ക്ലയന്റ് സർട്ടിഫിക്കറ്റ് നഷ്ടപ്പെട്ടോ? പേരിനാൽ അല്ല, സീരിയൽ നമ്പറിനാൽ റദ്ദാക്കുക

നിങ്ങളുടെ ക്ലയന്റിന്റെ സർട്ടിഫിക്കറ്റ് ഫയൽ മായ്ക്കപ്പെട്ടു, ഉടനെയുള്ള പ്രതികരണം പേര് റദ്ദാക്കി പുതിയത് നൽകുക എന്നതാണ്. ആ പ്രതികരണം യഥാർത്ഥ സർട്ടിഫിക്കറ്റ് സാധുവായി നിലനിർത്തുന്നു, കാരണം റദ്ദാക്കൽ ലേബലിന് അല്ല, സീരിയൽ നമ്പറിന് അടിസ്ഥാനമാക്കിയാണ് പ്രവർത്തിക്കുന്നത്. CA താൻ നൽകിയതിന്റെ ഒരു പകർപ്പ് ഏതാണ്ട് ഉറപ്പായും സൂക്ഷിക്കുന്നു, ആ പകർപ്പ് കണ്ടെത്തുകയാണ് മുഴുവൻ ജോലി.

ഫയൽ നഷ്ടപ്പെടുന്നത് CA രേഖ നഷ്ടപ്പെടുന്നതല്ല

Easy-RSA PKI താൻ നൽകിയ പൊതു സർട്ടിഫിക്കറ്റുകൾ സൂക്ഷിക്കുന്നു, നിലവിലെ പതിപ്പുകൾ PKI യുടെ certs_by_serial ഡയറക്ടറിയിൽ സീരിയൽ അനുസരിച്ചുള്ള പകർപ്പുകളും ശേഖരിക്കുന്നു. എന്തെങ്കിലും റദ്ദാക്കാൻ സ്വകാര്യ കീ ആവശ്യമില്ല. പ്രധാനമായത് CA സൈൻ ചെയ്ത കൃത്യമായ സർട്ടിഫിക്കറ്റാണ്, അത് CA യുടെ പക്കൽ ഇതിനകം ഉണ്ട്.

ശരിയായ PKI യുടെ ബാക്കപ്പ് പകർപ്പിൽ, അതിന്റെ ഉടമയായ അഡ്മിനിസ്ട്രേറ്ററോടൊപ്പം പ്രവർത്തിക്കുക. റദ്ദാക്കൽ ഓഡിറ്റ് ചെയ്യാവുന്ന ഒരു പ്രവർത്തനമാണ്, അർദ്ധരാത്രി പ്രൊഡക്ഷൻ ഡാറ്റാബേസിൽ ചെയ്യുന്ന നന്നാക്കലല്ല.

ക്ലയന്റിന്റെ ഇൻലൈൻ പൊതു സർട്ടിഫിക്കറ്റിന്റെ ഒരു പകർപ്പും മതി, വിന്യാസം ഒന്ന് സൂക്ഷിച്ചിട്ടുണ്ടെങ്കിൽ.

ആദ്യം ഇഷ്യൂവറും സീരിയലും വായിക്കുക

വീണ്ടെടുത്ത PEM പരിശോധിച്ച് ഇഷ്യൂവർ, സീരിയൽ നമ്പർ, വിഷയം, സാധുതാ കാലയളവ് എന്നിവ എഴുതിവയ്ക്കുക. സീരിയൽ നമ്പർ ഒരു ഇഷ്യൂവറുടെ പരിധിയിൽ അദ്വിതീയമാണ്, നിങ്ങളുടെ പരിസരത്തിലെ എല്ലാ CA കളിലുമല്ല, അതിനാൽ ഇഷ്യൂവർ ഐഡന്റിറ്റിയുടെ ഭാഗമാണ്. നിരവധി സർട്ടിഫിക്കറ്റുകൾ ഒരേ വിഷയം പങ്കിടുന്നുവെങ്കിൽ, അവയെ വേർതിരിക്കുന്നത് ആ സീരിയലുകളാണ്.

മൂല്യങ്ങൾ CA രേഖകളുമായും സർട്ടിഫിക്കറ്റ് ഉണ്ടെന്ന് നിങ്ങൾ കരുതുന്ന ഉപകരണമോ വ്യക്തിയോ ആയും ഒത്തുനോക്കുക.

പൊതുവായ പേര് വീണ്ടും ഉപയോഗിക്കാം, സാധാരണയായി അങ്ങനെയാണ് ചെയ്യുന്നത്. സീരിയലുകൾ എഴുതുന്നതിന് മുമ്പ് ഏത് സർട്ടിഫിക്കറ്റുകൾ പിൻവലിക്കണമെന്ന് തീരുമാനിക്കരുത്.

