Tlift iċ-ċertifikat tal-klijent? Ħassar bin-numru tas-serje, mhux bl-isem

Il-fajl taċ-ċertifikat tal-klijent tiegħek telaq, u r-rifless huwa li tħassar l-isem u toħroġ wieħed ġdid. Dan ir-rifless iħalli ċ-ċertifikat oriġinali validu, għax it-tħassir jaħdem fuq numru tas-serje u mhux fuq tikketta. Is-CA kważi żgur għadha żżomm kopja ta’ dak li ħarġet, u li ssib dik il-kopja hija l-ħidma kollha.

Li titlef fajl mhuwiex li titlef ir-rekord tas-CA

PKI Easy-RSA iżżomm iċ-ċertifikati pubbliċi li ħarġet, u l-verżjonijiet attwali jarkivjaw ukoll kopji skont is-serje fid-direttorju certs_by_serial tal-PKI. Il-muftieħ privat mhuwiex meħtieġ biex tħassar xejn. Dak li jgħodd huwa ċ-ċertifikat eżatt li ffirmat is-CA, u s-CA diġà għandha dan.

Aħdem fuq kopja ta’ riżerva tal-PKI t-tajba, mal-amministratur li jippossjediha. It-tħassir huwa operazzjoni li tista’ tiġi awditjata, mhux tiswija fuq bażi tad-dejta tal-produzzjoni f’nofs il-lejl.

Kopja taċ-ċertifikat pubbliku inkluż tal-klijent taħdem ukoll, jekk l-iskjerament żamm waħda.

Aqra l-ħarrieġ u s-serje qabel kollox

Iċċekkja l-PEM irkuprat u ikteb il-ħarrieġ, in-numru tas-serje, is-suġġett u l-perjodu tal-validità. In-numru tas-serje huwa uniku fil-firxa ta’ ħarrieġ wieħed, mhux fost is-CA kollha fl-ambjent tiegħek, għalhekk il-ħarrieġ huwa parti mill-identità. Jekk diversi ċertifikati jaqsmu suġġett, dawk is-serje huma li jiddistingwuhom.

Qabbel il-valuri mar-rekords tas-CA u mat-tagħmir jew mal-persuna li taħseb li għandha ċ-ċertifikat.

Isem komuni jista’ jerġa’ jintuża, u normalment hekk jiġri. Tiddeċiedix liema ċertifikati għandhom jiġu rtirati qabel ma jiġu miktuba s-serje.

Għaliex it-tħassir taċ-ċertifikat il-ġdid ma jagħmel xejn

Li toħroġ sostitut bl-istess isem komuni joħloq it-tieni ċertifikat b’serje differenti. It-tħassir tas-sostitut jirtira l-ġdid u jħalli l-oriġinali validu sax jiskadi. Mill-perspettiva tas-CA dawn huma żewġ oġġetti indipendenti, u CRL telenka s-serje u mhux l-ismijiet. L-indiċi tas-CA jżomm ringiela waħda għal kull ċertifikat maħruġ preċiżament għal din ir-raġuni.

L-istess konfużjoni tipproduċi l-iżball oppost: tħassar il-fajl tal-klijent u tassumi li s-CA nsejh. It-tħassir fuq il-klijent mhuwiex avveniment ta’ tħassir, u ċ-ċertifikat jibqa’ jaħdem għal kull min għandu kopja.

Iż-żewġ żbalji ġejjin milli l-isem jiġi trattat bħala l-identità.

Ħassar iċ-ċertifikat li semmi s-serje

Identifika l-oġġett qabel ma tmiss is-CA: openssl x509 -in recovered-client.pem -noout -issuer -serial -subject -dates jistampa l-erba’ valuri f’pass wieħed, u s-serje hija dik li tqabbel mal-arkivju tas-CA. Easy-RSA iżżomm dak l-arkivju taħt pki/certs_by_serial, b’fajl wieħed għal kull serje. Il-kmand tat-tħassir jieħu isem komuni u mhux serje, għalhekk ikkopja l-fajl arkivjat għal pki/issued/<common-name>.crt u ħalli l-isem jindika l-oġġett li identifikajt. Mexxi easyrsa revoke <common-name> mid-direttorju tal-PKI, imbagħad iċċekkja li r-ringiela korrispondenti f’index.txt inqalbet għal R. Is-serje hija kif tagħżel l-oġġett, mhux argument li l-kmand jaċċetta.

openssl x509 -in recovered-client.pem -noout -issuer -serial -subject -dates
cp pki/certs_by_serial/A1B2C3D4.pem pki/issued/client-01.crt
./easyrsa revoke client-01
grep -n client-01 pki/index.txt
./easyrsa gen-crl

Jekk index.txt ma jurix R, waqaf u aqra l-iżball qabel ma tiġġenera CRL, għax CRL mibni minn rekord li għadu validu ma jirtira xejn. Biss wara li tinbidel ir-ringiela tmexxi easyrsa gen-crl u tgħaddi għat-tqassim tal-fajl.

Ippubblika s-CRL fejn tassew tiġi infurzata

Iġġenera CRL ġdid permezz tal-fluss tax-xogħol appoġġjat tal-PKI, imbagħad ippubblikah f’kull verifikatur li jinfurza t-tħassir ta’ dan il-ħarrieġ.

Fajl aġġornat li jinsab fuq is-CA ma jbiddel xejn, għax il-VPN itemm id-deċiżjoni fil-verifikatur tiegħu stess. Iċċekkja l-ħarrieġ tas-CRL, il-perjodu tal-validità u s-serje mħassra, u kkonferma li s-servizz jerġa’ jgħabbi l-fajl minflok ma jaħżen dak preċedenti fil-cache. Is-sjieda u l-passaġġ huma importanti daqs il-kontenut: CRL li d-daemon ma jistax jaqra mhuwiex differenti minn ebda CRL. L-għażla crl-verify ta’ OpenVPN issemmi l-fajl li jaqra d-daemon, għalhekk iċċekkja dak il-passaġġ u s-sjieda tal-fajl fil-konfigurazzjoni tas-server.

Ivverifika b’tentattiv ta’ konnessjoni reali, mhux bit-timbru tal-ħin tal-fajl.

Kun af meta CRL hija l-għodda ħażina

Jekk il-muftieħ privat tal-ħarrieġ mhuwiex aktar affidabbli, l-irtirar ta’ serje magħrufa ma jistax iwaqqaf persuna mhux awtorizzata milli tiffirma ċertifikati ġodda. Din hija tranżizzjoni ta’ fiduċja tal-ħarrieġ, jiġifieri CA ġdida u pjan ta’ tqassim, mhux entrata oħra fis-CRL. Il-fatt li eks amministratur kellu aċċess mhuwiex fih innifsu prova li l-muftieħ ġie abbużat, għalhekk ġib il-fatti qabel ma terġa’ tibni l-fiduċja.

L-editjar manwali tal-bażi tad-dejta tal-ħruġ biex tinqaleb ittra tal-istat mhuwiex sostitut għal tħassir iffirmat, u jħalli s-CRL inkonsistenti mar-rekords.

Żomm is-serje, is-CRL u l-pass tat-tqassim f’nota waħda, u l-awditjar li jmiss isir eżerċizzju ta’ qari. Il-proġett Easy-RSA jiddokumenta l-kmandi appoġġjati għall-verżjoni installata, u din hija l-unika interfaċċja li jiswa li tiġi segwita.