ја имате инсталирано, и тоа е единствениот интерфејс што вреди да се следи.