ਗਲਤ VPN ਸਰਟੀਫਿਕੇਟ ਰੱਦ ਕੀਤਾ? ਰਿਕਵਰੀ ਵਿਕਲਪ ਅਤੇ ਸੀਮਾਵਾਂ

ਕਿਸੇ ਨੇ CA ਕੰਸੋਲ ਵਿੱਚ ਸਰਟੀਫਿਕੇਟ ਰੱਦ ਕੀਤਾ ਅਤੇ ਹੁਣ ਉਪਭੋਗਤਾ ਕਨੈਕਟ ਨਹੀਂ ਕਰ ਸਕਦਾ। ਪਹਿਲੀ ਪ੍ਰਵਿਰਤੀ ਰੱਦ ਨੂੰ ਲੱਭਣ ਦੀ ਹੁੰਦੀ ਹੈ, ਅਤੇ ਬਹੁਤੀਆਂ PKI ਵਿੱਚ ਉਹ ਹੁੰਦੀ ਹੀ ਨਹੀਂ: ਰੱਦ ਕਰਨਾ ਕ੍ਰਮਿਕ ਨੰਬਰ ਬਾਰੇ ਘੋਸ਼ਿਤ ਤੱਥ ਹੈ, ਅਤੇ ਸਮਰਥਿਤ ਵਾਪਸੀ ਦਾ ਰਾਹ ਨਵਾਂ ਸਰਟੀਫਿਕੇਟ ਹੈ, ਉਲਟਾ ਰਿਕਾਰਡ ਨਹੀਂ। ਹੇਠਾਂ ਦਿੱਤੀਆਂ ਜਾਂਚਾਂ ਕ੍ਰਮ ਵਿੱਚ ਕਰੋ, ਕਿਉਂਕਿ ਕਿਹੜੀ ਮੁਰੰਮਤ ਤੁਹਾਨੂੰ ਵਰਤਣ ਦੀ ਇਜਾਜ਼ਤ ਹੈ ਇਹ ਕਾਰਨ ਕੋਡ ਅਤੇ ਕੁੰਜੀ ਕਦੇ ਜ਼ਾਹਰ ਹੋਈ ਸੀ ਜਾਂ ਨਹੀਂ ਇਸ 'ਤੇ ਨਿਰਭਰ ਕਰਦਾ ਹੈ।

ਸਰਟੀਫਿਕੇਟ ਪਛਾਣੋ, ਵਿਅਕਤੀ ਨਹੀਂ

ਆਮ ਨਾਮ ਦੁਹਰਾਏ ਜਾਂਦੇ ਹਨ। ਪਿਛਲੀ ਤਿਮਾਹੀ ਵਿੱਚ ਦੁਬਾਰਾ ਰਜਿਸਟਰ ਕੀਤੇ ਉਪਭੋਗਤਾ ਕੋਲ ਇੱਕੋ CN ਅਤੇ ਵੱਖਰੇ ਕ੍ਰਮਿਕ ਨੰਬਰਾਂ ਵਾਲੇ ਦੋ ਸਰਟੀਫਿਕੇਟ ਹੋ ਸਕਦੇ ਹਨ, ਅਤੇ ਇੱਕ ਰੱਦ ਕਰਨ ਨਾਲ ਦੂਜਾ ਕੰਮ ਕਰਦਾ ਰਹਿੰਦਾ ਹੈ। ਪਹਿਲਾਂ ਸਹੀ ਵਸਤੂ ਨਿਰਧਾਰਤ ਕਰੋ:

openssl x509 -in client.crt -noout -serial -issuer -subject -dates
openssl crl -in ca.crl -noout -text | head -40

