ਕਲਾਇੰਟ ਸਰਟੀਫਿਕੇਟ ਗੁੰਮ ਹੋ ਗਿਆ? ਨਾਮ ਨਾਲ ਨਹੀਂ, ਸੀਰੀਅਲ ਨਾਲ ਰੱਦ ਕਰੋ

ਤੁਹਾਡੇ ਕਲਾਇੰਟ ਦੀ ਸਰਟੀਫਿਕੇਟ ਫਾਈਲ ਚਲੀ ਗਈ ਹੈ, ਅਤੇ ਤੁਰੰਤ ਪ੍ਰਤੀਕਿਰਿਆ ਨਾਮ ਰੱਦ ਕਰਕੇ ਨਵਾਂ ਜਾਰੀ ਕਰਨ ਦੀ ਹੁੰਦੀ ਹੈ। ਉਹ ਪ੍ਰਤੀਕਿਰਿਆ ਮੂਲ ਸਰਟੀਫਿਕੇਟ ਨੂੰ ਵੈਧ ਰਹਿਣ ਦਿੰਦੀ ਹੈ, ਕਿਉਂਕਿ ਰੱਦ ਕਰਨਾ ਲੇਬਲ 'ਤੇ ਨਹੀਂ, ਸੀਰੀਅਲ ਨੰਬਰ 'ਤੇ ਕੰਮ ਕਰਦਾ ਹੈ। CA ਲਗਭਗ ਯਕੀਨੀ ਤੌਰ 'ਤੇ ਆਪਣੇ ਜਾਰੀ ਕੀਤੇ ਦੀ ਕਾਪੀ ਰੱਖਦਾ ਹੈ, ਅਤੇ ਉਹ ਕਾਪੀ ਲੱਭਣਾ ਹੀ ਪੂਰਾ ਕੰਮ ਹੈ।

ਫਾਈਲ ਗੁਆਉਣਾ CA ਦਾ ਰਿਕਾਰਡ ਗੁਆਉਣਾ ਨਹੀਂ ਹੈ

Easy-RSA PKI ਆਪਣੇ ਜਾਰੀ ਕੀਤੇ ਜਨਤਕ ਸਰਟੀਫਿਕੇਟ ਰੱਖਦਾ ਹੈ, ਅਤੇ ਮੌਜੂਦਾ ਸੰਸਕਰਣ PKI ਦੀ certs_by_serial ਡਾਇਰੈਕਟਰੀ ਵਿੱਚ ਸੀਰੀਅਲ ਅਨੁਸਾਰ ਕਾਪੀਆਂ ਵੀ ਸੰਭਾਲਦੇ ਹਨ। ਕੁਝ ਵੀ ਰੱਦ ਕਰਨ ਲਈ ਨਿੱਜੀ ਕੁੰਜੀ ਦੀ ਲੋੜ ਨਹੀਂ। ਮਹੱਤਵਪੂਰਨ ਉਹ ਸਹੀ ਸਰਟੀਫਿਕੇਟ ਹੈ ਜਿਸ 'ਤੇ CA ਨੇ ਸਾਈਨ ਕੀਤਾ, ਅਤੇ ਉਹ CA ਕੋਲ ਪਹਿਲਾਂ ਹੀ ਹੈ।

ਸਹੀ PKI ਦੀ ਬੈਕਅਪ ਕਾਪੀ 'ਤੇ, ਉਸ ਦੇ ਮਾਲਕ ਐਡਮਿਨਿਸਟ੍ਰੇਟਰ ਨਾਲ ਕੰਮ ਕਰੋ। ਰੱਦ ਕਰਨਾ ਆਡਿਟ ਯੋਗ ਕਾਰਵਾਈ ਹੈ, ਅੱਧੀ ਰਾਤ ਨੂੰ ਉਤਪਾਦਨ ਡੇਟਾਬੇਸ 'ਤੇ ਕੀਤੀ ਮੁਰੰਮਤ ਨਹੀਂ।

ਕਲਾਇੰਟ ਦੇ ਇਨਲਾਈਨ ਜਨਤਕ ਸਰਟੀਫਿਕੇਟ ਦੀ ਕਾਪੀ ਵੀ ਕੰਮ ਕਰਦੀ ਹੈ, ਜੇ ਤੈਨਾਤੀ ਨੇ ਇੱਕ ਰੱਖੀ ਹੋਵੇ।

