Irrevokajt iċ-ċertifikat VPN ħżin? Għażliet ta' rkupru u limiti

Xi ħadd irrevoka ċertifikat fil-console tas-CA u issa utent ma jistax jgħaqqad. L-ewwel istint huwa li tinstab it-treġġigħ lura, u fil-biċċa l-kbira tal-PKI m'hemmx: ir-revoka hija fatt iddikjarat dwar numru serjali, u t-triq lura appoġġata hija ċertifikat ġdid, mhux rekord maqlub. Għaddi mill-verifiki hawn taħt fl-ordni, għax liema tiswija hija permessa tiddependi mill-kodiċi tar-raġuni u minn jekk il-muftieħ qatt ġiex espost.

Identifika ċ-ċertifikat, mhux il-persuna

L-ismijiet komuni jerġgħu jinqalgħu. Utent li reġa' rreġistra fit-trimestru li għadda jista' jkollu żewġ ċertifikati bl-istess CN u numri serjali differenti, u r-revoka ta' wieħed tħalli l-ieħor jaħdem. L-ewwel stabbilixxi l-oġġett eżatt:

openssl x509 -in client.crt -noout -serial -issuer -subject -dates
openssl crl -in ca.crl -noout -text | head -40

Ikteb in-numru serjali, l-emittent, id-data tar-revoka u r-raġuni rreġistrata fis-CRL. Imbagħad ikkonferma liema apparati jippreżentaw dak in-numru serjali, għax ċertifikat irrevokat jista' għadu installat fuq laptop, telefon u router żejjed, u sostituzzjoni li tilħaq biss wieħed minnhom toħloq it-tieni inċident.

Verifika mgħaġġla tal-imġiba tikkonferma l-istat mingħajr ma tbiddel xejn:

openssl verify -crl_check -CAfile ca.crt -CRLfile ca.crl client.crt

Jekk tirrapporta ċ-ċertifikat bħala revokat, is-CRL u l-klijent jaqblu; jekk jiġi vverifikat nadif, il-klijent li għandek mhuwiex dak revokat, u t-tfittxija tkompli.

Iċċekkja jekk is-CA użatx żamma jew revoka permanenti

RFC 5280 jiddefinixxi certificateHold bħala stat temporanju, u removeFromCRL bħala s-sinjal li jeħilsu. Dak iċ-ċiklu tal-ħajja huwa reali, iżda mhuwiex buttuna ta' treġġigħ lura ġenerali. Il-qari tal-kodiċi tar-raġuni jgħidlek jekk l-emittent qatt kellu l-ħsieb li jappoġġa l-ħelsien.

In-nassa hija li wieħed jassumi li ħsieb temporanju jfisser rekord temporanju. Jekk id-dħul tas-CA jġorr keyCompromise jew cessationOfOperation, iċ-ċertifikat huwa revokat b'mod permanenti, tkun xi tkun il-ħsieb tal-persuna li ppremet il-buttuna. Bil-maqlub, dħul immarkat certificateHold fuq CA li ma timplimentax il-ħelsien taż-żamma huwa permanenti fil-prattika, għax xejn qatt mhu se jippubblika l-ħelsien.

CA bbażati fuq OpenSSL juru l-limitu. Il-kmand ca jaċċetta valuri -crl_reason, inklużi certificateHold u removeFromCRL, iżda ma jiġġenerax CRL delta — id-dokumentazzjoni tas-CA OpenSSL ssemmi dak il-limitu għall-ħruġ tas-CRL tagħha. CRL sħiħa li sempliċement tħalli barra n-numru serjali hija mudell ta' pubblikazzjoni differenti minn delta li tgħid "dan id-dħul inħeles", għalhekk it-tqegħid ta' removeFromCRL f'CA VPN ibbażata fuq OpenSSL ma jipproduċix il-ħelsien definit mill-istandards.

Jekk il-muftieħ seta' ġie espost, ibdlu

Ċertifikat irrevokat huwa dikjarazzjoni li dan il-muftieħ jista' ma jibqax affidabbli. Jekk ir-revoka kienet korretta fis-sustanza — laptop mitluf, muftieħ ikkupjat fuq disk kondiviż, muftieħ privat imwaħħal fi ticket — ir-restawr tal-istess ċertifikat jaqleb deċiżjoni tas-sigurtà li kienet qed taħdem kif maħsub.

