OCSP kontra CRL: kif taħdem tassew kull verifika tar-revoka

Waħda minn dawn iż-żewġ verifiki tar-revoka tirritorna tweġiba iffirmata dwar ċertifikat wieħed, u l-oħra tirritorna lista iffirmata li tniżżel kollha kemm hi. It-tnejn huma maħsuba biex jgħidu lil verifikatur jekk kredenzjali għadhiex affidabbli, u t-tnejn ifallu b’modi li ma jixbħu xejn lil xulxin. L-ordni hawn taħt issegwi dak li operatur jiltaqa’ miegħu tassew fil-produzzjoni, mill-bajts fuq il-wajer sa gateway li jirrifjuta konnessjoni. Li taqbeż pass huwa l-mod kif implimentazzjoni tispiċċa bi politika tar-revoka li teżisti biss fuq il-karta.

Pass 1: X’jirritorna kull verifika u kemm iddum użabbli

CRL hija ppubblikata bħala oġġett iffirmat wieħed li jkopri kull ċertifikat li ħarreġ id-dħul, għalhekk verifikatur jiġbru darba u jużah mill-ġdid sakemm jgħaddi n-nextUpdate tal-lista. Tweġiba OCSP hija iżjed ristretta: twieġeb eżattament għal ċertifikat wieħed u ġġorr thisUpdate, producedAt u normalment ukoll nextUpdate. Dik id-differenza tmexxi kollox ieħor. CRL fil-cache issir qadima bil-kwiet, għax il-fajl għadu jiġi analizzat u l-firma tiegħu għadha tiġi verifikata, filwaqt li tweġiba OCSP skaduta hija ovvjament bla valur fil-mument li taqra l-marki tal-ħin tagħha.

Għalhekk il-cache huwa l-ewwel ħaġa li trid tiġi stabbilita: liema komponent iżomm il-kopja, u liema limitu ta’ fuq dik il-kopja tobdi. Fuq gateway il-limitu għandu jkun nextUpdate nieqes marġni ta’ sigurtà, qatt mhu dak li jissuġġerixxi b’kumbinazzjoni intestatura tal-cache HTTP. openssl crl -in issuer.crl -noout -lastupdate -nextupdate jistampa ż-żewġ dati, u lista li n-nextUpdate tagħha diġà fil-passat għandha tiġi trattata bħala nieqsa u mhux biss bħala qadima.

Pass 2: Fejn iċ-ċertifikat jindika lill-klijent

Iċ-ċertifikat tal-werqa normalment iġorr żewġ ħjiel: estensjoni tal-punt tad-distribuzzjoni CRL u entrata tal-aċċess għall-informazzjoni tal-awtorità għall-OCSP. openssl x509 -in client.pem -noout -ext crlDistributionPoints jistampa l-ewwel, u t-tieni tinsab taħt is-sezzjoni AIA ta’ openssl x509 -in client.pem -noout -text. Kull estensjoni hija indikazzjoni, mhux obbligu. Klijent li qatt ma jimplimenta l-verifika tar-revoka jgħaqqad tajjeb ħafna ma’ ċertifikat li l-estensjonijiet tiegħu jsemmu risponditur li ilu mejjet sena.

Il-punti tad-distribuzzjoni spiss isemmu host intern li jiġi riżolt biss f’segment wieħed tan-netwerk, u xi klijenti eqdem jirrifjutaw URL tal-ldap għal kollox. Iċċekkja l-aċċessibbiltà mill-host li jtemm it-tunnell, mhux mill-laptop tiegħek stess, għax dak huwa l-uniku perspettiva li l-falliment tagħha verament jgħodd.

