തെറ്റായ VPN സർട്ടിഫിക്കറ്റ് റദ്ദാക്കിയോ? വീണ്ടെടുക്കൽ ഓപ്ഷനുകളും പരിധികളും

ആരോ CA കൺസോളിൽ ഒരു സർട്ടിഫിക്കറ്റ് റദ്ദാക്കി, ഇപ്പോൾ ഉപയോക്താവിന് കണക്റ്റ് ചെയ്യാനാകുന്നില്ല. ആദ്യ ചോദന റദ്ദാക്കൽ പഴയപടിയാക്കാനുള്ള വഴി തിരയുകയാണ്, മിക്ക PKI-കളിലും അതില്ല: റദ്ദാക്കൽ സീരിയൽ നമ്പറിനെക്കുറിച്ചുള്ള പ്രഖ്യാപിത വസ്തുതയാണ്, പിന്തുണയുള്ള തിരിച്ചുവരവ് പുതിയ സർട്ടിഫിക്കറ്റാണ്, തലകീഴായ രേഖയല്ല. താഴെയുള്ള പരിശോധനകൾ ക്രമത്തിൽ നടത്തുക, കാരണം ഏത് അറ്റകുറ്റപ്പണിയാണ് അനുവദനീയമെന്നത് കാരണം കോഡിനെയും കീ ഒരിക്കലും വെളിപ്പെട്ടിട്ടുണ്ടോ എന്നതിനെയും ആശ്രയിച്ചിരിക്കുന്നു.

സർട്ടിഫിക്കറ്റ് തിരിച്ചറിയുക, വ്യക്തിയെയല്ല

സാധാരണ പേരുകൾ ആവർത്തിക്കുന്നു. കഴിഞ്ഞ പാദത്തിൽ വീണ്ടും രജിസ്റ്റർ ചെയ്ത ഉപയോക്താവിന് ഒരേ CN-യും വ്യത്യസ്ത സീരിയൽ നമ്പറുകളുമുള്ള രണ്ട് സർട്ടിഫിക്കറ്റുകൾ ഉണ്ടായിരിക്കാം, ഒന്ന് റദ്ദാക്കിയാലും മറ്റൊന്ന് പ്രവർത്തിക്കും. ആദ്യം കൃത്യമായ വസ്തു നിർണ്ണയിക്കുക:

openssl x509 -in client.crt -noout -serial -issuer -subject -dates
openssl crl -in ca.crl -noout -text | head -40

സീരിയൽ നമ്പർ, ഇഷ്യൂവർ, റദ്ദാക്കിയ തീയതി, CRL-ൽ രേഖപ്പെടുത്തിയ കാരണം എന്നിവ എഴുതുക. തുടർന്ന് ആ സീരിയൽ നമ്പർ അവതരിപ്പിക്കുന്ന ഉപകരണങ്ങൾ സ്ഥിരീകരിക്കുക, കാരണം റദ്ദാക്കിയ സർട്ടിഫിക്കറ്റ് ഇപ്പോഴും ലാപ്ടോപ്പിലും ഫോണിലും കരുതൽ റൗട്ടറിലും ഇൻസ്റ്റാൾ ചെയ്തിരിക്കാം, അവയിലൊന്നിലേക്ക് മാത്രം എത്തുന്ന പകരം രണ്ടാമത്തെ സംഭവം സൃഷ്ടിക്കുന്നു.

വേഗത്തിലുള്ള സ്വഭാവ പരിശോധന ഒന്നും മാറ്റാതെ അവസ്ഥ സ്ഥിരീകരിക്കുന്നു:

openssl verify -crl_check -CAfile ca.crt -CRLfile ca.crl client.crt

അത് സർട്ടിഫിക്കറ്റ് റദ്ദാക്കിയതായി റിപ്പോർട്ട് ചെയ്താൽ, CRL-ഉം ക്ലയന്റും യോജിക്കുന്നു; അത് വൃത്തിയായി സ്ഥിരീകരിക്കപ്പെട്ടാൽ, നിങ്ങളുടെ കൈവശമുള്ള ക്ലയന്റ് റദ്ദാക്കിയതല്ല, തിരച്ചിൽ തുടരുന്നു.