ਪਹਿਲਾਂ ਜਾਰੀਕਰਤਾ ਅਤੇ ਸੀਰੀਅਲ ਪੜ੍ਹੋ

ਮੁੜ ਪ੍ਰਾਪਤ PEM ਦੀ ਜਾਂਚ ਕਰੋ ਅਤੇ ਜਾਰੀਕਰਤਾ, ਸੀਰੀਅਲ ਨੰਬਰ, ਵਿਸ਼ਾ ਅਤੇ ਵੈਧਤਾ ਅਵਧੀ ਲਿਖੋ। ਸੀਰੀਅਲ ਨੰਬਰ ਇੱਕ ਜਾਰੀਕਰਤਾ ਦੇ ਦਾਇਰੇ ਵਿੱਚ ਵਿਲੱਖਣ ਹੈ, ਤੁਹਾਡੇ ਵਾਤਾਵਰਣ ਦੇ ਸਾਰੇ CA ਵਿੱਚ ਨਹੀਂ, ਇਸ ਲਈ ਜਾਰੀਕਰਤਾ ਪਛਾਣ ਦਾ ਹਿੱਸਾ ਹੈ। ਜੇ ਕਈ ਸਰਟੀਫਿਕੇਟ ਇੱਕੋ ਵਿਸ਼ਾ ਸਾਂਝਾ ਕਰਦੇ ਹਨ, ਤਾਂ ਉਹਨਾਂ ਨੂੰ ਉਹੀ ਸੀਰੀਅਲ ਵੱਖਰਾ ਕਰਦੇ ਹਨ।

ਮੁੱਲਾਂ ਨੂੰ CA ਦੇ ਰਿਕਾਰਡ ਅਤੇ ਉਸ ਡਿਵਾਈਸ ਜਾਂ ਵਿਅਕਤੀ ਨਾਲ ਮਿਲਾਓ ਜਿਸ ਕੋਲ ਸਰਟੀਫਿਕੇਟ ਹੋਣ ਦਾ ਤੁਹਾਨੂੰ ਯਕੀਨ ਹੈ।

ਆਮ ਨਾਮ ਮੁੜ ਵਰਤਿਆ ਜਾ ਸਕਦਾ ਹੈ, ਅਤੇ ਆਮ ਤੌਰ 'ਤੇ ਹੁੰਦਾ ਹੈ। ਸੀਰੀਅਲ ਲਿਖੇ ਜਾਣ ਤੋਂ ਪਹਿਲਾਂ ਇਹ ਤੈਅ ਨਾ ਕਰੋ ਕਿ ਕਿਹੜੇ ਸਰਟੀਫਿਕੇਟ ਵਾਪਸ ਲੈਣੇ ਹਨ।

ਨਵਾਂ ਸਰਟੀਫਿਕੇਟ ਰੱਦ ਕਰਨ ਨਾਲ ਕੁਝ ਕਿਉਂ ਨਹੀਂ ਹੁੰਦਾ

ਉਸੇ ਆਮ ਨਾਮ ਨਾਲ ਬਦਲ ਜਾਰੀ ਕਰਨ ਨਾਲ ਵੱਖਰੇ ਸੀਰੀਅਲ ਵਾਲਾ ਦੂਜਾ ਸਰਟੀਫਿਕੇਟ ਬਣਦਾ ਹੈ। ਬਦਲ ਰੱਦ ਕਰਨ ਨਾਲ ਨਵਾਂ ਵਾਪਸ ਲੈ ਲਿਆ ਜਾਂਦਾ ਹੈ ਅਤੇ ਮੂਲ ਆਪਣੀ ਸਮਾਪਤੀ ਤੱਕ ਵੈਧ ਰਹਿੰਦਾ ਹੈ। CA ਦੀ ਦ੍ਰਿਸ਼ਟੀ ਤੋਂ ਇਹ ਦੋ ਸੁਤੰਤਰ ਆਬਜੈਕਟ ਹਨ, ਅਤੇ CRL ਨਾਮ ਨਹੀਂ, ਸੀਰੀਅਲ ਸੂਚੀਬੱਧ ਕਰਦਾ ਹੈ। CA ਇੰਡੈਕਸ ਹਰ ਜਾਰੀ ਸਰਟੀਫਿਕੇਟ ਲਈ ਇੱਕ ਕਤਾਰ ਰੱਖਦਾ ਹੈ, ਉਹ ਵੀ ਇਸੇ ਕਾਰਨ।

