गलत VPN प्रमाणपत्र रद्द गर्नुभयो? पुनःप्राप्ति विकल्प र सीमाहरू

कसैले CA कन्सोलमा प्रमाणपत्र रद्द गर्यो र अब प्रयोगकर्ता जडान गर्न सक्दैन। पहिलो प्रवृत्ति रद्दीकरण खोज्ने हो, र अधिकांश PKI मा त्यो हुँदैन: रद्दीकरण क्रमिक संख्याको बारेमा घोषित तथ्य हो, र समर्थित फर्कने बाटो नयाँ प्रमाणपत्र हो, उल्टो रेकर्ड होइन। तलका जाँचहरू क्रममा गर्नुहोस्, किनभने कुन मर्मत तपाईंलाई प्रयोग गर्न अनुमति छ कारण कोड र कुञ्जी कहिल्यै खुलासा भयो कि भएन भन्नेमा निर्भर गर्दछ।

प्रमाणपत्र पहिचान गर्नुहोस्, व्यक्ति होइन

सामान्य नामहरू दोहोरिन्छन्। गत त्रैमासिकमा पुनः दर्ता गरेको प्रयोगकर्तासँग एउटै CN र फरक क्रमिक संख्याहरू भएका दुई प्रमाणपत्र हुन सक्छन्, र एउटा रद्द गर्दा अर्को काम गरिरहन्छ। पहिले सटीक वस्तु निर्धारण गर्नुहोस्:

openssl x509 -in client.crt -noout -serial -issuer -subject -dates
openssl crl -in ca.crl -noout -text | head -40

क्रमिक संख्या, जारीकर्ता, रद्द गरिएको मिति र CRL मा अभिलेख गरिएको कारण लेख्नुहोस्। त्यसपछि ती क्रमिक संख्या कुन यन्त्रहरूले प्रस्तुत गर्छन् भनी पुष्टि गर्नुहोस्, किनभने रद्द गरिएको प्रमाणपत्र अझै ल्यापटप, फोन र अतिरिक्त राउटरमा स्थापित हुन सक्छ, र तीमध्ये एउटामा मात्र पुग्ने प्रतिस्थापनले दोस्रो घटना सिर्जना गर्छ।

छिटो व्यवहार जाँचले केही नबदली अवस्था पुष्टि गर्छ:

openssl verify -crl_check -CAfile ca.crt -CRLfile ca.crl client.crt

यदि यसले प्रमाणपत्रलाई रद्द भनी रिपोर्ट गर्छ भने, CRL र क्लाइन्ट सहमत छन्; यदि यो सफा प्रमाणित हुन्छ भने, तपाईंको हातमा भएको क्लाइन्ट रद्द गरिएको होइन, र खोजी जारी रहन्छ।

CA ले होल्ड वा स्थायी रद्दीकरण प्रयोग गर्यो कि जाँच्नुहोस्

RFC 5280 ले certificateHold लाई अस्थायी अवस्था र removeFromCRL लाई त्यसलाई मुक्त गर्ने सङ्केतका रूपमा परिभाषित गर्छ। त्यो जीवनचक्र वास्तविक छ, तर यो सामान्य अनडु बटन होइन। कारण कोड पढ्दा जारीकर्ताले कहिल्यै मुक्तिलाई समर्थन गर्ने इरादा राखेको थियो कि भन्ने थाहा हुन्छ।

जाल भनेको अस्थायी इरादाको अर्थ अस्थायी रेकर्ड हुन्छ भनी मान्नु हो। यदि CA प्रविष्टिमा keyCompromise वा cessationOfOperation छ भने, बटन थिच्ने व्यक्तिको इरादा जे भए पनि प्रमाणपत्र स्थायी रूपमा रद्द छ। यसको विपरीत, होल्ड-मुक्ति लागू नगर्ने CA मा certificateHold चिन्ह लगाइएको प्रविष्टि व्यवहारमा स्थायी हुन्छ, किनभने मुक्ति कहिल्यै प्रकाशित हुनेछैन।

OpenSSL-आधारित CA हरूले यो सीमा देखाउँछन्। ca आदेशले -crl_reason मानहरू स्वीकार गर्छ, जसमा certificateHold र removeFromCRL समावेश छन्, तर डेल्टा CRL उत्पन्न गर्दैन — OpenSSL CA कागजात ले आफ्नो CRL आउटपुटका लागि यो सीमा उल्लेख गर्छ। क्रमिक संख्या मात्र छोड्ने पूर्ण CRL "यो प्रविष्टि मुक्त गरियो" भन्ने डेल्टाभन्दा फरक प्रकाशन मोडेल हो, त्यसैले OpenSSL-आधारित VPN CA मा removeFromCRL टाँस्दा मानकद्वारा परिभाषित मुक्ति उत्पन्न हुँदैन।

यदि कुञ्जी खुलासा भएको हुन सक्छ भने, त्यसलाई बदल्नुहोस्

रद्द गरिएको प्रमाणपत्र यो कुञ्जीमा अब भरोसा गर्न नसकिने घोषणा हो। यदि रद्दीकरण सारतः सही थियो — ल्यापटप हरायो, कुञ्जी साझा डिस्कमा प्रतिलिपि भयो, निजी कुञ्जी टिकटमा टाँसियो — भने त्यही प्रमाणपत्र पुनःस्थापित गर्नु उद्देश्यअनुसार काम गरिरहेको सुरक्षा निर्णयलाई उल्टाउनु हो।