ਕ੍ਰਮਿਕ ਨੰਬਰ, ਜਾਰੀਕਰਤਾ, ਰੱਦ ਕਰਨ ਦੀ ਮਿਤੀ ਅਤੇ CRL ਵਿੱਚ ਦਰਜ ਕਾਰਨ ਲਿਖੋ। ਫਿਰ ਪੁਸ਼ਟੀ ਕਰੋ ਕਿ ਕਿਹੜੇ ਯੰਤਰ ਉਹ ਕ੍ਰਮਿਕ ਨੰਬਰ ਪੇਸ਼ ਕਰਦੇ ਹਨ, ਕਿਉਂਕਿ ਰੱਦ ਕੀਤਾ ਸਰਟੀਫਿਕੇਟ ਅਜੇ ਵੀ ਲੈਪਟਾਪ, ਫੋਨ ਅਤੇ ਵਾਧੂ ਰਾਊਟਰ 'ਤੇ ਸਥਾਪਿਤ ਹੋ ਸਕਦਾ ਹੈ, ਅਤੇ ਸਿਰਫ਼ ਇੱਕ ਤੱਕ ਪਹੁੰਚਣ ਵਾਲੀ ਬਦਲੀ ਦੂਜੀ ਘਟਨਾ ਪੈਦਾ ਕਰਦੀ ਹੈ।

ਤੇਜ਼ ਵਿਵਹਾਰ ਜਾਂਚ ਕੁਝ ਵੀ ਬਦਲੇ ਬਿਨਾਂ ਸਥਿਤੀ ਦੀ ਪੁਸ਼ਟੀ ਕਰਦੀ ਹੈ:

openssl verify -crl_check -CAfile ca.crt -CRLfile ca.crl client.crt

ਜੇ ਇਹ ਸਰਟੀਫਿਕੇਟ ਨੂੰ ਰੱਦ ਵਜੋਂ ਦੱਸਦੀ ਹੈ, ਤਾਂ CRL ਅਤੇ ਕਲਾਇੰਟ ਸਹਿਮਤ ਹਨ; ਜੇ ਇਹ ਸਾਫ਼ ਪ੍ਰਮਾਣਿਤ ਹੁੰਦਾ ਹੈ, ਤਾਂ ਤੁਹਾਡੇ ਹੱਥ ਵਿੱਚਲਾ ਕਲਾਇੰਟ ਰੱਦ ਕੀਤਾ ਹੋਇਆ ਨਹੀਂ ਹੈ, ਅਤੇ ਖੋਜ ਜਾਰੀ ਰਹਿੰਦੀ ਹੈ।

ਜਾਂਚੋ ਕਿ CA ਨੇ ਹੋਲਡ ਜਾਂ ਸਥਾਈ ਰੱਦੀਕਰਨ ਵਰਤਿਆ

RFC 5280 certificateHold ਨੂੰ ਅਸਥਾਈ ਸਥਿਤੀ ਅਤੇ removeFromCRL ਨੂੰ ਇਸਨੂੰ ਮੁਕਤ ਕਰਨ ਵਾਲਾ ਸੰਕੇਤ ਪਰਿਭਾਸ਼ਿਤ ਕਰਦਾ ਹੈ। ਉਹ ਜੀਵਨ ਚੱਕਰ ਅਸਲੀ ਹੈ, ਪਰ ਇਹ ਆਮ ਅਨਡੂ ਬਟਨ ਨਹੀਂ ਹੈ। ਕਾਰਨ ਕੋਡ ਪੜ੍ਹਨ ਨਾਲ ਪਤਾ ਲੱਗਦਾ ਹੈ ਕਿ ਜਾਰੀਕਰਤਾ ਨੇ ਕਦੇ ਮੁਕਤੀ ਦਾ ਸਮਰਥਨ ਕਰਨ ਦਾ ਇਰਾਦਾ ਰੱਖਿਆ ਸੀ ਜਾਂ ਨਹੀਂ।