ਇਹੀ ਉਲਝਣ ਉਲਟੀ ਗਲਤੀ ਪੈਦਾ ਕਰਦੀ ਹੈ: ਕਲਾਇੰਟ ਦੀ ਫਾਈਲ ਮਿਟਾਉਣਾ ਅਤੇ ਮੰਨ ਲੈਣਾ ਕਿ CA ਭੁੱਲ ਗਿਆ। ਕਲਾਇੰਟ 'ਤੇ ਮਿਟਾਉਣਾ ਰੱਦ ਦੀ ਘਟਨਾ ਨਹੀਂ ਹੈ, ਅਤੇ ਜਿਸ ਕੋਲ ਕਾਪੀ ਹੈ ਉਸ ਲਈ ਸਰਟੀਫਿਕੇਟ ਕੰਮ ਕਰਦਾ ਰਹਿੰਦਾ ਹੈ।

ਦੋਵੇਂ ਗਲਤੀਆਂ ਨਾਮ ਨੂੰ ਪਛਾਣ ਮੰਨਣ ਤੋਂ ਆਉਂਦੀਆਂ ਹਨ।

ਜਿਸ ਸਰਟੀਫਿਕੇਟ ਦਾ ਨਾਮ ਸੀਰੀਅਲ ਦੱਸਦਾ ਹੈ ਉਸ ਨੂੰ ਰੱਦ ਕਰੋ

CA ਨੂੰ ਛੂਹਣ ਤੋਂ ਪਹਿਲਾਂ ਆਬਜੈਕਟ ਦੀ ਪਛਾਣ ਕਰੋ: openssl x509 -in recovered-client.pem -noout -issuer -serial -subject -dates ਚਾਰੇ ਮੁੱਲ ਇੱਕੋ ਪਾਸ ਵਿੱਚ ਛਾਪਦਾ ਹੈ, ਅਤੇ CA ਆਰਕਾਈਵ ਨਾਲ ਤੁਸੀਂ ਜੋ ਮਿਲਾਉਂਦੇ ਹੋ ਉਹ ਸੀਰੀਅਲ ਹੈ। Easy-RSA ਉਹ ਆਰਕਾਈਵ pki/certs_by_serial ਅਧੀਨ ਰੱਖਦਾ ਹੈ, ਹਰ ਸੀਰੀਅਲ ਦੇ ਨਾਮ 'ਤੇ ਇੱਕ ਫਾਈਲ। ਰੱਦ ਕਰਨ ਦਾ ਹੁਕਮ ਸੀਰੀਅਲ ਨਹੀਂ, ਆਮ ਨਾਮ ਲੈਂਦਾ ਹੈ, ਇਸ ਲਈ ਸੰਗ੍ਰਹਿਤ ਫਾਈਲ pki/issued/<common-name>.crt 'ਤੇ ਕਾਪੀ ਕਰੋ ਅਤੇ ਨਾਮ ਨੂੰ ਤੁਹਾਡੇ ਵੱਲੋਂ ਪਛਾਣੇ ਆਬਜੈਕਟ ਵੱਲ ਸੰਕੇਤ ਕਰਨ ਦਿਓ। PKI ਡਾਇਰੈਕਟਰੀ ਤੋਂ easyrsa revoke <common-name> ਚਲਾਓ, ਫਿਰ ਜਾਂਚੋ ਕਿ index.txt ਵਿੱਚ ਸੰਬੰਧਿਤ ਕਤਾਰ R ਵਿੱਚ ਬਦਲ ਗਈ ਹੈ। ਸੀਰੀਅਲ ਆਬਜੈਕਟ ਚੁਣਨ ਦਾ ਤਰੀਕਾ ਹੈ, ਹੁਕਮ ਜੋ ਦਲੀਲ ਸਵੀਕਾਰ ਕਰਦਾ ਹੈ ਉਹ ਨਹੀਂ।

openssl x509 -in recovered-client.pem -noout -issuer -serial -subject -dates
cp pki/certs_by_serial/A1B2C3D4.pem pki/issued/client-01.crt
./easyrsa revoke client-01
grep -n client-01 pki/index.txt
./easyrsa gen-crl

