Клиентийн гэрчилгээгээ алдсан уу? Нэрээр биш, серийн дугаараар хүчингүй болго

Таны клиентийн гэрчилгээний файл алга болж, эхний хариу үйлдэл нь нэрийг хүчингүй болгож шинийг олгох байдаг. Тэр хариу үйлдэл анхны гэрчилгээг хүчинтэй үлдээдэг, учир нь хүчингүй болгох нь шошгон дээр биш, серийн дугаар дээр ажилладаг. CA өөрийн олгосны хуулбарыг бараг итгэлтэй хадгалдаг бөгөөд тэр хуулбарыг олох нь бүх ажил юм.

Файл алдах нь CA-ийн бүртгэл алдах биш

Easy-RSA PKI нь олгосон нийтийн гэрчилгээг хадгалж, одоогийн хувилбарууд сериор хуулбарыг PKI-ийн certs_by_serial хавтаст архивладаг. Ямар нэг зүйлийг хүчингүй болгоход хувийн түлхүүр шаардлагагүй. Чухал нь CA-ийн гарын үсэг зурсан яг тэр гэрчилгээ бөгөөд энэ нь CA-д аль хэдийн байгаа.

Зөв PKI-ийн нөөц хуулбар дээр, түүний эзэмшигч администратортай хамт ажиллаарай. Хүчингүй болгох нь аудитад орох үйлдэл бөгөөд шөнө дунд үйлдвэрлэлийн өгөгдлийн санд хийх засвар биш.

Клиентийн доторх нийтийн гэрчилгээний хуулбар ч тохирно, хэрэв байршуулалт нэгийг хадгалсан бол.

Эхлээд олгогч ба серийг уншаарай

Сэргээсэн PEM-ийг шалгаж, олгогч, серийн дугаар, субъект, хүчинтэй хугацааг бичиж аваарай. Серийн дугаар нь нэг олгогчийн хүрээнд өвөрмөц бөгөөд таны орчны бүх CA-д биш, тиймээс олгогч нь таних тэмдгийн нэг хэсэг. Хэд хэдэн гэрчилгээ нэг субъектыг хуваалцвал тэднийг ялгах нь яг тэр сериуд юм.

Утгуудыг CA-ийн бүртгэлтэй болон гэрчилгээтэй гэж та бодож буй төхөөрөмж эсвэл хүнтэй тулгаарай.

Нийтийн нэрийг дахин ашиглаж болох бөгөөд ихэвчлэн ашигладаг. Сериудыг бичихээс өмнө аль гэрчилгээг буцааж авахаа шийдэж болохгүй.

Шинэ гэрчилгээг хүчингүй болгоход яагаад юу ч болохгүй вэ

Ижил нийтийн нэрээр орлуулагч олгох нь өөр серитэй хоёр дахь гэрчилгээг үүсгэдэг. Орлуулагчийг хүчингүй болгоход шинийг буцаан авч, анхныг хугацаа дуустал хүчинтэй үлдээдэг. CA-ийн өнцгөөс эдгээр нь хоёр бие даасан объект бөгөөд CRL нь нэр биш серийг жагсаадаг. CA-ийн индекс олгосон гэрчилгээ бүрт нэг мөр хадгалдаг нь яг энэ шалтгаанаар юм.

Ижил төөрөгдөл эсрэг алдаа үүсгэдэг: клиентийн файлыг устгаж, CA үүнийг мартсан гэж үзэх. Клиент дээр устгах нь хүчингүй болгох үйл явдал биш бөгөөд хуулбартай хэн бүхэнд гэрчилгээ ажилласаар байна.

Хоёр алдаа хоёулаа нэрийг таних тэмдэг гэж үзсэнээс үүдэлтэй.

