Ir-revoka taċ-ċertifikati tfalli: liema host ma jilħaqx xiex

Iċ-ċertifikati jistgħu jkunu fil-perjodu tal-validità tagħhom waqt li l-VPN għadu jirrapporta falliment fl-awtentikazzjoni, u xi ħadd jasal għall-konklużjoni li ċ-ċertifikat ġie revokat. Dawn huma tliet fatti differenti. Id-data tar-revoka trid tinġarr mill-mezz li jagħmel il-validazzjoni, minn punt tal-pubblikazzjoni msemmi ġewwa ċ-ċertifikat innifsu. Meta dak il-mezz ma jistax jilħaq il-punt, il-verifika tfalli għal raġunijiet li m'għandhomx x'jaqsmu mal-istat taċ-ċertifikat.

Il-validatur għandu l-passaġġ tal-ġarr

Ibda billi tidentifika l-validatur. Meta laptop jiċċekkja ċ-ċertifikat tal-gateway, il-laptop iwettaq il-ġarr; meta l-gateway jiċċekkja ċertifikat tal-klijent, il-gateway jagħmel dan. Servizz tal-awtentikazzjoni fil-back-end jista' jżid it-tielet validatur bil-pożizzjoni tan-netwerk tiegħu stess. Kull wieħed għandu rotta differenti lejn l-internet u konfigurazzjoni differenti tal-proxy. L-evidenza miġbura fuq il-workstation ta' amministratur ma tgħid xejn dwar server ġewwa DMZ.

Ikteb iċ-ċertifikat, il-validatur, il-ħin tal-attentat u l-kodiċi tal-istat eżatt qabel ma tibdel xejn.

Aqra l-punt tal-pubblikazzjoni miċ-ċertifikat

Iċ-ċertifikat isemmi fejn jgħix l-istat tiegħu. Aqra dawk l-oqsma minflok ma taħseb indirizz tas-CA.

openssl x509 -in gateway.cer -noout -text | grep -A3 "CRL Distribution Points"
openssl x509 -in gateway.cer -noout -text | grep -A2 "Authority Information Access"

L-ewwel estensjoni telenka l-punti tad-distribuzzjoni CRL, u t-tieni telenka l-metodi tal-aċċess għall-informazzjoni tal-awtorità, li jistgħu jkopru l-istat OCSP u l-ġarr taċ-ċertifikat tal-emittent. Dawn huma mekkaniżmi differenti, u rispons OCSP mhuwiex fajl CRL. Il-host tal-pubblikazzjoni spiss ikun web server ordinarju u mhux il-magna tas-CA, għaliex emittent offline jista' jiffirma CRL li server ieħor iqassam. Għalhekk regola tal-firewall deskritta bħala aċċess għas-CA hija wisq vaga biex tiġi implimentata jew reviżata.

Ittestja l-ġarr mill-mezz li jivvalida

Mexxi t-test tal-ġarr fl-ambjent li tassew jagħmel il-validazzjoni, b'materjal taċ-ċertifikat approvat u mingħajr ċwievet privati.

certutil -urlfetch -verify .\client-test.cer
curl -sS -o /dev/null -w "%{http_code}\n" http://crl.example.com/ca.crl

It-tħaddim ta' certutil jivverifika l-katina u jirrapporta liema ġarr tal-URL irnexxa jew falla, filwaqt li s-sejħa curl tittestja indirizz wieħed tal-pubblikazzjoni mill-istess host u tirritorna biss kodiċi tal-istat. Ġarr li falla minn indirizz aċċessibbli jindika problemi fil-kontenut jew fil-firma; żball ta' konnessjoni jindika routing, DNS jew proxy. Żomm iż-żewġ riżultati, għaliex ġarr wieħed li rnexxa ma jipprovax li l-katina kollha hija użabbli. Ibdel il-host u l-passaġġ tal-eżempju mal-punt tad-distribuzzjoni misjub fiċ-ċertifikat.

Ifred id-data nieqsa mill-istat revokat

Erba' riżultati jidhru l-istess minn barra: il-punt mhuwiex aċċessibbli, il-lista hija skaduta, il-lista hija ffirmata mill-emittent żbaljat, jew iċ-ċertifikat huwa tassew revokat. Biss tal-aħħar huwa riżultat tal-istat, u biss dak jiġġustifika t-tneħħija tal-aċċess. Il-caching tkompli tikkomplika l-istampa, għaliex id-data miġbura qabel tista' taħbi passaġġ tal-pubblikazzjoni miksur sa l-aġġornament li jmiss. L-iżattivar tal-verifika tar-revoka, it-tħassir ta' ċertifikati mhux relatati jew ir-riavvjar tal-gateway kollha jissostitwixxu d-dijanjosi bl-attività.

Wara t-tiswija, iġġiela awtentikazzjoni ġdida u kkonferma li l-ġarr tal-istat maħsub jirnexxi. Fejn teżisti identità tat-test ikkontrollata, ikkonferma li għadha tiġi miċħuda, għaliex disponibilità li tneħħi l-verifika mhijiex tiswija.