ਜੇ index.txt R ਨਹੀਂ ਦਿਖਾਉਂਦਾ, ਤਾਂ ਰੁਕੋ ਅਤੇ CRL ਬਣਾਉਣ ਤੋਂ ਪਹਿਲਾਂ ਗਲਤੀ ਪੜ੍ਹੋ, ਕਿਉਂਕਿ ਅਜੇ ਵੀ ਵੈਧ ਰਿਕਾਰਡ ਤੋਂ ਬਣਿਆ CRL ਕੁਝ ਵੀ ਵਾਪਸ ਨਹੀਂ ਲੈਂਦਾ। ਕਤਾਰ ਬਦਲਣ ਤੋਂ ਬਾਅਦ ਹੀ ਤੁਸੀਂ easyrsa gen-crl ਚਲਾਉਂਦੇ ਹੋ ਅਤੇ ਫਾਈਲ ਵੰਡਣ ਵੱਲ ਵਧਦੇ ਹੋ।

CRL ਨੂੰ ਉੱਥੇ ਪ੍ਰਕਾਸ਼ਿਤ ਕਰੋ ਜਿੱਥੇ ਇਹ ਅਸਲ ਵਿੱਚ ਲਾਗੂ ਹੁੰਦਾ ਹੈ

PKI ਦੇ ਸਮਰਥਿਤ ਵਰਕਫਲੋ ਰਾਹੀਂ ਨਵਾਂ CRL ਬਣਾਓ, ਫਿਰ ਇਸ ਨੂੰ ਹਰ ਉਸ ਵੈਰੀਫਾਇਰ 'ਤੇ ਪ੍ਰਕਾਸ਼ਿਤ ਕਰੋ ਜੋ ਇਸ ਜਾਰੀਕਰਤਾ ਦੇ ਰੱਦ ਲਾਗੂ ਕਰਦਾ ਹੈ।

CA 'ਤੇ ਪਈ ਅੱਪਡੇਟ ਕੀਤੀ ਫਾਈਲ ਕੁਝ ਨਹੀਂ ਬਦਲਦੀ, ਕਿਉਂਕਿ VPN ਆਪਣੇ ਵੈਰੀਫਾਇਰ 'ਤੇ ਫੈਸਲਾ ਪੂਰਾ ਕਰਦਾ ਹੈ। CRL ਦਾ ਜਾਰੀਕਰਤਾ, ਵੈਧਤਾ ਅਵਧੀ ਅਤੇ ਰੱਦ ਕੀਤੇ ਸੀਰੀਅਲ ਜਾਂਚੋ, ਅਤੇ ਪੁਸ਼ਟੀ ਕਰੋ ਕਿ ਸੇਵਾ ਫਾਈਲ ਨੂੰ ਮੁੜ ਲੋਡ ਕਰਦੀ ਹੈ, ਪਿਛਲੀ ਨੂੰ ਕੈਸ਼ ਨਹੀਂ ਕਰਦੀ। ਮਾਲਕੀਅਤ ਅਤੇ ਪਾਥ ਸਮੱਗਰੀ ਜਿੰਨੇ ਹੀ ਮਹੱਤਵਪੂਰਨ ਹਨ: ਜਿਹੜਾ CRL ਡੀਮਨ ਪੜ੍ਹ ਨਹੀਂ ਸਕਦਾ ਉਹ ਕਿਸੇ CRL ਦੇ ਨਾ ਹੋਣ ਵਾਂਗ ਹੈ। OpenVPN ਦਾ crl-verify ਵਿਕਲਪ ਉਸ ਫਾਈਲ ਦਾ ਨਾਮ ਦਿੰਦਾ ਹੈ ਜੋ ਡੀਮਨ ਪੜ੍ਹਦਾ ਹੈ, ਇਸ ਲਈ ਸਰਵਰ ਕਨਫਿਗ ਵਿੱਚ ਉਹ ਪਾਥ ਅਤੇ ਫਾਈਲ ਦੀ ਮਾਲਕੀਅਤ ਜਾਂਚੋ।

