क्लाइन्ट प्रमाणपत्र हरायो? नामले होइन, सिरियलले रद्द गर्नुहोस्

तपाईंको क्लाइन्टको प्रमाणपत्र फाइल गएको छ, र तत्काल प्रतिक्रिया नाम रद्द गरेर नयाँ जारी गर्ने हुन्छ। त्यो प्रतिक्रियाले मूल प्रमाणपत्र वैध राख्छ, किनकि रद्द गर्ने काम लेबलमा होइन, सिरियल नम्बरमा आधारित हुन्छ। CA ले जारी गरेको कुराको प्रतिलिपि लगभग निश्चित रूपमा अझै राख्छ, र त्यो प्रतिलिपि खोज्नु नै सम्पूर्ण काम हो।

फाइल गुमाउनु CA को रेकर्ड गुमाउनु होइन

Easy-RSA PKI ले जारी गरेका सार्वजनिक प्रमाणपत्रहरू राख्छ, र हालका संस्करणहरूले PKI को certs_by_serial डाइरेक्टरीमा सिरियल अनुसार प्रतिलिपिहरू पनि सङ्ग्रह गर्छन्। केही रद्द गर्न निजी कुञ्जी आवश्यक पर्दैन। महत्त्वपूर्ण कुरा CA ले हस्ताक्षर गरेको ठ्याक्कै त्यो प्रमाणपत्र हो, जुन CA सँग पहिले नै छ।

सही PKI को ब्याकअप प्रतिलिपिमा, त्यसको मालिक प्रशासकसँगै काम गर्नुहोस्। रद्द गर्नु लेखापरीक्षणयोग्य कार्य हो, मध्यरातमा उत्पादन डेटाबेसमा गरिने मर्मत होइन।

क्लाइन्टको इनलाइन सार्वजनिक प्रमाणपत्रको प्रतिलिपि पनि काम लाग्छ, यदि परिनियोजनले एउटा राखेको छ भने।

पहिले जारीकर्ता र सिरियल पढ्नुहोस्

पुनःप्राप्त PEM जाँच्नुहोस् र जारीकर्ता, सिरियल नम्बर, विषय र वैधता अवधि लेख्नुहोस्। सिरियल नम्बर एउटा जारीकर्ताको दायराभित्र अद्वितीय हुन्छ, तपाईंको वातावरणका सबै CA मा होइन, त्यसैले जारीकर्ता पहिचानको भाग हो। यदि धेरै प्रमाणपत्रले एउटै विषय साझा गर्छन् भने, तिनलाई छुट्याउने ती सिरियल नै हुन्।

मानहरूलाई CA का रेकर्डसँग र प्रमाणपत्र छ भन्ने तपाईंलाई लाग्ने उपकरण वा व्यक्तिसँग मिलाउनुहोस्।

सामान्य नाम पुनः प्रयोग गर्न सकिन्छ, र सामान्यतया त्यसै गरिन्छ। सिरियल लेख्नु अघि कुन प्रमाणपत्र फिर्ता लिने भनेर निर्णय नगर्नुहोस्।

नयाँ प्रमाणपत्र रद्द गर्दा केही किन हुँदैन

एउटै सामान्य नाममा प्रतिस्थापन जारी गर्दा फरक सिरियलको दोस्रो प्रमाणपत्र बन्छ। प्रतिस्थापन रद्द गर्दा नयाँ फिर्ता हुन्छ र मूल यसको म्याद सकिनेसम्म वैध रहन्छ। CA को दृष्टिकोणबाट यी दुई स्वतन्त्र वस्तु हुन्, र CRL ले नाम होइन, सिरियल सूचीबद्ध गर्छ। CA इन्डेक्सले प्रत्येक जारी प्रमाणपत्रका लागि एउटा पङ्क्ति राख्छ, त्यो पनि यही कारणले।

उही भ्रमले उल्टो गल्ती निम्त्याउँछ: क्लाइन्टको फाइल मेटाएर CA ले बिर्स्यो भनी मान्नु। क्लाइन्टमा मेटाउनु रद्दको घटना होइन, र प्रतिलिपि भएको जो कोहीका लागि प्रमाणपत्र काम गरिरहन्छ।

