Инвентар на VPN сертификати: што може да докаже регистарот на CA
Папка на серверот, регистар на CA, список за отповикување и табела на сесии одговараат на различни прашања. Држете ги одвоено кога правите инвентар на VPN идентитети.
Вашата порта прифаќа клиентски сертификат што никогаш не го видела, бидејќи она со што е конфигурирана е доверлив издавач, а сертификатот пристигнува за време на ракувањето. Така треба да работи протоколот, и токму затоа списокот на папката на серверот е лош инвентар. Издавачот знае што создал, серверот знае што се поврзало, а состојбата на отповикување знае што е повлечено. Инвентар што ги меша овие три записи на крајот тврди нешто што ниту еден од нив не го кажал.
Портата верува на издавач, а не на список на датотеки
Валидацијата го споредува претставениот сертификат со сидро на доверба, така што идентитет создаден вчера од истиот издавач се поврзува без никогаш да постоел на дискот на серверот. За тоа да се случи, ништо не треба да се копира и никој не треба тоа да го одобри рачно. Затоа сопствените записи на серверот опишуваат пристигнувања, а не популацијата на идентитети што би можеле да пристигнат.
Спротивниот јаз е исто толку непријатен. Папката може да содржи истечени сертификати, отповикани и идентитети издадени за уреди што никогаш не биле распоредени. Броењето датотеки одговара колку датотеки има, што е прашање што никој не го поставил. Започнете наместо тоа од записите што носат значење.
Четири прашања, четири различни записи
Секој тип на запис добро одговара на едно прашање, а лошо на другите, затоа извештајот што ги спојува изгледа целосен, а е погрешен на одреден начин. Табелата подолу ги подредува според прашањето што го решаваат, а не според системот што ги создава.
| Question you are answering | Where the answer lives | How quickly it changes | What it will never show |
|---|---|---|---|
| Was this identity ever created? | The issuer's issuance database | Only when something is issued | Whether the device still exists |
| Is a copy sitting on this host? | The paths you actually inspected | Whenever anyone copies files | Certificates that were never copied here |
| Has the issuer withdrawn it? | Published revocation state | When the issuer next publishes | Withdrawals that are not published yet |
| Is it connected right now? | The live session table | Continuously | Anything about past or future sessions |
Архива на јавни сертификати не е тајна, бидејќи не содржи приватни клучеви, но ниту е за споделување. Субјектите и имињата на уредите откриваат оперативни детали, и извештајот треба да остане кај публиката што му е потребна. Приватните клучеви остануваат целосно надвор од инвентарот, бидејќи на инвентарот му требаат метаподатоци, а не акредитиви.
Издавачот и серискиот број се единствениот стабилен клуч
Субјектите се рециклираат, а имињата на датотеките се користат повторно, така што име што минатата година означувало еден уред сега може да означува друг. Ниту едно од двете не е клуч, и извештај изграден на кое било од нив на крајот ќе спои два идентитети во една линија.
Парот издавач и сериски број уникатно го идентификува сертификатот, и двете полиња доаѓаат од самиот сертификат. Запишете ги со субјектот, датумите на важност, изворот од кој дошла копијата и одговорното лице или уред. Додајте состојба на отповикување и распоредување како одделни полиња со сопствени времиња на набљудување, бидејќи сертификат во рамки на неговиот прозорец на важност не е автоматски овластен. Овие два факти живеат во различни системи, а нивното спојување го крие случајот кога идентитетот бил повлечен додека неговата датотека се уште изгледа актуелна.
Читајте по еден сертификат
Џокер знак што се шири низ папка не е пакетен интерфејс и крие која датотека кој излез го дала. Читајте ги метаподатоците по сертификат и читајте ја страната на отповикување од нејзиниот сопствен артефакт. Упатството за OpenSSL x509 ги наведува полињата што ги печатат тие опции.
openssl x509 -in <cert>.pem -noout -issuer -serial -subject -dates -fingerprint -sha256
openssl crl -in <issuer>.crl -noout -text | head -n 40За управуван Easy-RSA PKI, прашајте ја базата на податоци за издавање преку работниот тек што алатката го поддржува наместо да претпоставувате распоред на папки, и држете ги оригиналите само за читање додека се составува инвентарот. Форматот на регистарот е доволно правилен за да се избројат валидни записи и да се наведат повлечените без рачно отворање на базата.
grep -c '^V' pki/index.txt
grep '^R' pki/index.txt | cut -f4,5Инвентар што ја преживува следната издадба
Еднократното исфрлање на папка станува застарено во моментот кога ќе се издаде следниот сертификат, затоа градете го извештајот од работниот тек на издавање и оставете го да се ажурира како дел од нормалното работење. Тоа го прави извештајот и репродуктивен, што е важно кога двајца луѓе не се согласуваат што е издадено.
Користете го резултатот за одлуки за обновување и повлекување од употреба, а не како вежба со табела. Бришењето локална копија не ги поништува далечните копии што веќе постојат. Повлечете го идентитетот преку конфигурираниот работен тек за отповикување и авторизација, потоа запишете го повлекувањето со неговиот датум. Идентитет што исчезнал од серверот, но издавачот се уште му верува, не е повлечен од употреба, и токму таа разлика го дели точниот инвентар од оној што само смирува.