चुकीचे VPN प्रमाणपत्र रद्द केले? पुनर्प्राप्ती पर्याय आणि मर्यादा

कोणीतरी CA कन्सोलमध्ये प्रमाणपत्र रद्द केले आणि आता वापरकर्ता कनेक्ट होऊ शकत नाही. पहिली प्रवृत्ती रद्दीकरण शोधण्याची असते, आणि बहुतेक PKI मध्ये ते नसते: रद्दीकरण ही अनुक्रमांकाबद्दल घोषित वस्तुस्थिती आहे, आणि समर्थित परतीचा मार्ग नवे प्रमाणपत्र आहे, उलटा नोंद नाही. खालील तपासण्या क्रमाने करा, कारण कोणती दुरुस्ती तुम्हाला वापरण्याची परवानगी आहे हे कारण कोडवर आणि की कधी उघड झाली होती यावर अवलंबून आहे.

प्रमाणपत्र ओळखा, व्यक्ती नाही

सामान्य नावे पुनरावृत्त होतात. गेल्या तिमाहीत पुन्हा नोंदणी केलेल्या वापरकर्त्याकडे समान CN आणि वेगळ्या अनुक्रमांकांसह दोन प्रमाणपत्रे असू शकतात, आणि एक रद्द केल्यास दुसरे कार्यरत राहते. प्रथम नेमकी वस्तू निश्चित करा:

openssl x509 -in client.crt -noout -serial -issuer -subject -dates
openssl crl -in ca.crl -noout -text | head -40

अनुक्रमांक, जारीकर्ता, रद्दीकरणाची तारीख आणि CRL मध्ये नोंदवलेले कारण लिहा. नंतर तो अनुक्रमांक कोणती उपकरणे सादर करतात याची पुष्टी करा, कारण रद्द केलेले प्रमाणपत्र अद्याप लॅपटॉप, फोन आणि अतिरिक्त राउटरवर स्थापित असू शकते, आणि त्यापैकी फक्त एकापर्यंत पोहोचणारी बदली दुसरी घटना निर्माण करते.

जलद वर्तन तपासणी काहीही न बदलता स्थितीची पुष्टी करते:

openssl verify -crl_check -CAfile ca.crt -CRLfile ca.crl client.crt

जर ती प्रमाणपत्र रद्द म्हणून नोंदवते, तर CRL आणि क्लायंट सहमत आहेत; जर ते स्वच्छ पडताळले गेले, तर तुमच्या हातातील क्लायंट रद्द केलेला नाही, आणि शोध सुरू राहतो.

CA ने होल्ड की कायमचे रद्दीकरण वापरले याची तपासणी करा

RFC 5280 certificateHold ला तात्पुरती स्थिती आणि removeFromCRL ला ती सोडवणारा संकेत म्हणून परिभाषित करते. ते जीवनचक्र खरे आहे, पण ते सामान्य अनडू बटण नाही. कारण कोड वाचल्यास जारीकर्त्याने कधी सोडवणुकीला पाठिंबा देण्याचा विचार केला होता की नाही हे कळते.

सापळा म्हणजे तात्पुरत्या हेतूचा अर्थ तात्पुरती नोंद असा गृहीत धरणे. जर CA नोंदीत keyCompromise किंवा cessationOfOperation असेल, तर बटण दाबणाऱ्या व्यक्तीचा हेतू काहीही असो, प्रमाणपत्र कायमचे रद्द आहे. उलटपक्षी, होल्ड-सोडवणूक लागू न करणाऱ्या CA वर certificateHold असे चिन्हांकित नोंद प्रत्यक्षात कायमची असते, कारण सोडवणूक कधीही प्रकाशित होणार नाही.

OpenSSL-आधारित CA या मर्यादा दाखवतात. ca आदेश -crl_reason मूल्ये स्वीकारतो, ज्यात certificateHold आणि removeFromCRL समाविष्ट आहेत, पण डेल्टा CRL तयार करत नाही — OpenSSL CA दस्तऐवज त्याच्या CRL आउटपुटसाठी ही मर्यादा नमूद करतात. अनुक्रमांक वगळणारे पूर्ण CRL "ही नोंद सोडवली गेली" असे सांगणाऱ्या डेल्टापेक्षा वेगळे प्रकाशन मॉडेल आहे, म्हणून OpenSSL-आधारित VPN CA मध्ये removeFromCRL पेस्ट केल्यास मानकांनी परिभाषित केलेली सोडवणूक होत नाही.

की उघड झाली असेल तर ती बदला

रद्द केलेले प्रमाणपत्र ही या कीवर आता विश्वास ठेवता येणार नाही अशी घोषणा आहे. जर रद्दीकरण सारतः बरोबर होते — लॅपटॉप हरवला, की सामायिक डिस्कवर कॉपी झाली, खाजगी की तिकिटात पेस्ट झाली — तर तेच प्रमाणपत्र पुनर्संचयित करणे हेतूनुसार कार्यरत असलेला सुरक्षा निर्णय उलटवते.

