VPN സർട്ടിഫിക്കറ്റ് ഇൻവെന്ററി: CA ലെഡ്ജർ എന്ത് തെളിയിക്കാം
സെർവറിലെ ഒരു ഫോൾഡർ, ഒരു CA ലെഡ്ജർ, റദ്ദാക്കൽ പട്ടിക, സെഷൻ പട്ടിക എന്നിവ വ്യത്യസ്ത ചോദ്യങ്ങൾക്ക് ഉത്തരം നൽകുന്നു. VPN ഐഡന്റിറ്റികൾ ഇൻവെന്ററി ചെയ്യുമ്പോൾ അവ വേർതിരിച്ച് സൂക്ഷിക്കുക.
നിങ്ങളുടെ ഗേറ്റ്‌വേ ഒരിക്കലും കണ്ടിട്ടില്ലാത്ത ഒരു ക്ലയന്റ് സർട്ടിഫിക്കറ്റ് സ്വീകരിക്കുന്നു, കാരണം അത് കോൺഫിഗർ ചെയ്തിരിക്കുന്നത് ഒരു വിശ്വസ്ത ഇഷ്യൂവറാണ്, സർട്ടിഫിക്കറ്റ് ഹാൻഡ്‌ഷേക്കിനിടയിൽ എത്തുന്നു. പ്രോട്ടോക്കോൾ അങ്ങനെയാണ് പ്രവർത്തിക്കേണ്ടത്, അതുകൊണ്ടുതന്നെ സെർവറിലെ ഡയറക്ടറി പട്ടിക മോശം ഇൻവെന്ററിയാണ്. ഇഷ്യൂവർ എന്ത് സൃഷ്ടിച്ചുവെന്ന് അറിയുന്നു, സെർവർ എന്ത് കണക്ട് ചെയ്തുവെന്ന് അറിയുന്നു, റദ്ദാക്കൽ അവസ്ഥ എന്ത് പിൻവലിച്ചുവെന്ന് അറിയുന്നു. ഈ മൂന്ന് രേഖകളും കൂട്ടിക്കലർത്തുന്ന ഇൻവെന്ററി അവയിലൊന്നും പറയാത്ത എന്തോ അവകാശപ്പെടുന്നു.
ഗേറ്റ്‌വേ ഫയൽ പട്ടികയെയല്ല, ഇഷ്യൂവറെയാണ് വിശ്വസിക്കുന്നത്
വാലിഡേഷൻ അവതരിപ്പിച്ച സർട്ടിഫിക്കറ്റിനെ ഒരു വിശ്വാസ അങ്കറുമായി താരതമ്യപ്പെടുത്തുന്നു, അതിനാൽ അതേ ഇഷ്യൂവർ ഇന്നലെ സൃഷ്ടിച്ച ഐഡന്റിറ്റി സെർവറിന്റെ ഡിസ്കിൽ ഒരിക്കലും ഇല്ലാതിരുന്നിട്ടും കണക്ട് ചെയ്യുന്നു. അതിനായി ഒന്നും പകർത്തേണ്ടതില്ല, ആരും അത് കൈകൊണ്ട് അംഗീകരിക്കേണ്ടതുമില്ല. അതിനാൽ സെർവറിന്റെ സ്വന്തം രേഖകൾ വരവുകൾ വിവരിക്കുന്നു, വരാനിരിക്കുന്ന ഐഡന്റിറ്റികളുടെ ജനസംഖ്യയല്ല.
എതിർ വിടവും അത്രതന്നെ അസ്വസ്ഥതയുളവാക്കുന്നതാണ്. ഫോൾഡറിൽ കാലഹരണപ്പെട്ട സർട്ടിഫിക്കറ്റുകൾ, റദ്ദാക്കപ്പെട്ടവ, ഒരിക്കലും വിന്യസിക്കാത്ത ഉപകരണങ്ങൾക്ക് നൽകിയ ഐഡന്റിറ്റികൾ എന്നിവ ഉണ്ടാകാം. ഫയലുകൾ എണ്ണുന്നത് എത്ര ഫയലുകൾ ഉണ്ടെന്ന് ഉത്തരം നൽകുന്നു, അത് ആരും ചോദിക്കാത്ത ചോദ്യമാണ്. പകരം അർത്ഥമുള്ള രേഖകളിൽ നിന്ന് ആരംഭിക്കുക.
