क्लायंट प्रमाणपत्र हरवले? नावाने नाही, सिरियलने रद्द करा

तुमच्या क्लायंटची प्रमाणपत्र फाइल गेली आहे, आणि तातडीची प्रतिक्रिया नाव रद्द करून नवीन जारी करण्याची असते. ती प्रतिक्रिया मूळ प्रमाणपत्र वैध ठेवते, कारण रद्द करणे लेबलावर नाही तर सिरियल क्रमांकावर चालते. CA ने जारी केलेल्याची प्रत अजूनही जवळपास नक्कीच ठेवली आहे, आणि ती प्रत शोधणे हेच संपूर्ण काम आहे.

फाइल हरवणे म्हणजे CA ची नोंद हरवणे नाही

Easy-RSA PKI ने जारी केलेली सार्वजनिक प्रमाणपत्रे ठेवते, आणि सध्याच्या आवृत्त्या PKI च्या certs_by_serial डिरेक्टरीत सिरियलनुसार प्रतींचे संग्रहणही करतात. काहीही रद्द करण्यासाठी खाजगी की लागत नाही. महत्त्वाचे म्हणजे CA ने स्वाक्षरी केलेले नेमके प्रमाणपत्र, जे CA कडे आधीच आहे.

योग्य PKI च्या बॅकअप प्रतीवर, तिच्या मालक असलेल्या प्रशासकासोबत काम करा. रद्द करणे ही लेखापरीक्षणयोग्य क्रिया आहे, मध्यरात्री उत्पादन डेटाबेसवर केलेली दुरुस्ती नाही.

क्लायंटच्या इनलाइन सार्वजनिक प्रमाणपत्राची प्रतही चालेल, जर तैनातीने एक ठेवली असेल.

आधी जारीकर्ता आणि सिरियल वाचा

पुनर्प्राप्त PEM तपासा आणि जारीकर्ता, सिरियल क्रमांक, विषय आणि वैधता कालावधी लिहून ठेवा. सिरियल क्रमांक एका जारीकर्त्याच्या व्याप्तीत अद्वितीय आहे, तुमच्या परिसरातील सर्व CA मध्ये नाही, म्हणून जारीकर्ता ओळखीचा भाग आहे. अनेक प्रमाणपत्रे एकच विषय सामायिक करत असतील, तर त्यांना वेगळे करणाऱ्या त्या सिरियलच असतात.

मूल्ये CA च्या नोंदींशी आणि प्रमाणपत्र आहे असे तुम्हाला वाटणाऱ्या उपकरणाशी किंवा व्यक्तीशी जुळवा.

सामान्य नाव पुन्हा वापरता येते, आणि सहसा तसेच केले जाते. सिरियल लिहून घेण्यापूर्वी कोणती प्रमाणपत्रे मागे घ्यायची ते ठरवू नका.

नवीन प्रमाणपत्र रद्द करून काहीच का होत नाही

त्याच सामान्य नावाने बदली जारी केल्यास वेगळ्या सिरियलचे दुसरे प्रमाणपत्र तयार होते. बदली रद्द केल्यास नवीन मागे घेतले जाते आणि मूळ तिच्या कालबाह्यतेपर्यंत वैध राहते. CA च्या दृष्टीने हे दोन स्वतंत्र घटक आहेत, आणि CRL नावे नाही तर सिरियल यादी करते. CA इंडेक्स प्रत्येक जारी केलेल्या प्रमाणपत्रासाठी एक ओळ ठेवतो, तेही याच कारणासाठी.

तेच गोंधळ उलटी चूक निर्माण करतात: क्लायंटची फाइल हटवणे आणि CA विसरला असे गृहीत धरणे. क्लायंटवर हटवणे ही रद्दीकरणाची घटना नाही, आणि प्रत असलेल्या प्रत्येकासाठी प्रमाणपत्र चालू राहते.

दोन्ही चुका नावाला ओळख मानण्यातून येतात.