പുതിയ സർട്ടിഫിക്കറ്റ് റദ്ദാക്കുന്നത് എന്തുകൊണ്ട് ഒന്നും ചെയ്യുന്നില്ല

അതേ പൊതുപേരിൽ പകരം നൽകുന്നത് വേറെ സീരിയലുള്ള രണ്ടാമത്തെ സർട്ടിഫിക്കറ്റ് സൃഷ്ടിക്കുന്നു. പകരം റദ്ദാക്കുന്നത് പുതിയത് പിൻവലിക്കുകയും യഥാർത്ഥം കാലഹരണപ്പെടുന്നതുവരെ സാധുവായി നിലനിർത്തുകയും ചെയ്യുന്നു. CA യുടെ കാഴ്ചപ്പാടിൽ ഇവ രണ്ട് സ്വതന്ത്ര ഒബ്ജക്റ്റുകളാണ്, CRL പേരുകളല്ല സീരിയലുകളാണ് പട്ടികപ്പെടുത്തുന്നത്. CA ഇൻഡക്സ് ഓരോ ഇഷ്യൂ ചെയ്ത സർട്ടിഫിക്കറ്റിനും ഒരു വരി സൂക്ഷിക്കുന്നത് അതേ കാരണത്താലാണ്.

അതേ ആശയക്കുഴപ്പം വിപരീത തെറ്റ് സൃഷ്ടിക്കുന്നു: ക്ലയന്റിന്റെ ഫയൽ ഇല്ലാതാക്കി CA അത് മറന്നുവെന്ന് കരുതുന്നത്. ക്ലയന്റിൽ ഇല്ലാതാക്കുന്നത് റദ്ദാക്കൽ സംഭവമല്ല, പകർപ്പുള്ള ആർക്കും സർട്ടിഫിക്കറ്റ് പ്രവർത്തിക്കുന്നത് തുടരും.

രണ്ട് തെറ്റുകളും പേരിനെ ഐഡന്റിറ്റിയായി കാണുന്നതിൽ നിന്നാണ് വരുന്നത്.

സീരിയൽ പേരിടുന്ന സർട്ടിഫിക്കറ്റ് റദ്ദാക്കുക

CA യെ സ്പർശിക്കുന്നതിന് മുമ്പ് ഒബ്ജക്റ്റ് തിരിച്ചറിയുക: openssl x509 -in recovered-client.pem -noout -issuer -serial -subject -dates നാല് മൂല്യങ്ങളും ഒറ്റ പാസിൽ പ്രിന്റ് ചെയ്യുന്നു, CA ആർക്കൈവുമായി നിങ്ങൾ ഒത്തുനോക്കുന്നത് സീരിയലാണ്. Easy-RSA ആ ആർക്കൈവ് pki/certs_by_serial-ന് കീഴിൽ സൂക്ഷിക്കുന്നു, ഓരോ സീരിയലിന്റെ പേരിൽ ഒരു ഫയൽ. റദ്ദാക്കൽ കമാൻഡ് സീരിയലല്ല, പൊതുപേരാണ് സ്വീകരിക്കുന്നത്, അതിനാൽ ആർക്കൈവ് ചെയ്ത ഫയൽ pki/issued/<common-name>.crt-ലേക്ക് പകർത്തി പേര് നിങ്ങൾ തിരിച്ചറിഞ്ഞ ഒബ്ജക്റ്റിലേക്ക് ചൂണ്ടട്ടെ. PKI ഡയറക്ടറിയിൽ നിന്ന് easyrsa revoke <common-name> പ്രവർത്തിപ്പിക്കുക, തുടർന്ന് index.txt-ലെ ബന്ധപ്പെട്ട വരി R ആയി മാറിയോ എന്ന് പരിശോധിക്കുക. സീരിയൽ ഒബ്ജക്റ്റ് തിരഞ്ഞെടുക്കുന്ന വഴിയാണ്, കമാൻഡ് സ്വീകരിക്കുന്ന ആർഗ്യുമെന്റല്ല.

openssl x509 -in recovered-client.pem -noout -issuer -serial -subject -dates
cp pki/certs_by_serial/A1B2C3D4.pem pki/issued/client-01.crt
./easyrsa revoke client-01
grep -n client-01 pki/index.txt
./easyrsa gen-crl

index.txt R കാണിക്കുന്നില്ലെങ്കിൽ, നിർത്തി CRL സൃഷ്ടിക്കുന്നതിന് മുമ്പ് പിശക് വായിക്കുക, കാരണം ഇപ്പോഴും സാധുവായ രേഖയിൽ നിന്ന് നിർമ്മിച്ച CRL ഒന്നും പിൻവലിക്കുന്നില്ല. വരി മാറിയതിന് ശേഷം മാത്രമേ നിങ്ങൾ easyrsa gen-crl പ്രവർത്തിപ്പിച്ച് ഫയൽ വിതരണത്തിലേക്ക് പോകൂ.