Toħroġ par muftiħ ġdid permezz tal-proċess tar-reġistrazzjoni, tqassam il-profil il-ġdid, u tħalli n-numru serjali l-antik irrevokat għall-ħajja kollha tiegħu. Aġġorna kollox li jwaħħal l-identità man-numru serjali jew il-marka tas-swaba', inklużi listi ta' ammissjoni, inventarji tal-apparati u monitoraġġ li jistenna ċertifikat speċifiku.

L-argument tal-konvenjenza biex jiġi restawrat dak l-antik huwa reali, iżda għandu jiġi indirizzat b'mod espliċitu, mhux bil-kwiet. "L-utent għandu bżonn aċċess illum" hija raġuni biex titħaffef il-ħruġ, mhux raġuni biex titreġġa' lura r-revoka ta' muftieħ li ma tistax tagħti kont tiegħu.

Jekk kien żball amministrattiv, ibdlu taħt kontroll

Meta r-revoka kienet sempliċement żbaljata u l-muftieħ qatt ma ġie espost, it-tiswija xorta hija sostituzzjoni kkontrollata u mhux editjar. Uża l-proċess appoġġat tal-emittent, żomm in-numru serjali u l-istorja tal-ħruġ intatti, u evita ż-żewġ shortkits tentanti: iddawwar il-karattru tal-istat f'index.txt minn R lura għal V, u tħassar ir-ringiela tal-ħruġ sabiex ċertifikat ġdid ikun jista' jerġa' juża n-numru serjali.

Fuq CA OpenSSL id-database hija separata bit-tabs u faċli tinqara ħażin, li jagħmel l-editjar bl-idejn attraenti:

awk -F'\t' '$1=="R" {print $4, $3, $6}' index.txt

Aqrah, tiktibx. L-editjar tal-fajl ibiddel is-CRL li jmiss mingħajr ebda traċċa ta' verifika, u kwalunkwe tieni istanza tas-CA jew backup li għadha żżomm ir-ringiela oriġinali se taqbel ħażin magħha aktar tard.

Wara li toħroġ is-sostituzzjoni, ippubblika CRL friska permezz tal-mekkaniżmu normali u ħalli l-klijenti jiġbruha. It-tneħħija ta' CRL, it-tqassir tal-ħajja tagħha għal xejn jew id-diżattivazzjoni tal-verifika tar-revoka fil-profil tal-klijent isewwi utent wieħed billi ddgħajjef kull revoka oħra li s-CA qatt ippubblikat.

Ikkonferma ammissjoni friska u żomm ir-rekord

Ittestja b'konnessjoni ġdida, mhux bis-sessjoni li kienet diġà miftuħa. Mina wħaħda ħajja tista' ma terġax teżegwixxi l-verifiki tal-ammissjoni li tagħmel handshake ġdida, u l-caches tas-CRL ifissru li klijent jista' jibqa' jgħaqqad sakemm jiġġedded. Iddisconnettja, erġa' għaqqad, u kkonferma fil-log tas-server liema numru serjali ġie ammess.

Irreġistra x'ġara waqt li għadu frisk: liema numru serjali ġie revokat, minn min, b'liema raġuni, liema sostituzzjoni nħarġet, u meta s-CRL ġie ppubblikat mill-ġdid. Dak ir-rekord huwa dak li jagħmel possibbli l-ħarsa tar-revoka li jmiss, u huwa wkoll il-prova li l-iżball ġie ttrattat minflok moħbi.

Għal sospensjonijiet qosra fil-futur, uża mekkaniżmu ta' pawża tal-ammissjoni jekk id-deployment għandu wieħed — kont diżattivat fis-saff tal-identità, sħubija fi grupp imneħħija, profil tal-klijent miżmum. Dan iżomm deċiżjoni tal-politika temporanja separata mill-mistoqsija jekk ċertifikat maħruġ għadux affidabbli, u proprju dik id-distinzjoni ntilfet l-ewwel darba.