ਜਾਲ ਇਹ ਮੰਨਣਾ ਹੈ ਕਿ ਅਸਥਾਈ ਇਰਾਦੇ ਦਾ ਅਰਥ ਅਸਥਾਈ ਰਿਕਾਰਡ ਹੈ। ਜੇ CA ਐਂਟਰੀ ਵਿੱਚ keyCompromise ਜਾਂ cessationOfOperation ਹੈ, ਤਾਂ ਬਟਨ ਦਬਾਉਣ ਵਾਲੇ ਵਿਅਕਤੀ ਦਾ ਇਰਾਦਾ ਜੋ ਵੀ ਸੀ, ਸਰਟੀਫਿਕੇਟ ਸਥਾਈ ਤੌਰ 'ਤੇ ਰੱਦ ਹੈ। ਇਸਦੇ ਉਲਟ, ਜਿਸ CA ਵਿੱਚ ਹੋਲਡ-ਮੁਕਤੀ ਲਾਗੂ ਨਹੀਂ ਹੁੰਦੀ, ਉੱਥੇ certificateHold ਨਿਸ਼ਾਨਿਤ ਐਂਟਰੀ ਵਿਵਹਾਰ ਵਿੱਚ ਸਥਾਈ ਹੈ, ਕਿਉਂਕਿ ਮੁਕਤੀ ਕਦੇ ਪ੍ਰਕਾਸ਼ਿਤ ਨਹੀਂ ਹੋਵੇਗੀ।

OpenSSL-ਅਧਾਰਿਤ CA ਇਹ ਸੀਮਾ ਦਿਖਾਉਂਦੇ ਹਨ। ca ਕਮਾਂਡ -crl_reason ਮੁੱਲ ਸਵੀਕਾਰ ਕਰਦੀ ਹੈ, ਜਿਨ੍ਹਾਂ ਵਿੱਚ certificateHold ਅਤੇ removeFromCRL ਸ਼ਾਮਲ ਹਨ, ਪਰ ਡੈਲਟਾ CRL ਨਹੀਂ ਬਣਾਉਂਦੀ — OpenSSL CA ਦਸਤਾਵੇਜ਼ ਆਪਣੇ CRL ਆਉਟਪੁੱਟ ਲਈ ਇਹ ਸੀਮਾ ਦੱਸਦੇ ਹਨ। ਕ੍ਰਮਿਕ ਨੰਬਰ ਨੂੰ ਸਿਰਫ਼ ਛੱਡ ਦੇਣ ਵਾਲੀ ਪੂਰੀ CRL "ਇਹ ਐਂਟਰੀ ਮੁਕਤ ਕੀਤੀ ਗਈ" ਕਹਿਣ ਵਾਲੀ ਡੈਲਟਾ ਤੋਂ ਵੱਖਰਾ ਪ੍ਰਕਾਸ਼ਨ ਮਾਡਲ ਹੈ, ਇਸ ਲਈ OpenSSL-ਅਧਾਰਿਤ VPN CA ਵਿੱਚ removeFromCRL ਪੇਸਟ ਕਰਨ ਨਾਲ ਮਿਆਰਾਂ ਵੱਲੋਂ ਪਰਿਭਾਸ਼ਿਤ ਮੁਕਤੀ ਨਹੀਂ ਬਣਦੀ।

ਜੇ ਕੁੰਜੀ ਜ਼ਾਹਰ ਹੋਈ ਹੋ ਸਕਦੀ ਹੈ, ਤਾਂ ਇਸਨੂੰ ਬਦਲੋ

ਰੱਦ ਕੀਤਾ ਸਰਟੀਫਿਕੇਟ ਇਹ ਘੋਸ਼ਣਾ ਹੈ ਕਿ ਇਸ ਕੁੰਜੀ 'ਤੇ ਹੁਣ ਭਰੋਸਾ ਨਹੀਂ ਕੀਤਾ ਜਾ ਸਕਦਾ। ਜੇ ਰੱਦੀਕਰਨ ਅਸਲ ਵਿੱਚ ਸਹੀ ਸੀ — ਲੈਪਟਾਪ ਗੁੰਮ ਹੋਇਆ, ਕੁੰਜੀ ਸਾਂਝੀ ਡਿਸਕ 'ਤੇ ਕਾਪੀ ਹੋਈ, ਪ੍ਰਾਈਵੇਟ ਕੁੰਜੀ ਟਿਕਟ ਵਿੱਚ ਪੇਸਟ ਹੋਈ — ਤਾਂ ਉਹੀ ਸਰਟੀਫਿਕੇਟ ਬਹਾਲ ਕਰਨਾ ਇੱਕ ਸੁਰੱਖਿਆ ਫੈਸਲੇ ਨੂੰ ਉਲਟਾ ਦਿੰਦਾ ਹੈ ਜੋ ਇਰਾਦੇ ਅਨੁਸਾਰ ਕੰਮ ਕਰ ਰਿਹਾ ਸੀ।