सिरियलने नामनिर्देशित केलेले प्रमाणपत्र रद्द करा

CA ला स्पर्श करण्यापूर्वी वस्तू ओळखा: openssl x509 -in recovered-client.pem -noout -issuer -serial -subject -dates चारही मूल्ये एकाच पासमध्ये छापते, आणि CA संग्रहाशी तुम्ही जुळवत असलेली गोष्ट सिरियल आहे. Easy-RSA तो संग्रह pki/certs_by_serial अंतर्गत ठेवते, प्रत्येक सिरियलच्या नावाने एक फाइल. रद्द करण्याची आज्ञा सिरियल नाही तर सामान्य नाव घेते, म्हणून संग्रहित फाइल pki/issued/<common-name>.crt वर प्रत करा आणि नावाने तुम्ही ओळखलेल्या वस्तूकडे निर्देश करू द्या. PKI डिरेक्टरीतून easyrsa revoke <common-name> चालवा, नंतर index.txt मधील संबंधित ओळ R मध्ये बदलली आहे का ते तपासा. सिरियल ही वस्तू निवडण्याची पद्धत आहे, आज्ञा स्वीकारते तो युक्तिवाद नाही.

openssl x509 -in recovered-client.pem -noout -issuer -serial -subject -dates
cp pki/certs_by_serial/A1B2C3D4.pem pki/issued/client-01.crt
./easyrsa revoke client-01
grep -n client-01 pki/index.txt
./easyrsa gen-crl

जर index.txt R दाखवत नसेल, तर थांबा आणि CRL तयार करण्यापूर्वी त्रुटी वाचा, कारण अजूनही वैध नोंदीपासून तयार केलेला CRL काहीही मागे घेत नाही. ओळ बदलल्यानंतरच तुम्ही easyrsa gen-crl चालवता आणि फाइल वितरणाकडे जाता.

CRL जिथे प्रत्यक्षात लागू होते तिथे प्रकाशित करा

PKI च्या समर्थित कार्यप्रवाहाद्वारे नवीन CRL तयार करा, नंतर या जारीकर्त्याचे रद्दीकरण लागू करणाऱ्या प्रत्येक सत्यापनकर्त्याकडे ते प्रकाशित करा.

CA वर पडलेली अद्ययावत फाइल काहीच बदलत नाही, कारण VPN स्वतःच्या सत्यापनकर्त्यावर निर्णय पूर्ण करते. CRL चा जारीकर्ता, वैधता कालावधी आणि रद्द केलेली सिरियल तपासा, आणि सेवा फाइल पुन्हा लोड करते, आधीची कॅश करत नाही याची खात्री करा. मालकी आणि मार्ग हे अंतर्भागाइतकेच महत्त्वाचे आहेत: डीमन वाचू शकत नाही अशी CRL म्हणजे CRL नसण्यासारखेच. OpenVPN चा crl-verify पर्याय डीमन वाचत असलेली फाइल नामनिर्देशित करतो, म्हणून सर्व्हर कॉन्फिगमध्ये तो मार्ग आणि फाइलची मालकी तपासा.

फाइलच्या टाइमस्टॅम्पने नाही, प्रत्यक्ष कनेक्शन प्रयत्नाने सत्यापित करा.

CRL कधी चुकीचे साधन आहे ते जाणून घ्या

जर जारीकर्त्याची खाजगी की यापुढे विश्वासार्ह नसेल, तर ज्ञात सिरियल मागे घेऊनही अनधिकृत धारकाला नवीन प्रमाणपत्रांवर स्वाक्षरी करण्यापासून रोखता येत नाही. हे जारीकर्ता-विश्वासाचे संक्रमण आहे, म्हणजे नवीन CA आणि वितरण योजना, CRL मध्ये आणखी एक नोंद नाही. माजी प्रशासकाकडे प्रवेश होता हे स्वतःच कीच्या गैरवापराचा पुरावा नाही, म्हणून विश्वास पुन्हा उभारण्यापूर्वी तथ्ये मिळवा.

स्थिती अक्षर उलटवण्यासाठी जारीकरण डेटाबेस हाताने संपादित करणे स्वाक्षरी केलेल्या रद्दीकरणाला पर्याय नाही, आणि ते CRL ला नोंदींशी विसंगत ठेवते.

सिरियल, CRL आणि वितरणाची पायरी एका नोंदीत ठेवा, पुढील लेखापरीक्षण वाचनाचा सराव होईल. Easy-RSA प्रकल्प तुम्ही स्थापित केलेल्या आवृत्तीसाठी समर्थित आज्ञा दस्तऐवजीकरण करतो, आणि हाच पाळण्यासारखा एकमेव इंटरफेस आहे.