CRL യഥാർത്ഥത്തിൽ പ്രാബല്യത്തിൽ വരുന്നിടത്ത് പ്രസിദ്ധീകരിക്കുക

PKI യുടെ പിന്തുണയുള്ള വർക്ക്ഫ്ലോ വഴി പുതിയ CRL സൃഷ്ടിക്കുക, തുടർന്ന് ഈ ഇഷ്യൂവറുടെ റദ്ദാക്കലുകൾ പ്രാബല്യത്തിൽ വരുത്തുന്ന ഓരോ പരിശോധനക്കാരനിലും അത് പ്രസിദ്ധീകരിക്കുക.

CA യിൽ കിടക്കുന്ന പുതുക്കിയ ഫയൽ ഒന്നും മാറ്റുന്നില്ല, കാരണം VPN തന്റെ സ്വന്തം പരിശോധനക്കാരനിൽ തീരുമാനം പൂർത്തിയാക്കുന്നു. CRL യുടെ ഇഷ്യൂവർ, സാധുതാ കാലയളവ്, റദ്ദാക്കിയ സീരിയലുകൾ എന്നിവ പരിശോധിച്ച്, സേവനം ഫയൽ വീണ്ടും ലോഡ് ചെയ്യുന്നുണ്ടെന്നും മുമ്പത്തേത് കാഷെ ചെയ്യുന്നില്ലെന്നും ഉറപ്പാക്കുക. ഉടമസ്ഥതയും പാതയും ഉള്ളടക്കത്തോളം പ്രധാനമാണ്: ഡീമണിന് വായിക്കാനാവാത്ത CRL ഒരു CRL ഇല്ലാതിരിക്കുന്നതിന് തുല്യമാണ്. OpenVPN ന്റെ crl-verify ഓപ്ഷൻ ഡീമൺ വായിക്കുന്ന ഫയൽ പേരിടുന്നു, അതിനാൽ സെർവർ കോൺഫിഗിൽ ആ പാതയും ഫയലിന്റെ ഉടമസ്ഥതയും പരിശോധിക്കുക.

ഫയലിന്റെ ടൈംസ്റ്റാമ്പ് കൊണ്ടല്ല, യഥാർത്ഥ കണക്ഷൻ ശ്രമം കൊണ്ട് പരിശോധിക്കുക.

CRL എപ്പോൾ തെറ്റായ ഉപകരണമാണെന്ന് അറിയുക

ഇഷ്യൂവറുടെ സ്വകാര്യ കീ ഇനി വിശ്വസനീയമല്ലെങ്കിൽ, അറിയാവുന്ന സീരിയലുകൾ പിൻവലിക്കുന്നത് അനധികൃത കൈവശക്കാരനെ പുതിയ സർട്ടിഫിക്കറ്റുകൾ സൈൻ ചെയ്യുന്നതിൽ നിന്ന് തടയാനാവില്ല. അത് ഇഷ്യൂവർ വിശ്വാസത്തിന്റെ പരിവർത്തനമാണ്, അതായത് പുതിയ CA ഉം വിതരണ പദ്ധതിയും, CRL യിൽ മറ്റൊരു എൻട്രിയല്ല. മുൻ അഡ്മിനിസ്ട്രേറ്റർക്ക് പ്രവേശനമുണ്ടായിരുന്നു എന്നത് തന്നെ കീ ദുരുപയോഗത്തിന്റെ തെളിവല്ല, അതിനാൽ വിശ്വാസം പുനർനിർമ്മിക്കുന്നതിന് മുമ്പ് വസ്തുതകൾ ശേഖരിക്കുക.

സ്റ്റാറ്റസ് അക്ഷരം മറിക്കാൻ ഇഷ്യൂ ചെയ്യൽ ഡാറ്റാബേസ് കൈകൊണ്ട് എഡിറ്റ് ചെയ്യുന്നത് സൈൻ ചെയ്ത റദ്ദാക്കലിന് പകരമല്ല, അത് CRL യെ രേഖകളുമായി പൊരുത്തക്കേടിൽ നിർത്തുന്നു.

സീരിയൽ, CRL, വിതരണ ഘട്ടം എന്നിവ ഒരു കുറിപ്പിൽ സൂക്ഷിക്കുക, അടുത്ത ഓഡിറ്റ് വായനാ വ്യായാമമായി മാറും. Easy-RSA പ്രോജക്റ്റ് നിങ്ങൾ ഇൻസ്റ്റാൾ ചെയ്ത പതിപ്പിനുള്ള പിന്തുണയുള്ള കമാൻഡുകൾ രേഖപ്പെടുത്തുന്നു, പിന്തുടരാൻ യോഗ്യമായ ഏക ഇന്റർഫേസ് അതാണ്.