Ċertifikat VPN irrevokat għadu jgħaqqad? Iċċekkja l-infurzar tas-CRL

Int irrevokajt iċ-ċertifikat, iġġenerajt lista ġdida, u l-profil antik għadu jtellgħu tunnel. M'hemm xejn miksur fir-revoka nfisha: CRL hija dikjarazzjoni ffirmata li numru tas-serje m'għadux validu, u tibdel l-aċċess biss meta l-komponent li jtemm it-TLS jgħabbiha, għall-emittent it-tajjeb, qabel ma jieħu d-deċiżjoni tal-aċċettazzjoni. Dak l-aħħar huwa fejn jinsabu ħafna minn dawn il-każijiet, u għalhekk ir-revoka u ċ-ċaħda huma żewġ fatti separati.

Għaddi mill-ħames kontrolli hawn taħt fl-ordni, u waqaf fl-ewwel waħda li ma żżommx, għax kull kontroll aktar tard jassumi li dawk ta' qabel huma veri.

Iċċekkja liema komponent jieħu d-deċiżjoni tal-aċċettazzjoni

Semmi l-proċess li jivvalida ċ-ċertifikat tal-klijent, għax dak il-proċess biss jista' jinfurza lista. Fuq OpenVPN server huwa d-daemon innifsu, konfigurat b'crl-verify. Fuq ocserv hija l-linja crl f'ocserv.conf. Fuq strongSwan l-inputs huma s-CRLs mgħobbija flimkien ma' strictcrlpolicy. Proxy jew apparat li jtemm it-TLS quddiem il-VPN jista' wkoll ikun il-verifikatur veru, u jekk huwa hekk, id-daemon warajh qatt ma jara ċ-ċertifikat tal-klijent.

WireGuard jaqa' f'kategorija differenti. M'għandux ċertifikati u lanqas lista ta' revoka; peer jiġi ammess permezz tal-kjavi pubblika tiegħu fil-konfigurazzjoni, għalhekk it-tmiem tal-aċċess ifisser li tneħħi dik il-kjavi. Jekk qed tfittex CRL fi skjerament b'WireGuard biss, dak il-mekkaniżmu mhuwiex hemm.

Innota wkoll in-nassa fuq in-naħa tal-klijent. Klijent li jirrifjuta li jgħaqqad għax ma jogħġbux iċ-ċertifikat tas-server qed jinfurza l-katina tas-server, mhux jirrevoka l-kredenzjal tiegħu stess. Ċertifikat tal-utent jiġi revokat biss fejn dak iċ-ċertifikat tal-utent jiġi vvalidat, u dan kważi dejjem in-naħa tas-server.

Iċċekkja għal liema emittent ġiet iffirmata l-lista

CRL hija limitata għal CA waħda li temetti. B'root u intermediate, iċ-ċertifikati tal-weraq jiġu mill-intermediate, għalhekk il-lista li timporta hija s-CRL tal-intermediate; il-lista tar-root ma tgħid xejn dwar dawk il-weraq. Verifikatur li jindika lejn il-fajl ħażin jipparsjah bil-ferħ, ma jsib l-ebda entrata li taqbel u jaċċetta kollox.

Ikkonferma t-tqabbil qabel ma tmiss id-daemon. L-emittent fuq iċ-ċertifikat irid jaqbel mas-subject tal-lista:

openssl x509 -in client.crt -noout -issuer -serial
openssl crl  -in intermediate.crl -noout -issuer -lastupdate -nextupdate

Meta t-tnejn ġejjin mill-istess CA, in-numru tas-serje stampat għaċ-ċertifikat huwa l-valur li jrid jidher fil-lista. Jekk ma jaqblux, qed iżżomm is-CRL ħażina jew il-kopja ħażina tagħha.

Il-validità tappartjeni għall-istess kontroll. nextUpdate fil-passat jagħmel il-lista skaduta, u verifikatur li jonqos magħluq se jirrifjuta kull klijent minflok biss dak irrevokat.