CA ഹോൾഡോ സ്ഥിരമായ റദ്ദാക്കലോ ഉപയോഗിച്ചോ എന്ന് പരിശോധിക്കുക

RFC 5280 certificateHold-നെ താൽക്കാലിക അവസ്ഥയായും removeFromCRL-നെ അത് വിടുവിക്കുന്ന സിഗ്നലായും നിർവചിക്കുന്നു. ആ ജീവിതചക്രം യഥാർത്ഥമാണ്, പക്ഷേ അത് പൊതുവായ റദ്ദാക്കൽ ബട്ടണല്ല. കാരണം കോഡ് വായിക്കുന്നത് ഇഷ്യൂവർ ഒരിക്കലും വിടുവിക്കൽ പിന്തുണയ്ക്കാൻ ഉദ്ദേശിച്ചിരുന്നോ എന്ന് പറയും.

കെണി എന്നത് താൽക്കാലിക ഉദ്ദേശ്യം താൽക്കാലിക രേഖയെ സൂചിപ്പിക്കുന്നു എന്ന് കരുതുന്നതാണ്. CA എൻട്രിയിൽ keyCompromise അല്ലെങ്കിൽ cessationOfOperation ഉണ്ടെങ്കിൽ, ബട്ടൺ അമർത്തിയ വ്യക്തിയുടെ ഉദ്ദേശ്യം എന്തായിരുന്നാലും സർട്ടിഫിക്കറ്റ് സ്ഥിരമായി റദ്ദാക്കപ്പെട്ടതാണ്. നേരെമറിച്ച്, ഹോൾഡ്-വിടുവിക്കൽ നടപ്പിലാക്കാത്ത CA-യിൽ certificateHold എന്ന് അടയാളപ്പെടുത്തിയ എൻട്രി പ്രായോഗികമായി സ്ഥിരമാണ്, കാരണം വിടുവിക്കൽ ഒരിക്കലും പ്രസിദ്ധീകരിക്കപ്പെടുകയില്ല.

OpenSSL അടിസ്ഥാനമാക്കിയ CA-കൾ പരിധി വിശദീകരിക്കുന്നു. ca കമാൻഡ് -crl_reason മൂല്യങ്ങൾ സ്വീകരിക്കുന്നു, അവയിൽ certificateHold-ഉം removeFromCRL-ഉം ഉൾപ്പെടുന്നു, പക്ഷേ ഡെൽറ്റ CRL-കൾ സൃഷ്ടിക്കുന്നില്ല — OpenSSL CA രേഖകൾ അതിന്റെ CRL ഔട്ട്പുട്ടിന് ഈ പരിധി പറയുന്നു. സീരിയൽ നമ്പർ വെറുതെ ഒഴിവാക്കുന്ന പൂർണ്ണ CRL "ഈ എൻട്രി വിടുവിക്കപ്പെട്ടു" എന്ന് പറയുന്ന ഡെൽറ്റയിൽ നിന്ന് വ്യത്യസ്തമായ പ്രസിദ്ധീകരണ മാതൃകയാണ്, അതിനാൽ OpenSSL അടിസ്ഥാനമാക്കിയ VPN CA-യിൽ removeFromCRL ഒട്ടിക്കുന്നത് മാനദണ്ഡങ്ങൾ നിർവചിക്കുന്ന വിടുവിക്കൽ നൽകുന്നില്ല.

കീ വെളിപ്പെട്ടിരിക്കാമെങ്കിൽ, അത് മാറ്റുക

റദ്ദാക്കിയ സർട്ടിഫിക്കറ്റ് ഈ കീയിൽ ഇനി വിശ്വസിക്കാൻ കഴിയില്ല എന്ന പ്രഖ്യാപനമാണ്. റദ്ദാക്കൽ സാരാംശത്തിൽ ശരിയായിരുന്നെങ്കിൽ — ലാപ്ടോപ്പ് നഷ്ടപ്പെട്ടു, കീ പങ്കിട്ട ഡിസ്കിലേക്ക് പകർത്തി, സ്വകാര്യ കീ ടിക്കറ്റിൽ ഒട്ടിച്ചു — അതേ സർട്ടിഫിക്കറ്റ് പുനഃസ്ഥാപിക്കുന്നത് ഉദ്ദേശിച്ച പോലെ പ്രവർത്തിച്ചിരുന്ന സുരക്ഷാ തീരുമാനം തലകീഴാക്കുന്നു.