ਫਾਈਲ ਦੇ ਟਾਈਮਸਟੈਂਪ ਨਾਲ ਨਹੀਂ, ਅਸਲ ਕਨੈਕਸ਼ਨ ਕੋਸ਼ਿਸ਼ ਨਾਲ ਪੁਸ਼ਟੀ ਕਰੋ।

ਜਾਣੋ ਕਿ CRL ਕਦੋਂ ਗਲਤ ਸਾਧਨ ਹੈ

ਜੇ ਜਾਰੀਕਰਤਾ ਦੀ ਨਿੱਜੀ ਕੁੰਜੀ 'ਤੇ ਹੁਣ ਭਰੋਸਾ ਨਹੀਂ ਹੈ, ਤਾਂ ਜਾਣੇ-ਪਛਾਣੇ ਸੀਰੀਅਲ ਵਾਪਸ ਲੈਣ ਨਾਲ ਕੋਈ ਅਣਅਧਿਕਾਰਤ ਧਾਰਕ ਨਵੇਂ ਸਰਟੀਫਿਕੇਟ 'ਤੇ ਸਾਈਨ ਕਰਨ ਤੋਂ ਨਹੀਂ ਰੁਕੇਗਾ। ਇਹ ਜਾਰੀਕਰਤਾ-ਭਰੋਸੇ ਦਾ ਸੰਕ੍ਰਮਣ ਹੈ, ਭਾਵ ਨਵਾਂ CA ਅਤੇ ਵੰਡ ਯੋਜਨਾ, CRL ਵਿੱਚ ਇੱਕ ਹੋਰ ਐਂਟਰੀ ਨਹੀਂ। ਸਾਬਕਾ ਐਡਮਿਨਿਸਟ੍ਰੇਟਰ ਦੀ ਪਹੁੰਚ ਹੋਣਾ ਆਪਣੇ ਆਪ ਵਿੱਚ ਕੁੰਜੀ ਦੇ ਦੁਰਉਪਯੋਗ ਦਾ ਸਬੂਤ ਨਹੀਂ ਹੈ, ਇਸ ਲਈ ਭਰੋਸਾ ਮੁੜ ਬਣਾਉਣ ਤੋਂ ਪਹਿਲਾਂ ਤੱਥ ਇਕੱਠੇ ਕਰੋ।

ਸਥਿਤੀ ਅੱਖਰ ਪਲਟਣ ਲਈ ਜਾਰੀਕਰਨ ਡੇਟਾਬੇਸ ਨੂੰ ਹੱਥ ਨਾਲ ਸੰਪਾਦਿਤ ਕਰਨਾ ਸਾਈਨ ਕੀਤੇ ਰੱਦ ਦਾ ਬਦਲ ਨਹੀਂ ਹੈ, ਅਤੇ ਇਹ CRL ਨੂੰ ਰਿਕਾਰਡ ਨਾਲ ਅਸੰਗਤ ਛੱਡ ਦਿੰਦਾ ਹੈ।

ਸੀਰੀਅਲ, CRL ਅਤੇ ਵੰਡ ਦਾ ਕਦਮ ਇੱਕ ਨੋਟ ਵਿੱਚ ਰੱਖੋ, ਅਗਲਾ ਆਡਿਟ ਪੜ੍ਹਨ ਦਾ ਅਭਿਆਸ ਬਣ ਜਾਵੇਗਾ। Easy-RSA ਪ੍ਰੋਜੈਕਟ ਤੁਹਾਡੇ ਵੱਲੋਂ ਸਥਾਪਿਤ ਸੰਸਕਰਣ ਲਈ ਸਮਰਥਿਤ ਹੁਕਮਾਂ ਦਾ ਦਸਤਾਵੇਜ਼ੀਕਰਣ ਕਰਦਾ ਹੈ, ਅਤੇ ਇਹੀ ਪਾਲਣਾ ਕਰਨ ਯੋਗ ਇੱਕੋ ਇੰਟਰਫੇਸ ਹੈ।