Lista sewda ta' Nebula: xerridha, il-fanal mhux se jagħmilha

L-infurzar tal-lista sewda hija proprjetà tal-host li jagħmel il-verifika, mhux taċ-ċertifikat li qed jiġi vverifikat. Magna li qatt ma għabbiet l-entrata tkompli taċċetta l-identità, u xejn fil-handshake ma javżak li żewġ sieħba ma jaqblux. Is-soluzzjoni irħisa u dik għalja għall-istess kredenzjali esposta jvarjaw fil-firxa u fil-possibbiltà li jiġu mreġġgħa, għalhekk agħżel b'mod deliberat. Is-sezzjonijiet hawn taħt ikopru x'jagħmel l-entrata, fejn trid tiġi kkunsinjata, meta r-rotazzjoni hija l-aħjar tweġiba, u kif wieħed jipprova li waħda minnhom ħadmet.

X'jagħmel entrata tal-lista sewda fil-fatt

Il-konfigurazzjoni tal-PKI telenka l-impronti li host irid jirrifjuta anke jekk iċ-ċertifikat ikun iffirmat b'mod validu u ma jkunx skada. L-infurzar iseħħ lokalment, kontra l-lista li dak il-host għabba meta beda s-servizz. Xejn dwar l-entrata ma jivvjaġġa ġewwa ċ-ċertifikat, għalhekk sieħeb ma jistax jitgħallem id-deċiżjoni mill-kredenzjali li tintwereih. Huwa għalhekk li fanal m'għandu l-ebda parti hawn: il-fanali jgħinu lis-sieħba jsibu lil xulxin u jgħaddu t-traffiku fejn triq diretta tfalli. Huma saff ta' skoperta u tgħaddija, mhux kanal ta' distribuzzjoni tal-konfigurazzjoni.

L-aġġornament ta' magna waħda jbiddel id-deċiżjonijiet ta' dik il-magna u jħalli kull sieħeb ieħor eżatt kif kien. Sieħeb li jafda l-awtorità tal-iffirmar u li qatt ma ra l-entrata m'għandu l-ebda raġuni jirrifjuta xejn. Għalhekk l-ittestjar tar-revoka billi tosserva l-fanal ma jipprova xejn, għax il-komponent li qed tosserva qatt ma ntalab jinfurza l-lista.

Identifika ċ-ċertifikat, mhux l-apparat

Uża l-impronta tal-kredenzjali li biħsiebek tirrifjuta, għax isem il-host, tikketta tal-apparat jew indirizz attwali jidentifikaw magna llum u xi ħaġa oħra x-xahar id-dieħel. Ebda waħda minn dawn is-sekwenzi ma tidher fil-lista sewda, u ebda waħda minnhom ma tgħix installazzjoni mill-ġdid. Ipprintja ċ-ċertifikat, aqra l-impronta, u vverifika li hija tal-kredenzjali li qed tiġi rtirata u mhux tas-sostitut tagħha. Li taqra ż-żewġ fajls huwa importanti meta sostitut ikun diġà maħruġ, għax iċ-ċertifikat antik u dak ġdid jistgħu jaqsmu l-isem u jvarjaw f'kull qasam ieħor.

Irreġistra liema impronta ġiet imblukkata u meta, biex verifika aktar tard tifred bidla kompluta minn waħda maħsuba. Innota wkoll x'ma tagħmilx l-entrata: ma tħassarx l-awtorità tal-iffirmar, u ma tipprevjenix li ċertifikat futur ta' dik l-awtorità jiġi aċċettat. L-imblukkar ta' ċertifikat tal-host u s-sostituzzjoni ta' awtorità kompromessa huma operazzjonijiet differenti b'konsegwenzi differenti.

nebula-cert print -path /etc/nebula/host.crt
pki:
  blocklist:
    - "a1b2c3d4e5f6"

Xerridha bħal kull konfigurazzjoni oħra

Ittratta l-lista bħala konfigurazzjoni b'mekkaniżmu ta' kunsinna, mhux bħala fajl li xi ħadd jeditja meta jiftakar. Ibgħat il-lista kollha minflok delta, biex host li tilef aġġornament preċedenti jikkonverġi minflok ma jakkumula lakuni. Id-dokumentazzjoni tal-PKI ta' Nebula tirrakkomanda eżattament dan, u l-parir jistħoqqlu jiġi segwit b'mod litterali minflok ma jiġi pparafrazat fi proċess manwali.