രജിസ്ട്രേഷൻ പ്രക്രിയിലൂടെ പുതിയ കീ ജോടി നൽകുക, പുതിയ പ്രൊഫൈൽ വിതരണം ചെയ്യുക, പഴയ സീരിയൽ നമ്പർ അതിന്റെ മുഴുവൻ ആയുസ്സിലും റദ്ദാക്കിയതായി വയ്ക്കുക. സീരിയൽ നമ്പർ അല്ലെങ്കിൽ വിരലടയാളം വഴി ഐഡന്റിറ്റി പിൻ ചെയ്യുന്ന എല്ലാം അപ്ഡേറ്റ് ചെയ്യുക, അവയിൽ പ്രവേശന പട്ടികകൾ, ഉപകരണ ഇൻവെന്ററികൾ, ഒരു നിർദ്ദിഷ്ട സർട്ടിഫിക്കറ്റ് പ്രതീക്ഷിക്കുന്ന നിരീക്ഷണം എന്നിവ ഉൾപ്പെടുന്നു.

പഴയത് പുനഃസ്ഥാപിക്കാനുള്ള സൗകര്യ വാദം യഥാർത്ഥമാണ്, പക്ഷേ അതിന് വ്യക്തമായി ഉത്തരം നൽകണം, നിശബ്ദമായല്ല. "ഉപയോക്താവിന് ഇന്ന് പ്രവേശനം വേണം" എന്നത് ഇഷ്യൂ ചെയ്യൽ വേഗത്തിലാക്കാനുള്ള കാരണമാണ്, നിങ്ങൾക്ക് കണക്ക് പറയാനാകാത്ത ഒരു കീയുടെ റദ്ദാക്കൽ പിൻവലിക്കാനുള്ള കാരണമല്ല.

അത് ഭരണപരമായ പിഴവായിരുന്നെങ്കിൽ, നിയന്ത്രണത്തിൽ മാറ്റുക

റദ്ദാക്കൽ വെറുതെ തെറ്റായിരുന്നു, കീ ഒരിക്കലും വെളിപ്പെട്ടിട്ടില്ല എന്നിരിക്കുമ്പോൾ, അറ്റകുറ്റപ്പണി എഡിറ്റിംഗല്ല, നിയന്ത്രിത മാറ്റിസ്ഥാപിക്കലാണ്. ഇഷ്യൂവറുടെ പിന്തുണയുള്ള പ്രക്രിയ ഉപയോഗിക്കുക, സീരിയൽ നമ്പറും ഇഷ്യൂ ചരിത്രവും കേടുകൂടാതെ സൂക്ഷിക്കുക, രണ്ട് പ്രലോഭന ഷോർട്ട്കട്ടുകൾ ഒഴിവാക്കുക: index.txt-ലെ സ്റ്റാറ്റസ് പ്രതീകം R-ൽ നിന്ന് വീണ്ടും V-ലേക്ക് തിരിക്കുന്നതും, പുതിയ സർട്ടിഫിക്കറ്റിന് സീരിയൽ നമ്പർ വീണ്ടും ഉപയോഗിക്കാൻ ഇഷ്യൂ വരി ഇല്ലാതാക്കുന്നതും.

OpenSSL CA-യിൽ ഡാറ്റാബേസ് ടാബ് വേർതിരിച്ചതാണ്, തെറ്റായി വായിക്കാൻ എളുപ്പമാണ്, അതാണ് കൈകൊണ്ടുള്ള എഡിറ്റിംഗിനെ ആകർഷകമാക്കുന്നത്:

awk -F'\t' '$1=="R" {print $4, $3, $6}' index.txt

അത് വായിക്കുക, എഴുതരുത്. ഫയൽ എഡിറ്റ് ചെയ്യുന്നത് ഒരു ഓഡിറ്റ് അടയാളവുമില്ലാതെ അടുത്ത CRL മാറ്റുന്നു, യഥാർത്ഥ വരി ഇപ്പോഴും വഹിക്കുന്ന ഏതു രണ്ടാമത്തെ CA ഇൻസ്റ്റൻസോ ബാക്ക്അപ്പോ പിന്നീട് അതുമായി യോജിക്കില്ല.