ਰਜਿਸਟ੍ਰੇਸ਼ਨ ਪ੍ਰਕਿਰਿਆ ਰਾਹੀਂ ਨਵੀਂ ਕੁੰਜੀ ਜੋੜੀ ਜਾਰੀ ਕਰੋ, ਨਵੀਂ ਪ੍ਰੋਫਾਈਲ ਵੰਡੋ, ਅਤੇ ਪੁਰਾਣਾ ਕ੍ਰਮਿਕ ਨੰਬਰ ਇਸਦੀ ਪੂਰੀ ਉਮਰ ਰੱਦ ਰਹਿਣ ਦਿਓ। ਕ੍ਰਮਿਕ ਨੰਬਰ ਜਾਂ ਫਿੰਗਰਪ੍ਰਿੰਟ ਨਾਲ ਪਛਾਣ ਪਿੰਨ ਕਰਨ ਵਾਲੀ ਹਰ ਚੀਜ਼ ਨੂੰ ਅੱਪਡੇਟ ਕਰੋ, ਜਿਸ ਵਿੱਚ ਪ੍ਰਵੇਸ਼ ਸੂਚੀਆਂ, ਡਿਵਾਈਸ ਇਨਵੈਂਟਰੀਆਂ ਅਤੇ ਖਾਸ ਸਰਟੀਫਿਕੇਟ ਦੀ ਉਮੀਦ ਕਰਨ ਵਾਲੀ ਨਿਗਰਾਨੀ ਸ਼ਾਮਲ ਹੈ।

ਪੁਰਾਣੇ ਨੂੰ ਬਹਾਲ ਕਰਨ ਦਾ ਸੁਵਿਧਾ ਤਰਕ ਅਸਲੀ ਹੈ, ਪਰ ਇਸਦਾ ਜਵਾਬ ਸਪਸ਼ਟ ਤੌਰ 'ਤੇ ਦੇਣਾ ਚਾਹੀਦਾ ਹੈ, ਚੁੱਪਚਾਪ ਨਹੀਂ। "ਉਪਭੋਗਤਾ ਨੂੰ ਅੱਜ ਪਹੁੰਚ ਚਾਹੀਦੀ ਹੈ" ਜਾਰੀ ਕਰਨ ਨੂੰ ਤੇਜ਼ ਕਰਨ ਦਾ ਕਾਰਨ ਹੈ, ਤੁਹਾਡੇ ਵੱਲੋਂ ਹਿਸਾਬ ਨਾ ਦੇ ਸਕਣ ਵਾਲੀ ਕੁੰਜੀ ਦੀ ਰੱਦੀ ਵਾਪਸ ਲੈਣ ਦਾ ਕਾਰਨ ਨਹੀਂ।

