Inventarju taċ-ċertifikati VPN: x’jista’ jipprova r-reġistru tas-CA
Folder fuq is-server, reġistru tas-CA, lista ta’ revoka u tabella ta’ sessjonijiet iwieġbu mistoqsijiet differenti. Żommhom separati meta tkun qed tagħmel inventarju tal-identitajiet VPN.
Il-bieb tiegħek jaċċetta ċertifikat tal-klijent li qatt ma ra, għax dak li bih huwa kkonfigurat huwa min joħroġ iċ-ċertifikati ta’ fiduċja, u ċ-ċertifikat jasal waqt il-ħandxejk. Hekk suppost jaħdem il-protokoll, u għalhekk lista tad-direttorju fuq is-server hija inventarju fqir. Min joħroġ iċ-ċertifikat jaf x’ħoloq, is-server jaf x’qabbad, u l-istat tar-revoka jaf x’ġie rtirat. Inventarju li jgħaqqad dawn it-tliet rekords fl-aħħar jafferma xi ħaġa li ħadd minnhom ma qal.
Il-bieb jafda f’min joħroġ iċ-ċertifikat, mhux f’lista ta’ fajls
Il-validazzjoni tqabbel ċertifikat ippreżentat ma’ ankra ta’ fiduċja, għalhekk identità maħluqa bieraħ mill-istess min joħroġ tiġi konnessa mingħajr ma qatt kienet teżisti fuq id-diska tas-server. M’hemm bżonn l-ebda kopja biex dan iseħħ, u ħadd m’għandu japprovah bl-idejn. Għalhekk ir-rekords tas-server stess jiddeskrivu wasliet, mhux il-popolazzjoni ta’ identitajiet li setgħu jaslu.
Il-qasma opposta hija wkoll skomda daqs kemm hi. Folder jista’ jżomm ċertifikati skaduti, oħrajn revokati, u identitajiet maħruġa għal apparati li qatt ma ġew skjerati. L-għadd tal-fajls iwieġeb kemm hemm fajls, li hija mistoqsija li ħadd ma għamel. Ibda minflok mir-rekords li jġorru tifsira.
Erba’ mistoqsijiet, erba’ rekords differenti
Kull tip ta’ rekord iwieġeb mistoqsija waħda tajjeb u l-oħrajn ħażin, għalhekk rapport li jgħaqqadhom jidher komplut filwaqt li huwa żbaljat b’mod partikolari. It-tabella hawn taħt tordnahom skont il-mistoqsija li jsolvu u mhux skont is-sistema li tipproduċihom.
| Question you are answering | Where the answer lives | How quickly it changes | What it will never show |
|---|---|---|---|
| Was this identity ever created? | The issuer's issuance database | Only when something is issued | Whether the device still exists |
| Is a copy sitting on this host? | The paths you actually inspected | Whenever anyone copies files | Certificates that were never copied here |
| Has the issuer withdrawn it? | Published revocation state | When the issuer next publishes | Withdrawals that are not published yet |
| Is it connected right now? | The live session table | Continuously | Anything about past or future sessions |
Arxiv ta’ ċertifikati pubbliċi mhuwiex sigriet, għax ma fihx ċavetti privati, iżda lanqas ma jista’ jiġi kondiviż. Is-suġġetti u l-ismijiet tal-apparati jiżvelaw dettalji operattivi, u r-rapport għandu jibqa’ ma’ dawk li jeħtiġuh. Iċ-ċavetti privati jibqgħu barra mill-inventarju kollu kemm hu, għax l-inventarju jeħtieġ metadejta, mhux kredenzjali.
Min joħroġ u n-numru tas-serje huma l-unika ċavetta stabbli
Is-suġġetti jiġu riċiklati u l-ismijiet tal-fajls jerġgħu jintużaw, għalhekk isem li s-sena li għaddiet kien jidentifika apparat wieħed jista’ issa jidentifika ieħor. L-ebda wieħed mhu ċavetta, u rapport mibni fuq wieħed minnhom fl-aħħar se jgħaqqad żewġ identitajiet f’linja waħda.
Il-par ta’ min joħroġ u n-numru tas-serje jidentifika ċertifikat b’mod uniku, u ż-żewġ oqsma ġejjin miċ-ċertifikat innifsu. Irreġistrahom mas-suġġett, id-dati tal-validità, is-sors li minnu ġiet il-kopja, u l-persuna jew l-apparat responsabbli. Żid l-istat tar-revoka u tal-iskjerament bħala oqsma separati bil-ħinijiet tal-osservazzjoni tagħhom, għax ċertifikat fi ħdan it-tieqa tal-validità tiegħu mhuwiex awtorizzat awtomatikament. Dawn iż-żewġ fatti jgħixu f’sistemi differenti, u l-għaqda tagħhom taħbi l-każ fejn identità ġiet irtirata waqt li l-fajl tagħha għadu jidher aġġornat.
Aqra ċertifikat wieħed kull darba
Karattru jolly li jinfirex mad-direttorju mhuwiex interfaċċa tal-lott, u jaħbi liema fajl ipproduċa liema output. Aqra l-metadejta għal kull ċertifikat, u aqra n-naħa tar-revoka mill-artefatt tiegħu stess. Ir-referenza ta’ OpenSSL x509 telenka l-oqsma li jipprintjaw dawk l-għażliet.
openssl x509 -in <cert>.pem -noout -issuer -serial -subject -dates -fingerprint -sha256
openssl crl -in <issuer>.crl -noout -text | head -n 40Għal PKI Easy-RSA ġestita, staqsi l-bażi tad-dejta tal-ħruġ permezz tal-fluss tax-xogħol li tgħinu l-għodda minflok ma tassumi tqassim tad-direttorji, u żomm l-oriġinali biss-qari waqt li l-inventarju qed jinġabar. Il-format tar-reġistru huwa regulari biżżejjed biex tgħodd l-entrati validi u telenka dawk irtirati mingħajr ma tiftaħ il-bażi bl-idejn.
grep -c '^V' pki/index.txt
grep '^R' pki/index.txt | cut -f4,5Inventarju li jiflaħ għall-ħruġ li jmiss
Ħruġ ta’ darba ta’ folder isir skadut fil-mument li jinħareġ iċ-ċertifikat li jmiss, għalhekk ibni r-rapport mill-fluss tax-xogħol tal-ħruġ u ħallih jaġġorna bħala parti mill-operazzjoni normali. Dan jagħmel ir-rapport riproducibbli wkoll, li jgħodd meta żewġ persuni ma jaqblux dwar x’inħareġ.
Uża r-riżultat għal deċiżjonijiet ta’ tiġdid u rtirar u mhux bħala eżerċizzju tal-folja tal-kalkolu. It-tħassir ta’ kopja lokali ma jinvalidax il-kopji remoti li diġà jeżistu. Irtira l-identità permezz tal-fluss tax-xogħol tar-revoka u l-awtorizzazzjoni kkonfigurat, imbagħad irreġistra l-irtirar bid-data tiegħu. Identità li ntilfet mis-server iżda li min joħroġ għadu jafda fiha ma ġietx irtirata, u dik id-differenza tifred inventarju preċiż minn wieħed li sempliċement iċekken il-ħsejjes.