Ikkonferma li s-servizz li qed jaħdem għabba l-kontenut mill-ġdid, mhux biss li l-fajl fuq id-diska nbidel. Segwi liema magni applikaw il-bidla u żomm il-lista li għadha mhux kompluta viżibbli sakemm tkun vojta. Laptop magħluq għal ġimgħa huwa sieħeb li qatt ma tgħallem id-deċiżjoni, u jista' jerġa' jgħaqqad minn netwerk li ħadd ma stenna. Irreġistra l-metodu tal-kunsinna ħdejn l-impronta, għax ir-revoka li jmiss terġa' tużah u fl-ewwel waħda l-proċess jiġi ddebuggjat.

Lista sewda jew rotazzjoni tal-awtorità

Entrata tal-lista sewda hija dejqa: identità waħda tieqaf taħdem u kollox ieħor ikompli. Ir-rotazzjoni tal-awtorità tal-iffirmar hija wiesgħa: kull ċertifikat li ħarġet isir mhux afdat, u kull host jeħtieġ kredenzjali ġdida u ankra ta' fiduċja ġdida. L-ewwel waħda hija revoka mmirata u t-tieni hija migrazzjoni, għalhekk jeħtieġu approvazzjonijiet differenti u twieqi ta' manutenzjoni differenti. It-tabella tqiegħed it-tnejn maġenb xulxin fil-firxa, fl-isforz u fil-possibbiltà li jiġu mreġġgħa.

Laptop mitluf jeħtieġ il-lista sewda, għax ir-raġġ tad-dannu huwa identità waħda u l-bidla hija riversibbli jekk imblukkajt l-impronta żbaljata. Ċavetta ta' awtorità li nfiret jeħtieġ rotazzjoni, għax il-lista sewda ma tistax tgħin b'ċertifikati li għadhom ma nħarġux. Bejn dawn l-estremi, staqsi jekk il-kredenzjali esposta setgħetx iffirmat xi ħaġa oħra, għax awtorità hija aktar minn host wieħed.

Ikteb id-deċiżjoni qabel inċident, għax l-għażla taħt pressjoni għandha tendenza tipproduċi l-għażla wiesgħa bħala default. Liema triq tieħu, l-element tax-xogħol li jifdal huwa l-istess: ipprova li l-infurzar seħħ fuq il-hosts li jimpurtaw. Ir-reġistrazzjoni tal-impronta u d-data f'dak il-mument hija dik li tagħmel il-prova possibbli aktar tard.

Ivverifika r-rifjut u l-bqija

Qabbad mill-identità mblukkata u kkonferma l-falliment, imbagħad qabbad minn sieħeb awtorizzat u kkonferma li għadu jasal għal dak li jeħtieġ. Bidla li tkisser lil kulħadd mhix revoka b'suċċess. Agħmel it-tnejn minn sessjonijiet ġodda, għax stat fil-cache jista' jaħbi r-riżultat.

Ivverifika jekk sessjoni stabbilita tintemmx wara l-bidla, u nnota l-imġiba għall-verżjoni u l-konfigurazzjoni tiegħek minflok ma tassumi li l-editjar ta' fajl itemm xi ħaġa. L-għażla disconnect_invalid tkopri klijenti li ċ-ċertifikati tagħhom huma skaduti jew invalidi, għalhekk ikkonferma kif tapplika għall-każ tiegħek qabel ma tiddependi fuqha. Jekk it-tmiem immedjat hija rekwiżit, ippruvaha b'mod speċifiku u rreġistra dak li osservajt. Imbagħad erġa' għamel it-test wara restart, għax host li jinfurza l-lista biss sa r-restart li jmiss għandu problema ta' kunsinna li l-ewwel test ħeba. Fanal b'saħħtu jgħidlek li l-iskoperta taħdem, mhux li xi sieħeb applika politika.