ਜੇ ਇਹ ਪ੍ਰਸ਼ਾਸਕੀ ਗਲਤੀ ਸੀ, ਤਾਂ ਨਿਯੰਤਰਣ ਹੇਠ ਬਦਲੋ

ਜਦੋਂ ਰੱਦੀਕਰਨ ਬਸ ਗਲਤ ਸੀ ਅਤੇ ਕੁੰਜੀ ਕਦੇ ਜ਼ਾਹਰ ਨਹੀਂ ਹੋਈ ਸੀ, ਮੁਰੰਮਤ ਅਜੇ ਵੀ ਸੰਪਾਦਨ ਨਹੀਂ ਸਗੋਂ ਨਿਯੰਤਰਿਤ ਬਦਲੀ ਹੈ। ਜਾਰੀਕਰਤਾ ਦੀ ਸਮਰਥਿਤ ਪ੍ਰਕਿਰਿਆ ਵਰਤੋ, ਕ੍ਰਮਿਕ ਨੰਬਰ ਅਤੇ ਜਾਰੀ ਕਰਨ ਦਾ ਇਤਿਹਾਸ ਅਟੁੱਟ ਰੱਖੋ, ਅਤੇ ਦੋ ਲੁਭਾਉਣੇ ਸ਼ਾਰਟਕਟ ਟਾਲੋ: index.txt ਵਿੱਚ ਸਥਿਤੀ ਅੱਖਰ ਨੂੰ R ਤੋਂ ਵਾਪਸ V ਵਿੱਚ ਬਦਲਣਾ, ਅਤੇ ਜਾਰੀ ਕਰਨ ਦੀ ਕਤਾਰ ਮਿਟਾਉਣਾ ਤਾਂ ਜੋ ਨਵਾਂ ਸਰਟੀਫਿਕੇਟ ਕ੍ਰਮਿਕ ਨੰਬਰ ਮੁੜ ਵਰਤ ਸਕੇ।

OpenSSL CA ਵਿੱਚ ਡੇਟਾਬੇਸ ਟੈਬ-ਵੱਖਰਿਆ ਹੁੰਦਾ ਹੈ ਅਤੇ ਗਲਤ ਪੜ੍ਹਨਾ ਸੌਖਾ ਹੈ, ਜੋ ਹੱਥ ਨਾਲ ਸੰਪਾਦਨ ਨੂੰ ਆਕਰਸ਼ਕ ਬਣਾਉਂਦਾ ਹੈ:

awk -F'\t' '$1=="R" {print $4, $3, $6}' index.txt

ਇਸਨੂੰ ਪੜ੍ਹੋ, ਲਿਖੋ ਨਾ। ਫਾਈਲ ਸੰਪਾਦਿਤ ਕਰਨ ਨਾਲ ਬਿਨਾਂ ਕਿਸੇ ਆਡਿਟ ਟ੍ਰੇਲ ਦੇ ਅਗਲੀ CRL ਬਦਲ ਜਾਂਦੀ ਹੈ, ਅਤੇ ਮੂਲ ਕਤਾਰ ਰੱਖਣ ਵਾਲਾ ਕੋਈ ਵੀ ਦੂਜਾ CA ਇੰਸਟੈਂਸ ਜਾਂ ਬੈਕਅੱਪ ਬਾਅਦ ਵਿੱਚ ਇਸ ਨਾਲ ਅਸਹਿਮਤ ਹੋਵੇਗਾ।

ਬਦਲੀ ਜਾਰੀ ਕਰਨ ਤੋਂ ਬਾਅਦ, ਆਮ ਕਾਰਜਵਿਧੀ ਰਾਹੀਂ ਨਵੀਂ CRL ਪ੍ਰਕਾਸ਼ਿਤ ਕਰੋ ਅਤੇ ਕਲਾਇੰਟਾਂ ਨੂੰ ਇਹ ਲੈਣ ਦਿਓ। CRL ਹਟਾਉਣਾ, ਇਸਦੀ ਉਮਰ ਜ਼ੀਰੋ ਕਰਨਾ ਜਾਂ ਕਲਾਇੰਟ ਪ੍ਰੋਫਾਈਲ ਵਿੱਚ ਰੱਦ ਜਾਂਚ ਨੂੰ ਅਸਮਰੱਥ ਕਰਨਾ CA ਵੱਲੋਂ ਕਦੇ ਪ੍ਰਕਾਸ਼ਿਤ ਹਰ ਹੋਰ ਰੱਦੀ ਨੂੰ ਕਮਜ਼ੋਰ ਕਰਕੇ ਇੱਕ ਉਪਭੋਗਤਾ ਨੂੰ ਠੀਕ ਕਰਦਾ ਹੈ।