നാല് ചോദ്യങ്ങൾ, നാല് വ്യത്യസ്ത രേഖകൾ
ഓരോ രേഖാ തരവും ഒരു ചോദ്യത്തിന് നന്നായി, ബാക്കിയുള്ളവയ്ക്ക് മോശമായി ഉത്തരം നൽകുന്നു, അതിനാൽ അവ കൂട്ടിച്ചേർക്കുന്ന റിപ്പോർട്ട് പൂർണ്ണമായി തോന്നുമ്പോഴും ഒരു പ്രത്യേക രീതിയിൽ തെറ്റാണ്. താഴെയുള്ള പട്ടിക അവയെ ഉത്പാദിപ്പിക്കുന്ന സിസ്റ്റം അനുസരിച്ചല്ല, അവ പരിഹരിക്കുന്ന ചോദ്യം അനുസരിച്ചാണ് ക്രമീകരിക്കുന്നത്.
| Question you are answering | Where the answer lives | How quickly it changes | What it will never show |
|---|---|---|---|
| Was this identity ever created? | The issuer's issuance database | Only when something is issued | Whether the device still exists |
| Is a copy sitting on this host? | The paths you actually inspected | Whenever anyone copies files | Certificates that were never copied here |
| Has the issuer withdrawn it? | Published revocation state | When the issuer next publishes | Withdrawals that are not published yet |
| Is it connected right now? | The live session table | Continuously | Anything about past or future sessions |
പൊതു സർട്ടിഫിക്കറ്റുകളുടെ ആർക്കൈവ് രഹസ്യമല്ല, കാരണം അതിൽ സ്വകാര്യ കീകളില്ല, പക്ഷേ പങ്കിടാനും പറ്റില്ല. വിഷയങ്ങളും ഉപകരണ നാമങ്ങളും പ്രവർത്തന വിശദാംശങ്ങൾ വെളിപ്പെടുത്തുന്നു, റിപ്പോർട്ട് അത് ആവശ്യമുള്ള പ്രേക്ഷകരിലേക്ക് മാത്രം എത്തണം. സ്വകാര്യ കീകൾ ഇൻവെന്ററിയിൽ നിന്ന് പൂർണ്ണമായി പുറത്ത് നിൽക്കുന്നു, കാരണം ഇൻവെന്ററിക്ക് ആവശ്യം ക്രെഡൻഷ്യലുകളല്ല, മെറ്റാഡാറ്റയാണ്.
ഇഷ്യൂവറും സീരിയൽ നമ്പറും മാത്രമാണ് സ്ഥിരമായ കീ
വിഷയങ്ങൾ പുനരുപയോഗിക്കപ്പെടുന്നു, ഫയൽ നാമങ്ങളും വീണ്ടും ഉപയോഗിക്കുന്നു, അതിനാൽ കഴിഞ്ഞ വർഷം ഒരു ഉപകരണത്തെ സൂചിപ്പിച്ച നാമം ഇപ്പോൾ മറ്റൊന്നിനെ സൂചിപ്പിച്ചേക്കാം. രണ്ടും കീയല്ല, അവയിലേതെങ്കിലും അടിസ്ഥാനമാക്കിയ റിപ്പോർട്ട് ഒടുവിൽ രണ്ട് ഐഡന്റിറ്റികളെ ഒരു വരിയിൽ ലയിപ്പിക്കും.
ഇഷ്യൂവറും സീരിയൽ നമ്പറും ചേർന്ന ജോടി സർട്ടിഫിക്കറ്റിനെ അദ്വിതീയമായി തിരിച്ചറിയുന്നു, രണ്ട് ഫീൽഡുകളും സർട്ടിഫിക്കറ്റിൽ നിന്നുതന്നെ വരുന്നു. വിഷയം, സാധുതാ തീയതികൾ, പകർപ്പ് വന്ന ഉറവിടം, ഉത്തരവാദിയായ വ്യക്തി അല്ലെങ്കിൽ ഉപകരണം എന്നിവയോടൊപ്പം അവ രേഖപ്പെടുത്തുക. റദ്ദാക്കലും വിന്യാസവും സ്വന്തം നിരീക്ഷണ സമയങ്ങളുള്ള വെവ്വേറെ ഫീൽഡുകളായി ചേർക്കുക, കാരണം സാധുതാ ജാലകത്തിനുള്ളിലെ സർട്ടിഫിക്കറ്റ് സ്വയമേവ അധികാരപ്പെടുത്തപ്പെടുന്നില്ല. ഈ രണ്ട് വസ്തുതകളും വ്യത്യസ്ത സിസ്റ്റങ്ങളിലാണ് ജീവിക്കുന്നത്, അവ കൂട്ടിച്ചേർക്കുന്നത് ഐഡന്റിറ്റി പിൻവലിക്കപ്പെട്ടിട്ടും ഫയൽ ഇപ്പോഴും നിലവിലുള്ളതായി തോന്നുന്ന സാഹചര്യം മറയ്ക്കുന്നു.