Серийн нэрлэсэн гэрчилгээг хүчингүй болго

CA-д хүрэхийн өмнө объектыг тодорхойлоорой: openssl x509 -in recovered-client.pem -noout -issuer -serial -subject -dates дөрвөн утгыг нэг дамжуулалтаар хэвлэдэг бөгөөд CA-ийн архивтай тулгах зүйл нь сери юм. Easy-RSA тэр архивыг pki/certs_by_serial дор хадгалдаг, сери бүрийн нэрээр нэг файл. Хүчингүй болгох команд нь сери биш, нийтийн нэр авдаг тул архивлагдсан файлыг pki/issued/<common-name>.crt руу хуулж, нэр нь таны тодорхойлсон объектыг зааж байг. PKI хавтаснаас easyrsa revoke <common-name> ажиллуулж, дараа нь index.txt доторх харгалзах мөр R болж өөрчлөгдсөн эсэхийг шалгаарай. Сери нь объектыг сонгох арга бөгөөд команд хүлээн авдаг аргумент биш.

openssl x509 -in recovered-client.pem -noout -issuer -serial -subject -dates
cp pki/certs_by_serial/A1B2C3D4.pem pki/issued/client-01.crt
./easyrsa revoke client-01
grep -n client-01 pki/index.txt
./easyrsa gen-crl

Хэрэв index.txt R-ыг харуулахгүй бол зогсоод CRL үүсгэхийн өмнө алдааг уншаарай, учир нь одоо ч хүчинтэй бүртгэлээс бүтээсэн CRL юу ч буцаан авдаггүй. Мөр өөрчлөгдсөний дараа л та easyrsa gen-crl ажиллуулж, файлыг түгээх рүү шилжинэ.

CRL-ийг үнэхээр хэрэгжих газарт нийтлээрэй

PKI-ийн дэмжигдсэн ажлын урсгалаар шинэ CRL үүсгэж, дараа нь энэ олгогчийн хүчингүй болгохыг хэрэгжүүлдэг бүх шалгагчид нийтлээрэй.

CA дээр хэвтэж буй шинэчилсэн файл юу ч өөрчлөхгүй, учир нь VPN шийдвэрийг өөрийн шалгагч дээр дуусгадаг. CRL-ийн олгогч, хүчинтэй хугацаа, хүчингүй болгосон сериудыг шалгаж, үйлчилгээ файлыг дахин ачаалж байгаа, өмнөхийг кэшлэхгүй байгааг баталгаажуулаарай. Эзэмшил ба зам нь агуулгатай адил чухал: демон уншиж чадахгүй CRL нь огт CRL байхгүйгээс ялгаагүй. OpenVPN-ийн crl-verify сонголт нь демоны уншдаг файлыг нэрлэдэг тул серверийн тохиргоонд тэр зам ба файлын эзэмшлийг шалгаарай.

Файлын цагийн тэмдэгээр биш, бодит холболтын оролдлогоор шалгаарай.

CRL хэзээ буруу хэрэгсэл болохыг мэдээрэй

Хэрэв олгогчийн хувийн түлхүүрт итгэхээ болих юм бол мэдэгдэж буй сериудыг буцааж авах нь эрх бус эзэмшигчийг шинэ гэрчилгээнд гарын үсэг зурахаас сэргийлж чадахгүй. Энэ нь олгогчийн итгэлийн шилжилт, өөрөөр хэлбэл шинэ CA ба түгээлтийн төлөвлөгөө, CRL-д өөр нэг бичлэг биш. Өмнөх администратор хандалттай байсан нь түлхүүрийг урвуулан ашигласан гэх өөрөө баримт биш тул итгэлийг сэргээхийн өмнө баримтуудыг олж аваарай.

Төлөвийн үсгийг эргүүлэхийн тулд олголтын өгөгдлийн санг гараар засварлах нь гарын үсэг зурсан хүчингүй болголтыг орлохгүй бөгөөд CRL-ийг бүртгэлтэй зөрүүлж үлдээдэг.

Сери, CRL, түгээлтийн алхмыг нэг тэмдэглэлд хадгаарай, дараагийн аудит унших дасгал болно. Easy-RSA төсөл таны суулгасан хувилбарт дэмжигдэх командуудыг баримтжуулдаг бөгөөд энэ нь дагах нэг л интерфэйс юм.