Id-dħul il-ġdid tal-VPN ifalli waqt li ċ-ċertifikati huma validi: iċċekkja s-CRL

Ċertifikati li għad fadal xhur u dħul li jfalli minnufih jindikaw żewġ oġġetti differenti b’żewġ arloġġi differenti. Is-server qed jirrifjuta l-konnessjonijiet għax il-lista taċ-ċertifikati revokati li jikkonsulta għaddiet id-data tal-iskadenza tagħha stess, mhux għax iċ-ċertifikati tal-utenti qadmu. It-tiġdid ta’ ċertifikat tal-utent ma jagħmel xejn għal dik il-lista.

Is-separazzjoni taż-żewġ skedi hija d-dijanjosi kollha, u tinbidel il-forma li għandu jkollha t-tiswija.

Żewġ arloġġi, u wieħed biss minnhom huwa ċ-ċertifikat

Ċertifikat iġorr tieqa ta’ validità. Lista ta’ revoka taċ-ċertifikati iġorr it-tieqa tagħha stess, flimkien ma’ emittent u firma, u l-verifikaturi jirrifjutaw li jafdaw lista li l-ħin tal-aġġornament li jmiss tagħha għadda. Meta jiġri dan, il-klijent jippreżenta ċertifikat perfettament valid u s-server xorta jaqta’ l-konnessjoni b’messaġġ dwar il-lista. L-utenti jaqraw dak il-messaġġ bħala 'iċ-ċertifikat skada', li jibgħat it-talba għat-tiġdid fil-post żbaljat.

Iż-żewġ oġġetti għandhom ukoll sidien differenti: iċ-ċertifikat ġej mis-CA li ħarġu, filwaqt li l-lista tiġi ġġenerata skont skeda min min jopera dik is-CA. Utent ma jistax jaġġornaha, u l-ħruġ mill-ġdid taċ-ċertifikati ma jistax jestendiha.

Aqra l-lista li s-servizz fil-fatt itella’

Ibda mill-konfigurazzjoni li tkun għaddejja u mhux mill-fajl li tistenna. Il-passaġġ ta’ crl-verify jista’ jkun assolut, relattiv għall-profil, jew kopja integrata f’image, u l-verifikatur jaqra dik il-kopja. Spezzjonah fil-post tiegħu b’openssl crl -in /etc/openvpn/crl.pem -noout -issuer -lastupdate -nextupdate u qabbel id-dati mal-arloġġ tas-server.

Imbagħad ikkonferma li l-fajl huwa tassew dak li qed jintuża: iċċekkja l-firma tiegħu b’openssl crl -in /etc/openvpn/crl.pem -CAfile /etc/openvpn/ca.crt -noout, li jirrapporta riżultat ta’ verifika minflok ma jistampa l-oqsma bil-moħbi. Lista ffirmata minn CA oħra, jew kopja skaduta li tibqa’ fit-tieni direttorju, tfalli eżattament bħal waħda skaduta.

Erġa’ ġġenera mid-database tar-revoka, mhux minn żero

Il-lista l-ġdida trid tiġi mid-database attwali tar-revoka tas-CA, permezz tal-proċess ta’ firma approvat. Li tiġġenera lista vojta, jew li terġa’ tiġġenera minn backup antik tal-indeks, bla ma tinduna tneħħi r-revoka ta’ kull identità miżjuda wara dak il-backup. Dan ibiddel waqfa fid-dħul fi rigressjoni tas-sigurtà, u ħadd ma jinduna għax is-sintomu jisparixxi.

Żomm il-pass tal-ġenerazzjoni taħt il-kontroll tal-verżjonijiet flimkien mal-bqija tal-għodda tas-CA, sabiex l-intervall u ċ-ċavetta tal-firma jkunu dokumentati u mhux imfakkra. Dħul fir-runbook li jsemmi l-kmand, il-firmatarju u l-mira tal-pubblikazzjoni huwa biżżejjed. Imbagħad kulmin fuq id-dmir jista’ jerġa’ jiġġenera mingħajr ma jaqta’ x’inhu l-fajl tal-indeks awtorevoli. Aħżen in-numru tas-serje tal-lista u l-ħin tal-aġġornament li jmiss mar-rekord tal-varar.

Varar fejn iħares il-verifikatur

Ikkopja l-lista l-ġdida fil-passaġġ li jaqra s-servizz, issettja sjieda u mod sabiex il-kont tas-servizz ikun jista’ jaqraha iżda oħrajn le, u erġa’ għabbi jew erġa’ ibda skont l-imġiba dokumentata. Jekk id-daemon jaħżen il-lista fil-cache mal-bidu, is-sostituzzjoni tal-fajl mingħajr tagħbija mill-ġdid ma tibdel xejn li l-proċess li jkun għaddej jinduna bih. Ikkonferma t-timbru tal-ħin li l-proċess jirrapporta wara t-tagħbija mill-ġdid.

Jekk diversi servizzi jivverifikaw il-klijenti, varar f’kull wieħed minnhom. L-aġġornament ta’ punt wieħed u t-tħejjija ta’ ieħor bil-kopja antika jipproduċi falliment li jidher biss għall-utenti li jispiċċaw fit-tieni. Żomm lista qasira ta’ dawk il-punti fl-istess runbook. Wara l-varar, iċċekkja d-data tal-lista rrappurtata minn kull wieħed minflok ma tassumi li l-kopja waslet.

Għamel l-iskadenza li jmiss viżibbli qabel ma tgħaddi

Intervall ta’ pubblikazzjoni itwal inaqqas il-frekwenza ta’ dan l-inċident mingħajr ma joħloq proċess. Agħżel l-intervall mill-politika tal-operatur, imbagħad waqqaf twissija fuq il-qasam tal-aġġornament li jmiss tal-lista mwarrba bi żmien biżżejjed biex terġa’ tiġġenera u tvarar. Waqqaf twissija fuq il-kopja mwarrba, mhux fuq il-host tas-CA, għax il-kopja mwarrba hija dik li tfalli.

Wara l-varar, ivverifika ż-żewġ direzzjonijiet: utent permess jikkonnettja, u identità revokata magħrufa għadha tfalli. It-tieni verifika hija dik li taqbad ġenerazzjoni mill-ġdid mhux kompleta, u teħtieġ kmand wieħed kontra profil tat-test li żżomm eżattament għal dan il-għan.