ഒരു സമയത്ത് ഒരു സർട്ടിഫിക്കറ്റ് വായിക്കുക
ഫോൾഡറിലുടനീളം വ്യാപിക്കുന്ന വൈൽഡ്കാർഡ് ഒരു ബാച്ച് ഇന്റർഫേസല്ല, ഏത് ഫയൽ ഏത് ഔട്ട്പുട്ട് നൽകി എന്നത് അത് മറയ്ക്കുന്നു. ഓരോ സർട്ടിഫിക്കറ്റിനും മെറ്റാഡാറ്റ വായിക്കുക, റദ്ദാക്കൽ ഭാഗം അതിന്റെ സ്വന്തം ആർട്ടിഫാക്ടിൽ നിന്ന് വായിക്കുക. OpenSSL x509 റഫറൻസ് ആ ഓപ്ഷനുകൾ അച്ചടിക്കുന്ന ഫീൽഡുകൾ പട്ടികപ്പെടുത്തുന്നു.
openssl x509 -in <cert>.pem -noout -issuer -serial -subject -dates -fingerprint -sha256
openssl crl -in <issuer>.crl -noout -text | head -n 40നിയന്ത്രിത Easy-RSA PKI-ക്ക്, ഉപകരണം പിന്തുണയ്ക്കുന്ന വർക്ക്ഫ്ലോ വഴി ഇഷ്യൂവൻസ് ഡാറ്റാബേസിനോട് ചോദിക്കുക ഡയറക്ടറി ക്രമീകരണം അനുമാനിക്കുന്നതിനുപകരം, ഇൻവെന്ററി തയ്യാറാകുമ്പോൾ ഒറിജിനലുകൾ വായനയ്ക്ക് മാത്രമായി സൂക്ഷിക്കുക. ലെഡ്ജറിന്റെ ഫോർമാറ്റ് ആവശ്യത്തിന് ക്രമമുള്ളതാണ്, അതിനാൽ ഡാറ്റാബേസ് കൈകൊണ്ട് തുറക്കാതെ സാധുവായ എൻട്രികൾ എണ്ണാനും പിൻവലിച്ചവ പട്ടികപ്പെടുത്താനും കഴിയും.
grep -c '^V' pki/index.txt
grep '^R' pki/index.txt | cut -f4,5അടുത്ത ഇഷ്യൂവിനെയും അതിജീവിക്കുന്ന ഇൻവെന്ററി
ഒരു ഫോൾഡറിന്റെ ഒറ്റത്തവണ ഡംപ് അടുത്ത സർട്ടിഫിക്കറ്റ് ഇഷ്യൂ ചെയ്യുന്ന നിമിഷം കാലഹരണപ്പെടുന്നു, അതിനാൽ റിപ്പോർട്ട് ഇഷ്യൂവൻസ് വർക്ക്ഫ്ലോയിൽ നിന്ന് നിർമ്മിക്കുക, സാധാരണ പ്രവർത്തനത്തിന്റെ ഭാഗമായി അത് അപ്ഡേറ്റ് ആകാൻ അനുവദിക്കുക. ഇത് റിപ്പോർട്ടിനെ പുനരുൽപ്പാദിപ്പിക്കാവുന്നതുമാക്കുന്നു, എന്ത് ഇഷ്യൂ ചെയ്തുവെന്നതിൽ രണ്ട് പേർ യോജിക്കാതിരിക്കുമ്പോൾ ഇത് പ്രധാനമാണ്.
ഫലം സ്പ്രെഡ്ഷീറ്റ് അഭ്യാസമായല്ല, പുതുക്കലും ഒഴിവാക്കലും സംബന്ധിച്ച തീരുമാനങ്ങൾക്ക് ഉപയോഗിക്കുക. ലോക്കൽ പകർപ്പ് ഇല്ലാതാക്കുന്നത് ഇതിനകം നിലവിലുള്ള ദൂര പകർപ്പുകളെ അസാധുവാക്കുന്നില്ല. കോൺഫിഗർ ചെയ്ത റദ്ദാക്കൽ, അധികാരം എന്നിവയുടെ വർക്ക്ഫ്ലോ വഴി ഐഡന്റിറ്റി പിൻവലിക്കുക, തുടർന്ന് പിൻവലിക്കൽ തീയതിയോടെ രേഖപ്പെടുത്തുക. സെർവറിൽ നിന്ന് മായുന്നുവെങ്കിലും ഇഷ്യൂവർ ഇപ്പോഴും വിശ്വസിക്കുന്ന ഐഡന്റിറ്റി ഒഴിവാക്കപ്പെട്ടിട്ടില്ല, ആ വ്യത്യാസമാണ് കൃത്യമായ ഇൻവെന്ററിയെ വെറും ആശ്വാസകരമായ ഇൻവെന്ററിയിൽ നിന്ന് വേർതിരിക്കുന്നത്.