പകരം നൽകിയ ശേഷം, സാധാരണ സംവിധാനത്തിലൂടെ പുതിയ CRL പ്രസിദ്ധീകരിക്കുക, ക്ലയന്റുകൾ അത് എടുക്കട്ടെ. CRL നീക്കം ചെയ്യുന്നതോ അതിന്റെ ആയുസ്സ് പൂജ്യമാക്കുന്നതോ ക്ലയന്റ് പ്രൊഫൈലിൽ റദ്ദാക്കൽ പരിശോധന പ്രവർത്തനരഹിതമാക്കുന്നതോ CA ഇതുവരെ പ്രസിദ്ധീകരിച്ച മറ്റെല്ലാ റദ്ദാക്കലുകളും ദുർബലമാക്കി ഒരു ഉപയോക്താവിനെ ശരിയാക്കുന്നു.

പുതിയ പ്രവേശനം സ്ഥിരീകരിക്കുക, രേഖ സൂക്ഷിക്കുക

ഇതിനകം തുറന്ന സെഷനല്ല, പുതിയ കണക്ഷൻ ഉപയോഗിച്ച് പരിശോധിക്കുക. ജീവനുള്ള ടണൽ പുതിയ ഹാൻഡ്ഷേക്ക് നടത്തുന്ന പ്രവേശന പരിശോധനകൾ വീണ്ടും നടത്തിയെന്ന് വരില്ല, CRL കാഷുകൾ കാരണം ക്ലയന്റ് പുതുക്കുന്നതുവരെ കണക്റ്റ് ചെയ്തുകൊണ്ടിരിക്കാം. വിച്ഛേദിക്കുക, വീണ്ടും കണക്റ്റ് ചെയ്യുക, സെർവർ ലോഗിൽ ഏത് സീരിയൽ നമ്പർ സ്വീകരിച്ചു എന്ന് സ്ഥിരീകരിക്കുക.

ഇപ്പോഴും പുതുതായിരിക്കുമ്പോൾ സംഭവിച്ചത് രേഖപ്പെടുത്തുക: ഏത് സീരിയൽ നമ്പർ, ആരാൽ, ഏത് കാരണത്താൽ റദ്ദാക്കപ്പെട്ടു, ഏത് പകരം നൽകി, CRL എപ്പോൾ വീണ്ടും പ്രസിദ്ധീകരിച്ചു. ആ രേഖയാണ് അടുത്ത റദ്ദാക്കൽ അവലോകനം സാധ്യമാക്കുന്നത്, തെറ്റ് മറച്ചുവയ്ക്കാതെ കൈകാര്യം ചെയ്തു എന്നതിന്റെ തെളിവുമാണ്.

ഭാവിയിൽ ചെറിയ സസ്പെൻഷനുകൾക്ക്, വിന്യാസത്തിൽ ഉണ്ടെങ്കിൽ പ്രവേശന-താൽക്കാലിക നിർത്തൽ സംവിധാനം ഉപയോഗിക്കുക — ഐഡന്റിറ്റി പാളിയിൽ പ്രവർത്തനരഹിതമാക്കിയ അക്കൗണ്ട്, നീക്കം ചെയ്ത ഗ്രൂപ്പ് അംഗത്വം, തടഞ്ഞുവച്ച ക്ലയന്റ് പ്രൊഫൈൽ. ഇത് താൽക്കാലിക നയ തീരുമാനത്തെ ഇഷ്യൂ ചെയ്ത സർട്ടിഫിക്കറ്റ് ഇപ്പോഴും വിശ്വസനീയമാണോ എന്ന ചോദ്യത്തിൽ നിന്ന് വേർതിരിക്കുന്നു, ആദ്യ തവണ നഷ്ടപ്പെട്ടത് അതേ വ്യത്യാസമാണ്.