VPN प्रमाणपत्र यादी: CA खतावणूक काय सिद्ध करू शकते
सर्व्हरवरील फोल्डर, CA खतावणूक, रद्दीकरण यादी आणि सत्र तक्ता वेगवेगळ्या प्रश्नांची उत्तरे देतात। VPN ओळखींची यादी करताना त्या वेगळ्या ठेवा।
तुमचा गेटवे असा क्लायंट प्रमाणपत्र स्वीकारतो जे त्याने कधीही पाहिले नाही, कारण ज्याने तो संरचित आहे तो विश्वासार्ह जारीकर्ता आहे, आणि प्रमाणपत्र हँडशेक दरम्यान येते। प्रोटोकॉलने अशाच पद्धतीने काम करायचे आहे, आणि म्हणूनच सर्व्हरवरील डिरेक्टरी यादी खराब यादी आहे। जारीकर्त्याला माहीत आहे त्याने काय तयार केले, सर्व्हरला माहीत आहे काय जोडले गेले, आणि रद्दीकरण स्थितीला माहीत आहे काय मागे घेतले गेले। या तीन नोंदी मिसळणारी यादी शेवटी असे काही दावते जे त्यांपैकी कोणीही म्हटले नाही।
गेटवे फाइल यादीवर नाही, जारीकर्त्यावर विश्वास ठेवतो
पडताळणी सादर केलेल्या प्रमाणपत्राची विश्वास अँकरशी तुलना करते, त्यामुळे त्याच जारीकर्त्याने काल तयार केलेली ओळख सर्व्हरच्या डिस्कवर कधीही नसतानाही जोडली जाते। त्यासाठी काहीही प्रत करण्याची गरज नाही, आणि कोणीही ते हाताने मंजूर करायची गरज नाही। म्हणून सर्व्हरच्या स्वतःच्या नोंदी आगमनांचे वर्णन करतात, येऊ शकणाऱ्या ओळखींच्या लोकसंख्येचे नाही।
उलटे अंतरही तितकेच अस्वस्थ करणारे आहे। फोल्डरमध्ये मुदत संपलेली प्रमाणपत्रे, रद्द केलेली प्रमाणपत्रे, आणि कधीही तैनात न केलेल्या उपकरणांसाठी जारी केलेल्या ओळखी असू शकतात। फाइल्स मोजणे किती फाइल्स आहेत हे सांगते, जो असा प्रश्न आहे जो कोणी विचारला नाही। त्याऐवजी अर्थ असलेल्या नोंदींपासून सुरुवात करा।
चार प्रश्न, चार वेगळ्या नोंदी
प्रत्येक नोंदीचा प्रकार एका प्रश्नाचे चांगले उत्तर देतो आणि बाकीच्यांचे वाईट, म्हणून त्या एकत्र करणारा अहवाल पूर्ण दिसतो पण विशिष्ट पद्धतीने चुकीचा असतो। खालील तक्ता त्या तयार करणाऱ्या प्रणालीनुसार नाही, तर सोडवत असलेल्या प्रश्नानुसार मांडतो।
| Question you are answering | Where the answer lives | How quickly it changes | What it will never show |
|---|---|---|---|
| Was this identity ever created? | The issuer's issuance database | Only when something is issued | Whether the device still exists |
| Is a copy sitting on this host? | The paths you actually inspected | Whenever anyone copies files | Certificates that were never copied here |
| Has the issuer withdrawn it? | Published revocation state | When the issuer next publishes | Withdrawals that are not published yet |
| Is it connected right now? | The live session table | Continuously | Anything about past or future sessions |
सार्वजनिक प्रमाणपत्रांचे संग्रह गुप्त नाही, कारण त्यात खाजगी किल्ल्या नाहीत, पण ते सामायिक करण्यासारखेही नाही। विषय आणि उपकरणांची नावे कार्यवाहीचे तपशील उघड करतात, आणि अहवाल त्याची गरज असलेल्या प्रेक्षकांकडेच राहिला पाहिजे। खाजगी किल्ल्या यादीबाहेर पूर्णपणे राहतात, कारण यादीला ओळखपत्रे नाही, मेटाडेटा हवा असतो।