Pass 3: Agħżel fail-closed jew fail-open qabel l-qtugħ

Risponditur li ma jintlaħaqx jew lista skaduta jġiegħlu deċiżjoni: tirrifjuta l-konnessjoni, jew taċċettaha u tirrekordja l-vojt. Is-sottokmand verify ta’ OpenSSL jagħmel l-għażla stretta espliċita, għax iż-żieda ta’ -crl_check tbiddel CRL mhux disponibbli f’unable to get certificate CRL u fi verifika falluta. Soft-fail fil-biċċa l-kbira tal-stacks mhijiex bandiera xejn, hija n-nuqqas tal-verifika, u għalhekk jiġi mibgħut b’inċident.

Biex tara liema imġiba tassew għandu klijent, neħħi r-risponditur u erġa’ għaqqad. Jekk it-tunnell xorta jogħla, sib il-linja tal-log li rreġistrat il-verifika maqbuża, imbagħad staqsi jekk xi ħadd jaqrax dik il-linja waqt inċident. L-istess fornitur jista’ jvarja skont il-protokoll: klijent IKEv2 u klijent OpenVPN fuq l-istess magna jaqraw settings tal-konfigurazzjoni mhux relatati.

Pass 4: Urina li l-verifika taħdem fejn jiġi aċċettat it-traffiku

Sib il-proċess li jtemm jew jawtorizza l-konnessjoni, imbagħad staqsih għal-linja tal-konfigurazzjoni li tabilita l-verifika tar-revoka. Gateway li jivvalida l-katina imma qatt ma jistaqsi dwar revoka japplika politika differenti minn dik fid-dokumentazzjoni tiegħek, u l-ebda screenshot ta’ katina ta’ ċertifikati ma jipprova l-kuntrarju. OpenVPN jikteb l-għażla bħala crl-verify; strongSwan iżomm it-tfittxijiet CRL u OCSP taħt il-konfigurazzjoni tas-CA, fejn jiġu stabbiliti crl_uris jew ocsp_uris. Jekk ma tistax tindika lejn waħda minnhom, assumi li l-verifika hija nieqsa.

Tweġiba OCSP tgħodd biss meta s-CA li ħarġet iffirmatha, jew meta risponditur li għandu l-użu estiż tal-muftieħ OCSPSigning delegat minn dik is-CA iffirmaha, għalhekk tweġiba minn servizz mhux relatat ma tipprova xejn. Jekk inti stess tmexxi r-risponditur, immonitorjah bħala dipendenza iebsa, għax servizz mejjet wieħed isir qtugħ għal kull klijent fail-closed f’daqqa.

Pass 5: Irrevoka ċertifikat wieħed apposta

Ħu ċertifikat tat-test, irrevokah mill-istess kanal li juża l-produzzjoni, u staqsi lir-risponditur direttament. openssl ocsp -issuer ca.pem -cert old.pem -url http://ocsp.example.net -resp_text għandu jirrapporta Cert Status: revoked flimkien ma’ ħin tar-revoka, u tweġiba good tfisser li r-revoka tiegħek ma waslitx għar-risponditur li jistaqsu l-klijenti tiegħek. Imbagħad ħaddem openssl verify -crl_check -CRLfile issuer.crl -CAfile ca.pem old.pem biex tara l-istess deċiżjoni mit-triq tal-lista. Aqra l-string tar-raġuni minflok il-kodiċi tal-ħruġ, għax rifjut tar-revoka u żball fil-katina t-tnejn jispiċċaw f’falliment.

Il-pass li verament jgħodd huwa l-aħħar: erġa’ għaqqad bil-profil l-antik kontra l-punt tal-infurzar reali u kkonferma li r-rifjut ġej mir-revoka. Imbagħad erġa’ għaqqad b’ċertifikat ġdid u validu biex turi li mhux biss ksirt is-semmiegħ. It-tħassir tal-profil fuq il-klijent ma jipprova xejn dwar id-deċiżjoni tas-server, u lanqas esekuzzjoni ta’ openssl verify b’suċċess fuq magna li qatt ma ttemm tunnell. RFC 6960 jiddefinixxi x’fih tweġiba OCSP konformi, inkluż il-valuri tal-istatus li taqra din il-prova.