Klijent irrevokat għadu jikkonnettja: il-lista qatt ma waslet

Ir-revoka qatt ma tidħol f’tunnel li qed jaħdem biex tħassar sessjoni. Il-lista hija input għall-verifika taċ-ċertifikat u tiġi kkonsultata waqt l-iskambju tal-kanal ta’ kontroll li jibda sessjoni TLS. Dan il-fatt wieħed jispjega ż-żewġ sorpriżi: klijent irrevokat jerġa’ jikkonnettja għax il-lista qatt ma waslet għand il-verifikatur, u sessjoni eżistenti tibqa’ ħajja għax ħadd ma vverifika mill-ġdid xejn.

Lista hija input, mhux azzjoni

Meta tinbena s-sessjoni s-server jivvalida ċ-ċertifikat tal-klijent kontra l-ankri ta’ fiduċja tiegħu, u d-direttiva tar-revoka żżid tfittxija fil-lista ma’ dik id-deċiżjoni. Il-verifika ssir fuq is-server, għalhekk il-klijent ma jistax jara li ċ-ċertifikat tiegħu ġie revokat u jkompli joffri l-istess wieħed. Profil li għadu jikkonnettja għalhekk jipprova biss li xi verifikatur aċċetta l-katina, mhux li r-revoka falliet.

Il-lista nnifisha hija oġġett iffirmat b’data tal-ħruġ u data tal-aġġornament li jmiss. Lista mhux relatata, waħda ffirmata minn awtorità oħra jew waħda li d-data tal-aġġornament li jmiss tagħha għaddiet mhijiex sostitut għal dik attwali, u jekk lista skaduta tiġix miċħuda jew aċċettata bil-kwiet jiddependi mill-użu.

Konnessjoni ġdida kontra sessjoni li qed taħdem

Ir-revoka tiġi evalwata meta sessjoni tinbena jew tiġi nnegozjata mill-ġdid, mhux kontra l-kanal tad-data fuq kull pakkett. Klijent li diġà huwa konness iżomm iċ-ċwievet tat-traffiku, għalhekk ikompli jgħaddi pakketti wara li ċ-ċertifikat tiegħu jidher fil-lista. L-intervall tal-imsieħba mill-ġdid awtomatiku jitkejjel fis-sigħat, għalhekk lista aġġornata tista’ tidħol fis-seħħ għall-ġodda filwaqt li tunnel li qed jaħdem jibqa’.

L-infurzar immedjat jeħtieġ azzjoni deliberata mhux il-lista biss. It-tnedija mill-ġdid tas-servizz ġġiegħel lil kull klijent jikkonnettja mill-ġdid, filwaqt li t-tmiem ta’ sessjoni waħda mill-interfaċċja tal-ġestjoni jħalli l-oħrajn ma jintmessux. Agħżel waħda għal kull inċident u innota liema użajt. Iż-żewġ għażliet għandhom firxa ta’ impatt differenti, u dik hija d-deċiżjoni vera.

Iwassal il-fajl li l-verifikatur fil-fatt jaqra

Il-lista trid tiġi ġġenerata mir-rekord tal-awtorità u mbagħad ikkupjata fuq kull magna li tivverifika ċ-ċertifikati. Li tiġi ġġenerata fuq il-host CA u qatt ma tiġi installata fuq is-server hija l-aktar ħsara komuni, u tidher eżattament bħal karatteristika tar-revoka miksura.

ca ca.crt
cert server.crt
key server.key
crl-verify /etc/openvpn/crl.pem

Żewġ dettalji jiddeċiedu jekk il-fajl huwiex fil-fatt moqri. Mogħdija relattiva tiġi riżolta kontra d-direttorju tal-konfigurazzjoni, għalhekk kopja mħollija fid-direttorju tad-dar ta’ operatur forsi qatt ma tinstab. U d-daemon normalment iċedi l-privileġġi wara l-bidu, għalhekk il-kont tat-tħaddim jeħtieġ permess ta’ tfittxija fuq kull direttorju prinċipali kif ukoll permess tal-qari fuq il-fajl. Iċċekkja t-tnejn mal-kont tat-tħaddim mhux ma’ root, inkella t-test jipprova l-ħaġa żbaljata.

Fuq hosts systemd unità msaħħa tista’ wkoll taħbi l-mogħdija, b’dehra biss għall-qari jew direttorju tas-sistema protett. Minn ġewwa s-servizz dan ma jingħarafx minn fajl nieqes, għalhekk iċċekkja r-restrizzjonijiet tal-unità qabel ma tmur tfittex żball ta’ permessi. Aqra l-fajl tal-unità qabel ma tagħti l-ħtija lill-mod tal-fajl.

Ikkonferma fuq is-server, mhux fuq il-klijent

Il-log tas-server isemmi x’ġara: ftuħ tal-lista, tagħbija tagħha jew verifika falluta bin-numru tas-serje revokat. Il-klijent jirrapporta biss falliment ġeneriku ta’ handshake, għalhekk il-logs tal-klijent huma post ħażin biex tfittex deċiżjoni ta’ revoka.

Ivverifika b’tentattiv ġdid mill-profil revokat u mbagħad waqaf. Konnessjoni b’suċċess minn dak il-profil hija s-sinjal li teżamina l-mogħdija tal-fajl u l-kont tat-tħaddim, mhux li tassumi li l-lista kienet ħażina. Żomm dak it-tentattiv b’suċċess bħala test ta’ aċċettazzjoni, u ma tgħoddx konnessjoni mill-ġdid li ma osservajtx.

X’ma jirrevokax xejn

It-tħassir tal-profil minn laptop, it-tneħħija tal-fajl taċ-ċertifikat mill-klijent jew li tgħid lill-utent jieqaf jikkonnettja ma jbiddlu xejn fuq is-server. Iċ-ċertifikat jibqa’ validu sakemm l-awtorità tirreġistra r-revoka u l-verifikatur jaqra l-lista li tirriżulta.

Huwa għalhekk li l-katina jistħoqqilha tinkiteb: irreġistra r-revoka, iġġenera u ffirma l-lista, iddistribwixxi eżatt dak il-fajl, u kkonferma li l-kont tas-servizz jista’ jaqrah. Kull rabta hija qasira, u kull waħda nieqsa tħalli klijent revokat jikkonnettja ferħan. Lista ta’ kontroll ta’ erba’ linji tegħleb assunzjoni mingħajr ebda waħda.