ਨਵੇਂ ਪ੍ਰਵੇਸ਼ ਦੀ ਪੁਸ਼ਟੀ ਕਰੋ ਅਤੇ ਰਿਕਾਰਡ ਰੱਖੋ

ਨਵੇਂ ਕਨੈਕਸ਼ਨ ਨਾਲ ਜਾਂਚ ਕਰੋ, ਪਹਿਲਾਂ ਖੁੱਲ੍ਹੇ ਸੈਸ਼ਨ ਨਾਲ ਨਹੀਂ। ਜੀਵਤ ਟਨਲ ਨਵੇਂ ਹੈਂਡਸ਼ੇਕ ਵੱਲੋਂ ਕੀਤੀਆਂ ਪ੍ਰਵੇਸ਼ ਜਾਂਚਾਂ ਦੁਬਾਰਾ ਨਹੀਂ ਚਲਾ ਸਕਦਾ, ਅਤੇ CRL ਕੈਸ਼ਾਂ ਦਾ ਮਤਲਬ ਹੈ ਕਿ ਕਲਾਇੰਟ ਤਾਜ਼ਾ ਹੋਣ ਤੱਕ ਕਨੈਕਟ ਕਰਦਾ ਰਹਿ ਸਕਦਾ ਹੈ। ਡਿਸਕਨੈਕਟ ਕਰੋ, ਦੁਬਾਰਾ ਕਨੈਕਟ ਕਰੋ, ਅਤੇ ਸਰਵਰ ਲੌਗ ਵਿੱਚ ਪੁਸ਼ਟੀ ਕਰੋ ਕਿ ਕਿਹੜਾ ਕ੍ਰਮਿਕ ਨੰਬਰ ਸਵੀਕਾਰ ਹੋਇਆ।

ਜੋ ਹੋਇਆ ਉਹ ਹਾਲੇ ਤਾਜ਼ਾ ਹੁੰਦਿਆਂ ਦਰਜ ਕਰੋ: ਕਿਹੜਾ ਕ੍ਰਮਿਕ ਨੰਬਰ ਰੱਦ ਹੋਇਆ, ਕਿਸ ਨੇ, ਕਿਹੜੇ ਕਾਰਨ ਨਾਲ, ਕਿਹੜੀ ਬਦਲੀ ਜਾਰੀ ਹੋਈ, ਅਤੇ CRL ਕਦੋਂ ਦੁਬਾਰਾ ਪ੍ਰਕਾਸ਼ਿਤ ਹੋਈ। ਉਹੀ ਰਿਕਾਰਡ ਅਗਲੀ ਰੱਦ ਸਮੀਖਿਆ ਨੂੰ ਸੰਭਵ ਬਣਾਉਂਦਾ ਹੈ, ਅਤੇ ਇਹ ਵੀ ਸਬੂਤ ਹੈ ਕਿ ਗਲਤੀ ਲੁਕਾਈ ਨਹੀਂ ਸਗੋਂ ਸੰਭਾਲੀ ਗਈ ਸੀ।

ਭਵਿੱਖ ਵਿੱਚ ਛੋਟੀਆਂ ਮੁਅੱਤਲੀਆਂ ਲਈ, ਤੈਨਾਤੀ ਵਿੱਚ ਹੋਵੇ ਤਾਂ ਪ੍ਰਵੇਸ਼-ਵਿਰਾਮ ਵਿਧੀ ਵਰਤੋ — ਪਛਾਣ ਪਰਤ 'ਤੇ ਨਿਸ਼ਕਿਰਿਆ ਖਾਤਾ, ਹਟਾਈ ਗਈ ਸਮੂਹ ਮੈਂਬਰਸ਼ਿਪ, ਰੋਕੀ ਗਈ ਕਲਾਇੰਟ ਪ੍ਰੋਫਾਈਲ। ਇਹ ਅਸਥਾਈ ਨੀਤੀ ਫੈਸਲੇ ਨੂੰ ਇਸ ਸਵਾਲ ਤੋਂ ਵੱਖ ਰੱਖਦਾ ਹੈ ਕਿ ਜਾਰੀ ਕੀਤਾ ਸਰਟੀਫਿਕੇਟ ਅਜੇ ਵੀ ਭਰੋਸੇਯੋਗ ਹੈ ਜਾਂ ਨਹੀਂ, ਅਤੇ ਪਹਿਲੀ ਵਾਰ ਗੁਆਇਆ ਫ਼ਰਕ ਬਿਲਕੁਲ ਇਹੀ ਸੀ।