Mista klientsertifikatet? Tilbakekall etter serienummer, ikkje namn

Klientsertifikatfila di er borte, og refleksen er å tilbakekalle namnet og gje ut eit nytt. Den refleksen lèt det opphavlege sertifikatet vere gyldig, fordi tilbakekalling verkar på eit serienummer og ikkje på ei etikett. CA-en har nesten heilt sikkert framleis ei kopi av det han gav ut, og å finne den kopien er heile oppgåva.

Å miste ei fil er ikkje å miste posten til CA-en

Ein Easy-RSA-PKI held på dei offentlege sertifikata han har gjeve ut, og nyare versjonar arkiverer òg kopiar etter serie i certs_by_serial-mappa til PKI-en. Den private nøkkelen trengst ikkje for å tilbakekalle noko. Det avgjerande er det nøyaktige sertifikatet CA-en signerte, og det har CA-en allereie.

Arbeid på ein tryggingskopi av rett PKI, saman med administratoren som eig det. Tilbakekalling er ei reviderbar handling, ikkje ein reparasjon av ein produksjonsdatabase ved midnatt.

Ein kopi av det innebygde offentlege sertifikatet til klienten fungerer òg, dersom utrullinga har halde på ein.

Les utgjevaren og serienummeret først

Undersøk den gjenoppretta PEM-fila og skriv ned utgjevaren, serienummeret, subjektet og gyldigheitsperioden. Serienummeret er unikt innanfor området til éin utgjevar, ikkje på tvers av alle CA-ar i miljøet ditt, så utgjevaren er ein del av identiteten. Viss fleire sertifikat deler eit subjekt, er det nettopp serienummera som skil dei.

Samanlikn verdiane med postane til CA-en og med eininga eller personen du meiner har sertifikatet.

Eit vanleg namn kan brukast på nytt, og det blir vanlegvis gjort. Ikkje avgjer kva sertifikat som skal trekkjast tilbake før serienummera er skrivne ned.

Kvifor tilbakekalling av det nye sertifikatet ikkje gjer noko

Å gje ut ein erstattar med same vanlege namn lagar eit andre sertifikat med eit anna serienummer. Tilbakekalling av erstattaren trekkjer det nye tilbake og lèt det opphavlege vere gyldig til det går ut. Frå synsstaden til CA-en er dette to uavhengige objekt, og ein CRL listar serienummer og ikkje namn. CA-indeksen held éi rad per utgiven sertifikat nettopp av den grunnen.

Den same forvirringa skapar den motsette feilen: å sletta fila til klienten og anta at CA-en gløymde henne. Sletting på klienten er ikkje ei tilbakekallingshending, og sertifikatet held fram med å verke for alle som har ein kopi.

Båe feila kjem av å handsame namnet som identiteten.

Tilbakekall sertifikatet som serienummeret namngjev

Identifiser objektet før du rører CA-en: openssl x509 -in recovered-client.pem -noout -issuer -serial -subject -dates skriv ut dei fire verdiane i éin køyring, og serienummeret er det du matchar mot arkivet til CA-en. Easy-RSA oppbevarer arkivet under pki/certs_by_serial, med éi fil per serienummer. Tilbakekallingskommandoen tek eit vanleg namn og ikkje eit serienummer, så kopier den arkiverte fila til pki/issued/<common-name>.crt og la namnet peike på objektet du identifiserte. Køyr easyrsa revoke <common-name> frå PKI-mappa, og kontroller deretter at den tilsvarande rada i index.txt er endra til R. Serienummeret er måten du vel objektet på, ikkje eit argument kommandoen godtek.

openssl x509 -in recovered-client.pem -noout -issuer -serial -subject -dates
cp pki/certs_by_serial/A1B2C3D4.pem pki/issued/client-01.crt
./easyrsa revoke client-01
grep -n client-01 pki/index.txt
./easyrsa gen-crl

Viss index.txt ikkje viser R, stopp og les feilen før du genererer ein CRL, fordi ein CRL bygd frå ein post som framleis er gyldig ikkje trekkjer noko tilbake. Først etter at rada er endra, køyrer du easyrsa gen-crl og går vidare til distribusjon av fila.

Publiser CRL-en der han faktisk blir handheva

Generer ein ny CRL via den støtta arbeidsflyten til PKI-en, og publiser han deretter til kvar verifier som handhevar tilbakekallingane til denne utgjevaren.

Ei oppdatert fil som ligg på CA-en endrar ingenting, fordi VPN avsluttar avgjerda hos sin eigen verifier. Kontroller utgjevaren til CRL-en, gyldigheitsperioden og dei tilbakekalla serienummera, og stadfest at tenesta lastar fila på nytt i staden for å cache den førre. Eige og sti tel like mykje som innhald: ein CRL som daemonen ikkje kan lese, er ikkje til å skilje frå ingen CRL. Alternativet crl-verify i OpenVPN namngjev fila daemonen les, så kontroller den stien og eigarskapen til fila i serverkonfigurasjonen.

Verifiser med eit ekte tilkoplingsforsøk, ikkje med tidsstempelet til fila.

Vit når ein CRL er feil verktøy

Viss den private nøkkelen til utgjevaren ikkje lenger er betrodd, kan tilbakekalling av kjende serienummer ikkje hindre ein uautorisert innehavar i å signere nye sertifikat. Det er ein overgang i tillit til utgjevaren, altså ein ny CA og ein distribusjonsplan, ikkje nok ein post i CRL-en. At ein tidlegare administrator har hatt tilgang er ikkje i seg sjølv prov på at nøkkelen er misbrukt, så skaff fakta før du byggjer opp tillita på nytt.

Manuell redigering av utgivingsdatabasen for å snu ein statusbokstav er ikkje ein erstatning for ei signert tilbakekalling, og han lèt CRL-en vere uoverensstemmande med postane.

Hald serienummeret, CRL-en og distribusjonstrinnet i eitt notat, og neste revisjon blir ein leseøving. Easy-RSA-prosjektet dokumenterer dei støtta kommandoane for versjonen du har installert, og det er det einaste grensesnittet som er verdt å følgje.