VPN-sertifikatinventar: kva CA-hovudboka kan prova
Ei mappe på tenaren, ei CA-hovudbok, ei attkallingsliste og ein sesjonstabell svarar på ulike spørsmål. Hald dei åtskilde når du inventerer VPN-identitetar.
Porten din godtek eit klient sertifikat han aldri har sett, fordi det han er konfigurert med er ein klarert utferdar, og sertifikatet kjem inn under handtrykket. Slik skal protokollen verke, og det er også grunnen til at ei mappeliste på tenaren er eit dårleg inventar. Utferdaren veit kva han laga, tenaren veit kva som kopla til, og attkallingsstatusen veit kva som vart trekt tilbake. Eit inventar som blandar desse tre registera, hevdar til slutt noko ingen av dei sa.
Porten stolar på ein utferdar, ikkje på ei filliste
Validering samanliknar eit framlagt sertifikat med eit tiltru-anker, slik at ein identitet som same utferdar laga i går koplar til utan å nokon gong ha eksistert på disken til tenaren. Ingenting må kopierast for at det skal skje, og ingen må godkjenne det manuelt. Registera til tenaren sjølv skildrar derfor kom, ikkje populasjonen av identitetar som kunne kome.
Det omvende gapet er like ubehageleg. Ei mappe kan halde utgåtte sertifikat, attkalla og identitetar utferda for einingar som aldri vart sette i drift. Å telje filer svarar på kor mange filer som finst, som er eit spørsmål ingen stilte. Byrja i staden med registera som ber meining.
Fire spørsmål, fire ulike register
Kvar registertype svarar godt på eitt spørsmål og dårleg på dei andre, og derfor ser ein rapport som slår dei saman fullstendig ut medan han er feil på ein bestemt måte. Tabellen nedanfor sorterer dei etter spørsmålet dei avgjer, ikkje etter systemet som produserer dei.
| Question you are answering | Where the answer lives | How quickly it changes | What it will never show |
|---|---|---|---|
| Was this identity ever created? | The issuer's issuance database | Only when something is issued | Whether the device still exists |
| Is a copy sitting on this host? | The paths you actually inspected | Whenever anyone copies files | Certificates that were never copied here |
| Has the issuer withdrawn it? | Published revocation state | When the issuer next publishes | Withdrawals that are not published yet |
| Is it connected right now? | The live session table | Continuously | Anything about past or future sessions |
Eit arkiv med offentlege sertifikat er ikkje ein hemmelegheit, sidan det ikkje inneheld private nøklar, men det er heller ikkje delbart. Subjekt og einingnamn avdekkjer operasjonelle detaljar, og rapporten bør bli hos publikumet som treng han. Private nøklar held seg heilt utanfor inventaret, fordi inventaret treng metadata, ikkje legitimasjon.
Utferdar pluss serienummer er den einaste stabile nøkkelen
Subjekt vert resirkulerte og filnamn vert brukte på nytt, så eit namn som i fjor identifiserte éi eining kan no identifisere ei anna. Ingen av dei er ein nøkkel, og ein rapport bygd på ein av dei vil til slutt slå saman to identitetar på éi line.
Paret utferdar og serienummer identifiserer eit sertifikat eintydig, og begge felta kjem frå sertifikatet sjølv. Registrer dei saman med subjektet, gyldigheitsdatoane, kjelda kopien kom frå, og den ansvarlege personen eller eininga. Legg til attkallings- og utrullingsstatus som eigne felt med sine eigne observasjonstider, fordi eit sertifikat innanfor gyldigheitsvindauget ikkje er automatisk autorisert. Desse to fakta lever i ulike system, og å slå dei saman skjuler tilfellet der ein identitet vart trekt tilbake medan fila framleis ser oppdatert ut.
Les eitt sertifikat om gongen
Eit jokerteikn som utvidar seg over ei mappe er ikkje eit batchgrensesnitt, og det skjuler kva fil som gav kva utdata. Les metadata per sertifikat, og les attkallingssida frå sin eigen artefakt. OpenSSL x509-referansen viser felta desse vala skriv ut.
openssl x509 -in <cert>.pem -noout -issuer -serial -subject -dates -fingerprint -sha256
openssl crl -in <issuer>.crl -noout -text | head -n 40For ein administrert Easy-RSA PKI, spør utferdsdatabasen gjennom arbeidsflyten verktøyet støttar i staden for å gå ut frå eit mappeoppsett, og hald originala skriveverna medan inventaret vert sett saman. Hovudbokformatet er regelmessig nok til å telje gyldige oppføringar og liste dei attkalla utan å opne databasen manuelt.
grep -c '^V' pki/index.txt
grep '^R' pki/index.txt | cut -f4,5Eit inventar som overlever neste utferd
Eit eingongsuttrekk av ei mappe vert utdatert i det augeblikket neste sertifikat vert utferda, så bygg rapporten frå utferdsarbeidsflyten og lat han oppdatere seg som ein del av normal drift. Det gjer også rapporten reproduserbar, noko som tel når to personar er usamde om kva som vart utferda.
Bruk resultatet til avgjerder om fornying og avvikling i staden for som ei reknearkøving. Sletting av ein lokal kopi gjer ikkje dei eksterne kopiane som alt finst ugyldige. Trekk identiteten tilbake gjennom den konfigurerte attkallings- og autorisasjonsarbeidsflyten, og registrer deretter attkallinga med datoen. Ein identitet som er forsvunnen frå tenaren men som utferdaren framleis stolar på er ikkje avvikla, og den skilnaden skil eit nøyaktig inventar frå eit som berre beroligar.