Iċċekkja li n-numru tas-serje jinsab fil-kopja li għabba d-daemon

Ir-revoka tikteb entrata fid-database tas-CA, u r-riġenerazzjoni tikteb fajl ġdid. L-ebda mill-azzjonijiet ma tasal għand daemon li qed jaħdem li għabba l-kopja l-antika fil-bidu. Iddumpja l-lista u fittex in-numru tas-serje:

openssl crl -in intermediate.crl -noout -text | grep -i -A2 'Serial Number'
openssl ca -revoke client.crt
openssl ca -gencrl -out intermediate.crl

Imbagħad iċċekkja kif l-implimentazzjoni tiegħek tieħu l-fajl. OpenVPN jaqra mogħdija mogħtija lil crl-verify darba fil-bidu, għalhekk lista ġdida teħtieġ tkomplija mill-ġdid jew sinjal ta' tkomplija; l-istess għażla diretta lejn direttorju terġa' tinqara għal kull konnessjoni, u dan huwa r-raġuni li teżisti l-modalità tad-direttorju. strongSwan jeħtieġ li jerġa' jgħabbi l-kredenzjali tiegħu, pereżempju b'swanctl --load-creds. Li l-fajl fuq id-diska huwa korrett u li l-verifikatur jużah huma żewġ fatti differenti.

Iċċekkja l-politika għal lista nieqsa jew skaduta

Din hija d-deċiżjoni li ħafna skjeramenti qatt ma jieħdu b'mod espliċitu, u tiddeċiedi jekk ir-revoka tipproteġikx jew tissakkar lil kulħadd barra. Fail-closed tfisser li l-ebda informazzjoni ta' revoka użabbli ma tipproduċi ċaħda; fail-open tfisser li l-verifikatur jipproċedi mingħajrha. strongSwan tesponi l-għażla bħala strictcrlpolicy. OpenVPN b'crl-verify jirrifjuta li jibda fuq fajl li ma jistax jaqra jew jipparsja, u lista skaduta tidher bħala żball ta' verifika TLS dwar CRL skaduta minflok bħala aċċettazzjoni siekta.

Liema direzzjoni tagħżel, l-awtomazzjoni tgħodd aktar mill-għażla: xogħol li jiġġenera mill-ġdid is-CRL qabel nextUpdate, u twissija meta l-kopja skjerata tixjieħ, iżżomm liema politika milli ssir inċident. Il-kontroll onlajn bl-OCSP iċaqlaq il-freskezza għal rispons, imma l-istess regola tapplika, għax verifikatur mhux ikkonfigurat biex jiċċekkja t-tweġiba ma jbiddel xejn.

Iċċekkja s-sessjoni attiva, imbagħad il-kopji tal-kjavi

Ir-revoka tiġi evalwata waqt il-validazzjoni taċ-ċertifikat, li sseħħ fil-konnessjoni u fin-negozjazzjoni mill-ġdid. Sessjoni stabbilita tibqa' għaddejja sakemm tinnegozja mill-ġdid, u d-default ta' OpenVPN huwa darba fis-siegħa b'reneg-sec 3600. Jekk il-persuna trid tkun barra mix-xibka issa, temm is-sessjoni kif ukoll tippubblika l-lista, u mbagħad ikkonferma li r-riklamatur huwa rrifjutat.

Issepara l-kredenzjal mill-kopji tiegħu. It-tħassir ta' profil fuq laptop wieħed ma jwaqqafx kopja oħra tal-istess kjavi privata milli tawtentika; ir-revoka hija dik li tagħmel kull kopja inutli, u biss meta l-kontrolli preċedenti jżommu. Agħti lill-apparat ta' sostituzzjoni ċertifikat tiegħu sabiex wieħed jista' jiġi revokat mingħajr ma tmiss l-ieħor.

Qabel ma ssejjaħlu lest: il-komponent tal-validazzjoni huwa identifikat, l-emittent tal-lista jaqbel mal-emittent tal-werqa, in-numru tas-serje revokat jinsab fil-kopja li d-daemon għabba fil-fatt, il-politika għal listi nieqsa jew skaduti hija intenzjonata u mmonitorjata, u s-sessjoni attiva ġiet terminata minflok ma nistenna. Il-formati wara dan kollu huma speċifikati f'RFC 5280.