दुवै गल्ती नामलाई पहिचान मान्नबाट आउँछन्।

सिरियलले नाम दिएको प्रमाणपत्र रद्द गर्नुहोस्

CA लाई छुनु अघि वस्तु पहिचान गर्नुहोस्: openssl x509 -in recovered-client.pem -noout -issuer -serial -subject -dates ले चारै मान एकै पासमा छाप्छ, र CA सङ्ग्रहसँग तपाईं मिलाउने कुरा सिरियल हो। Easy-RSA ले त्यो सङ्ग्रह pki/certs_by_serial अन्तर्गत राख्छ, प्रत्येक सिरियलको नाममा एउटा फाइल। रद्द गर्ने आदेशले सिरियल होइन, सामान्य नाम लिन्छ, त्यसैले सङ्ग्रहित फाइल pki/issued/<common-name>.crt मा प्रतिलिपि गर्नुहोस् र नामले तपाईंले पहिचान गरेको वस्तुलाई सङ्केत गरोस्। PKI डाइरेक्टरीबाट easyrsa revoke <common-name> चलाउनुहोस्, त्यसपछि index.txt मा सम्बन्धित पङ्क्ति R मा बदलिएको छ कि जाँच्नुहोस्। सिरियल वस्तु छान्ने तरिका हो, आदेशले स्वीकार गर्ने तर्क होइन।

openssl x509 -in recovered-client.pem -noout -issuer -serial -subject -dates
cp pki/certs_by_serial/A1B2C3D4.pem pki/issued/client-01.crt
./easyrsa revoke client-01
grep -n client-01 pki/index.txt
./easyrsa gen-crl

यदि index.txt ले R देखाउँदैन भने, रोक्नुहोस् र CRL बनाउनु अघि त्रुटि पढ्नुहोस्, किनकि अझै वैध रेकर्डबाट बनेको CRL ले केही फिर्ता लिँदैन। पङ्क्ति बदलिएपछि मात्र तपाईं easyrsa gen-crl चलाउनुहुन्छ र फाइल वितरणतर्फ जानुहुन्छ।

CRL जहाँ वास्तवमै लागू हुन्छ त्यहीँ प्रकाशित गर्नुहोस्

PKI को समर्थित कार्यप्रवाहमार्फत नयाँ CRL बनाउनुहोस्, त्यसपछि यो जारीकर्ताका रद्दहरू लागू गर्ने प्रत्येक प्रमाणकमा प्रकाशित गर्नुहोस्।

CA मा रहेको अद्यावधिक फाइलले केही बदल्दैन, किनकि VPN ले आफ्नै प्रमाणकमा निर्णय टुङ्ग्याउँछ। CRL को जारीकर्ता, वैधता अवधि र रद्द गरिएका सिरियल जाँच्नुहोस्, र सेवाले फाइल पुनः लोड गर्छ, अघिल्लो क्यास गर्दैन भनी पुष्टि गर्नुहोस्। स्वामित्व र पथ सामग्रीजत्तिकै महत्त्वपूर्ण छन्: डेमनले पढ्न नसक्ने CRL कुनै CRL नभएको जस्तै हो। OpenVPN को crl-verify विकल्पले डेमनले पढ्ने फाइलको नाम दिन्छ, त्यसैले सर्भर कन्फिगमा त्यो पथ र फाइलको स्वामित्व जाँच्नुहोस्।

फाइलको टाइमस्ट्याम्पले होइन, वास्तविक जडान प्रयासले प्रमाणित गर्नुहोस्।

CRL कहिले गलत साधन हो भनी जान्नुहोस्

यदि जारीकर्ताको निजी कुञ्जीमा अब विश्वास छैन भने, ज्ञात सिरियल फिर्ता लिएर पनि अनधिकृत धारकलाई नयाँ प्रमाणपत्रमा हस्ताक्षर गर्नबाट रोक्न सकिँदैन। यो जारीकर्ता-विश्वासको संक्रमण हो, अर्थात् नयाँ CA र वितरण योजना, CRL मा अर्को प्रविष्टि होइन। पूर्व प्रशासकसँग पहुँच थियो भन्ने मात्र कुञ्जीको दुरुपयोगको प्रमाण होइन, त्यसैले विश्वास पुनःनिर्माण गर्नु अघि तथ्यहरू खोज्नुहोस्।

स्थिति अक्षर उल्टाउन जारी डेटाबेस हातले सम्पादन गर्नु हस्ताक्षरित रद्दको विकल्प होइन, र यसले CRL लाई रेकर्डसँग असंगत राख्छ।

सिरियल, CRL र वितरणको चरण एउटै टिप्पणीमा राख्नुहोस्, अर्को लेखापरीक्षण पढाइ अभ्यास बन्नेछ। Easy-RSA परियोजना ले तपाईंले स्थापना गरेको संस्करणका लागि समर्थित आदेशहरूको दस्तावेजीकरण गर्छ, र यही पालना गर्न लायक एकमात्र इन्टरफेस हो।