दर्ता प्रक्रियामार्फत नयाँ कुञ्जी जोडी जारी गर्नुहोस्, नयाँ प्रोफाइल वितरण गर्नुहोस्, र पुरानो क्रमिक संख्या त्यसको सम्पूर्ण जीवनकाल रद्द राख्नुहोस्। क्रमिक संख्या वा औंलाको छापद्वारा पहिचान पिन गर्ने सबै कुरा अद्यावधिक गर्नुहोस्, जसमा प्रवेश सूची, यन्त्र इन्भेन्टरी र विशिष्ट प्रमाणपत्र अपेक्षा गर्ने निगरानी समावेश छ।

पुरानो पुनःस्थापित गर्ने सुविधाको तर्क वास्तविक छ, तर यसको जवाफ स्पष्ट रूपमा दिनुपर्छ, चुपचाप होइन। "प्रयोगकर्तालाई आज पहुँच चाहिन्छ" भन्ने जारी गर्न छिटो बनाउने कारण हो, तपाईं हिसाब दिन नसक्ने कुञ्जीको रद्दीकरण फिर्ता लिने कारण होइन।

यदि यो प्रशासनिक गल्ती थियो भने, नियन्त्रणमा बदल्नुहोस्

जब रद्दीकरण केवल गलत थियो र कुञ्जी कहिल्यै खुलासा भएको थिएन, मर्मत अझै सम्पादन होइन, नियन्त्रित प्रतिस्थापन हो। जारीकर्ताको समर्थित प्रक्रिया प्रयोग गर्नुहोस्, क्रमिक संख्या र जारी इतिहास अक्षुण्ण राख्नुहोस्, र दुई लोभलाग्दा सर्टकटबाट बच्नुहोस्: index.txt मा स्थिति अक्षर R बाट फेरि V मा बदल्ने, र नयाँ प्रमाणपत्रले क्रमिक संख्या पुनः प्रयोग गर्न सकोस् भनेर जारी पङ्क्ति मेटाउने।

OpenSSL CA मा डाटाबेस ट्याब-विभाजित छ र गलत पढ्न सजिलो छ, जसले हातले सम्पादन आकर्षक बनाउँछ:

awk -F'\t' '$1=="R" {print $4, $3, $6}' index.txt

यसलाई पढ्नुहोस्, लेख्नुहोस् न। फाइल सम्पादन गर्दा कुनै अडिट ट्रेल बिना अर्को CRL परिवर्तन हुन्छ, र मूल पङ्क्ति अझै राख्ने कुनै पनि दोस्रो CA इन्स्टेन्स वा ब्याकअप पछि यससँग असहमत हुनेछ।

प्रतिस्थापन जारी गरेपछि, सामान्य संयन्त्रमार्फत नयाँ CRL प्रकाशित गर्नुहोस् र क्लाइन्टहरूलाई त्यो लिन दिनुहोस्। CRL हटाउनु, यसको आयु शून्य बनाउनु वा क्लाइन्ट प्रोफाइलमा रद्दीकरण जाँच अक्षम गर्नुले CA ले कहिल्यै प्रकाशित गरेको हरेक अन्य रद्दीकरणलाई कमजोर बनाएर एक प्रयोगकर्तालाई ठीक गर्छ।

नयाँ प्रवेश पुष्टि गर्नुहोस् र रेकर्ड राख्नुहोस्

नयाँ जडानसँग परीक्षण गर्नुहोस्, पहिले खोलिएको सत्रसँग होइन। जीवित सुरुङले नयाँ ह्यान्डशेकले गर्ने प्रवेश जाँचहरू पुनः नचलाउन सक्छ, र CRL क्यासका कारण क्लाइन्ट रिफ्रेस नभएसम्म जडान गरिरहन सक्छ। विच्छेद गर्नुहोस्, फेरि जडान गर्नुहोस्, र सर्भर लगमा कुन क्रमिक संख्या स्वीकार गरियो भनी पुष्टि गर्नुहोस्।

के भयो त्यो अझै ताजा छँदै अभिलेख गर्नुहोस्: कुन क्रमिक संख्या रद्द भयो, कसले, कुन कारणले, कुन प्रतिस्थापन जारी भयो, र CRL कहिले पुनः प्रकाशित भयो। त्यही रेकर्डले अर्को रद्दीकरण समीक्षा सम्भव बनाउँछ, र गल्ती लुकाइएको होइन, सम्हालिएको हो भन्ने प्रमाण पनि हो।

भविष्यमा छोटो स्थगनका लागि, परिनियोजनमा भएमा प्रवेश-विराम संयन्त्र प्रयोग गर्नुहोस् — पहिचान तहमा निष्क्रिय खाता, हटाइएको समूह सदस्यता, रोकिएको क्लाइन्ट प्रोफाइल। यसले अस्थायी नीति निर्णयलाई जारी गरिएको प्रमाणपत्र अझै भरपर्दो छ कि छैन भन्ने प्रश्नबाट अलग राख्छ, र पहिलो पटक गुमाइएको भिन्नता ठ्याक्कै यही थियो।