नोंदणी प्रक्रियेद्वारे नवीन की जोडी जारी करा, नवीन प्रोफाइल वितरित करा, आणि जुना अनुक्रमांक त्याच्या संपूर्ण आयुष्यभर रद्द ठेवा. अनुक्रमांक किंवा बोटांच्या ठशाने ओळख पिन करणारे सर्व काही अद्ययावत करा, ज्यात प्रवेश याद्या, उपकरण इन्व्हेंटरी आणि विशिष्ट प्रमाणपत्राची अपेक्षा करणारी देखरेख समाविष्ट आहे.

जुने पुनर्संचयित करण्याचा सोयीचा युक्तिवाद खरा आहे, पण त्याला स्पष्ट उत्तर द्यायला हवे, गुपचूप नाही. "वापरकर्त्याला आज प्रवेश हवा आहे" हे जारी करणे वेगवान करण्याचे कारण आहे, तुम्ही हिशोब देऊ शकत नाही अशा कीचे रद्दीकरण मागे घेण्याचे कारण नाही.

जर ती प्रशासकीय चूक असेल, तर नियंत्रणात बदला

जेव्हा रद्दीकरण केवळ चुकीचे होते आणि की कधीही उघड झाली नव्हती, तेव्हा दुरुस्ती अजूनही संपादन नसून नियंत्रित बदली आहे. जारीकर्त्याची समर्थित प्रक्रिया वापरा, अनुक्रमांक आणि जारी करण्याचा इतिहास अभंग ठेवा, आणि दोन मोहक शॉर्टकट टाळा: index.txt मधील स्थिती अक्षर R वरून पुन्हा V मध्ये बदलणे, आणि नवीन प्रमाणपत्र अनुक्रमांक पुन्हा वापरू शकेल म्हणून जारी करण्याची ओळ हटवणे.

OpenSSL CA मध्ये डेटाबेस टॅब-विभक्त आहे आणि चुकीचे वाचणे सोपे आहे, ज्यामुळे हाताने संपादन आकर्षक होते:

awk -F'\t' '$1=="R" {print $4, $3, $6}' index.txt

ते वाचा, लिहू नका. फाइल संपादित केल्यास कोणत्याही ऑडिट ट्रेलशिवाय पुढील CRL बदलते, आणि मूळ ओळ अजूनही धारण करणारी कोणतीही दुसरी CA प्रत किंवा बॅकअप नंतर त्यास विसंगत असेल.

बदली जारी केल्यानंतर, नेहमीच्या यंत्रणेद्वारे नवीन CRL प्रकाशित करा आणि क्लायंटने ते घ्यावे. CRL काढणे, त्याचे आयुष्य शून्य करणे किंवा क्लायंट प्रोफाइलमध्ये रद्दीकरण तपासणी अक्षम करणे हे CA ने कधीही प्रकाशित केलेल्या इतर प्रत्येक रद्दीकरणाला कमकुवत करून एका वापरकर्त्याची दुरुस्ती करते.

नवीन प्रवेशाची पुष्टी करा आणि नोंद ठेवा

नवीन कनेक्शनने चाचणी करा, आधीच उघडलेल्या सत्राने नाही. जिवंत बोगदा नवीन हस्तांदोलनाच्या प्रवेश तपासण्या पुन्हा चालवू शकत नाही, आणि CRL कॅशमुळे क्लायंट रीफ्रेश होईपर्यंत कनेक्ट होत राहू शकतो. डिस्कनेक्ट करा, पुन्हा कनेक्ट करा, आणि सर्व्हर लॉगमध्ये कोणता अनुक्रमांक स्वीकारला गेला याची पुष्टी करा.

काय घडले ते अजून ताजे असतानाच नोंदवा: कोणता अनुक्रमांक रद्द झाला, कोणी, कोणत्या कारणाने, कोणती बदली जारी झाली, आणि CRL कधी पुन्हा प्रकाशित झाले. तीच नोंद पुढील रद्दीकरण आढावा शक्य करते, आणि चूक लपवली नाही तर हाताळली गेली याचा पुरावा देखील आहे.

भविष्यातील लहान स्थगितीसाठी, तैनातीत असल्यास प्रवेश-विराम यंत्रणा वापरा — ओळख स्तरावर निष्क्रिय खाते, काढलेले गट सदस्यत्व, रोखलेले क्लायंट प्रोफाइल. हे तात्पुरत्या धोरण निर्णयाला जारी केलेले प्रमाणपत्र अजूनही विश्वासार्ह आहे का या प्रश्नापासून वेगळे ठेवते, आणि पहिल्यांदा गमावलेला फरक नेमका हाच होता.