जारीकर्ता आणि क्रमांक हीच एकमेव स्थिर किल्ली
विषय पुनर्वापरले जातात आणि फाइलींची नावे पुन्हा वापरली जातात, त्यामुळे गेल्या वर्षी एका उपकरणाची ओळख असलेले नाव आता दुसऱ्याची ओळख असू शकते। दोन्हीपैकी कोणतीही किल्ली नाही, आणि त्यांपैकी कोणत्याही आधारावर बांधलेला अहवाल शेवटी दोन ओळखी एका ओळीत एकत्र करेल।
जारीकर्ता आणि क्रमांकाची जोडी प्रमाणपत्राची अद्वितीय ओळख करते, आणि दोन्ही क्षेत्रे प्रमाणपत्रातूनच येतात। ती विषय, वैधता तारखा, प्रत ज्या स्रोतातून आली तो, आणि जबाबदार व्यक्ती किंवा उपकरण यांच्यासह नोंदवा। रद्दीकरण आणि तैनाती स्थिती स्वतःच्या निरीक्षण वेळांसह वेगळी क्षेत्रे म्हणून जोडा, कारण वैधता कालावधीत असलेले प्रमाणपत्र आपोआप अधिकृत होत नाही। या दोन तथ्ये वेगळ्या प्रणालींमध्ये राहतात, आणि ती एकत्र केल्याने फाइल अजूनही अद्ययावत दिसत असताना ओळख मागे घेतलेला प्रसंग लपतो।
एकावेळी एक प्रमाणपत्र वाचा
फोल्डरभर पसरणारे वाइल्डकार्ड बॅच इंटरफेस नाही, आणि ते कोणत्या फाइलने कोणते आउटपुट दिले हे लपवते। प्रत्येक प्रमाणपत्रासाठी मेटाडेटा वाचा, आणि रद्दीकरणाची बाजू त्याच्याच आर्टिफॅक्टमधून वाचा। OpenSSL x509 संदर्भ त्या पर्यायांनी छापल्या जाणाऱ्या क्षेत्रांची यादी देतो।
openssl x509 -in <cert>.pem -noout -issuer -serial -subject -dates -fingerprint -sha256
openssl crl -in <issuer>.crl -noout -text | head -n 40व्यवस्थापित Easy-RSA PKI साठी, साधन ज्या कार्यप्रवाहाला आधार देते त्याद्वारे जारीकरण डेटाबेसला विचारा डिरेक्टरी मांडणी गृहीत धरण्याऐवजी, आणि यादी तयार होत असताना मूळ प्रती केवळ-वाचनीय ठेवा। खतावणुकीचा स्वरूप पुरेसा नियमित आहे की डेटाबेस हाताने न उघडता वैध नोंदी मोजता येतील आणि मागे घेतलेल्यांची यादी करता येईल।
grep -c '^V' pki/index.txt
grep '^R' pki/index.txt | cut -f4,5पुढील जारीकरणातही टिकणारी यादी
फोल्डरचा एकवेळचा डंप पुढील प्रमाणपत्र जारी होताच जुना होतो, म्हणून अहवाल जारीकरण कार्यप्रवाहातून तयार करा आणि सामान्य कार्याचा भाग म्हणून तो अद्ययावत होऊ द्या। यामुळे अहवाल पुनरुत्पादनीयही होतो, जे तेव्हा महत्त्वाचे असते जेव्हा दोन लोक काय जारी झाले यावर एकमत नसतात।
निकालाचा वापर नूतनीकरण आणि सेवानिवृत्तीच्या निर्णयांसाठी करा, स्प्रेडशीट सराव म्हणून नाही। स्थानिक प्रत हटवल्याने आधीच अस्तित्वात असलेल्या दूरस्थ प्रती अवैध होत नाहीत। संरचित रद्दीकरण आणि अधिकृतता कार्यप्रवाहातून ओळख मागे घ्या, नंतर मागे घेणे तारखेसह नोंदवा। सर्व्हरवरून गायब झालेली पण जारीकर्त्याला अजूनही विश्वासार्ह असलेली ओळख सेवानिवृत्त झालेली नाही, आणि हाच फरक अचूक यादीला केवळ दिलासा देणाऱ्या यादीपासून वेगळा करतो।