د خصوصي CA بیک اپ: کوډ شوی آرشیف یا HSM کیلي بیک اپ
کوډ شوی آرشیف یا HSM-پوښل شوې کیلي: هر د VPN CA بیک اپ ماډل څنګه بیرته راګرځول کیږي، څه باید ولري، او کومه ناکامي تاسو واقعیا تحمل کولی شئ.
هغه پوښتنه چې د دې ډېره برخه پرېکوي دا نه ده چې تاسو آرشیف څنګه کوډ کوئ۔ بلکه دا ده چې آیا ستاسو د CA خصوصي کیلي کولای شي خپل کانټینر پرېږدي۔ که کیلي یوه فایل وي، تاسو کولای شئ ټول CA ډایرکټري په یوه کوډ شوي بلاب کې کاپي کړئ او په دقیقو کې پای ته ورسئ۔ که هغه په HSM یا په ټوکن کې ژوند کوي چې کیلي نه-ایستل کیدونکې په نښه کوي، هغه کاپي نشته، او ستاسو پلان د عرضه کوونکي د پوښلو او بیا راګرځولو د بهیر په اړه پلان کیږي۔ دواړه ماډلونه کار کوي، په بېلو لارو ناکام کیږي، او هغه ناکامي چې تاسو یې تحمل کولای شئ د ډیزاین وړ ده۔
چېرې چې دوه بیک اپ ماډلونه جلا کیږي
ماډل A د ډایرکټري کاپي ده۔ د OpenSSL سټایل CA یوه کاري ډایرکټري ده، یو واحد سند نه: ca.key یا cakey.pem، ca.crt، د صادرولو ډیټابیس، serial او crlnumber شمېرونکي، او openssl.cnf۔ هغه ډایرکټري په یوه سمیټریک سایفر مهر کړئ، پایله دویمې وسیلې ته یوسئ، او بیا راګرځول معنا یې خلاصول، تاییدول، لاسلیک کول دي۔ هر هغه څه چې صادرونکي ته اړین دي یو ځای سفر کوي، په شمول د اونیو د لغوه کولو تاریخ چې هیڅوک نه یادېږي چې لیکلی یې وي۔
ماډل B د کیلي ساتنه ده۔ کیلي د PKCS#11 ماډیول دننه جوړیږي او نه-ایستل کیدونکې په نښه کیږي؛ ماډیول کولای شي هغه د بیک اپ لپاره پوښ کړي، مګر هیڅ بهیر هیڅکله خام بایټونه نه لولي۔ بیا ستاسو بیک اپ دوه شیان دي چې باید په سم ترتیب بیا راوګرځول شي: یو پوښل شوی کیلي بلاب چې یوازې هغه ماډیول کورنۍ یې خلاصولی شي، او د ډیټابیس، ترتیباتو او سندونو یوه ساده کاپي۔
| Attribute | Encrypted archive | HSM key backup |
|---|---|---|
| What you store | one encrypted file | wrapped blob plus CA records |
| Who can restore it | anyone holding the passphrase | holder of the module and the blob, often vendor support |
| If a copy leaks | attacker with the passphrase becomes the CA | blob is inert without the matching module |
| What usually breaks it | forgotten passphrase, one damaged copy | replacement module rejects the blob, contract gap |
پرتلنه هیڅکله د دې په اړه نه ده چې کوم ماډل په خلاص ډول پیاوړی دی۔ دا د دې په اړه ده چې ستاسو ټیم د شپې 2 بجې هغو خلکو سره چې واقعیا ویښ دي کوم یو بیا راوګرځولای شي۔ هغه آرشیف چې هیڅوک یې نه شي ډیکوډ کولای او هغه HSM بلاب چې هیڅوک نه دی ازمویلی دواړه یو شان بېګټې دي۔ توپیر دا دی چې د آرشیف ناکامي په پاسورډ مدیر کې ښکاري، او د HSM ناکامي په ملاتړ تړون کې پټیږي۔
هر CA بیک اپ باید څه ولري
دواړه ماډلونه ورته ریکارډ سیټ ته اړتیا لري۔ په OpenSSL CA کې هغه فایلونه index.txt دي، د هر صادر شوي سند لپاره یوه کرښه چې حالت، پای، serial او موضوع پوښي، بیا index.txt.attr، serial چې راتلونکی صادریدونکی serial ساتي، crlnumber چې راتلونکی CRL نمبر ساتي، او openssl.cnf چې dir، policy او default_days لري چې ستاسو CA واقعیا ورسره کار کوي۔ د openssl-ca لارښود تشریح کوي چې هر شمېرونکی څه کنټرولوي۔ easy-rsa هماغه ډاټا د pki/ لاندې ساتي، او vars فایل د سند ساحې ټاکي۔
کیلي او سند هغه برخې دي چې بیا نه شئ جوړولای۔ ډیټابیس هغه برخه ده چې له یادې بیا نه شئ رغولای۔ index.txt پرېښودل لا هم تاسو ته اجازه درکوي نوي سندونه لاسلیک کړئ، او همدا اصلي تله ده: لومړی ځل چې کلینټ پوښتنه کوي چې سند لغوه شوی و که نه، پوهیږئ چې نسته۔ د CA د ګوتې نښه له بیک اپ بهر ولیکئ، تر څو بیا راګرځول ستاسو د باور وړ ارزښت سره پرتله شي، نه له هغه فایل سره چې همدا اوس مو بیا راګرځولی دی۔
openssl x509 -in ca.crt -noout -fingerprint -sha256
tar czf ca-state.tar.gz ca.crt ca.key index.txt* serial* crlnumber* openssl.cnf
openssl enc -aes-256-cbc -pbkdf2 -iter 200000 -salt -in ca-state.tar.gz -out ca-state.tar.gz.enc
openssl ca -config openssl.cnf -gencrl -out crl.pemد بیا راګرځولو هغه ازموینې چې صادرونکی څانګې نه کوي
یو شان موضوع او یو شان کیلي لرونکې دوه ژوندې CA اصلي ته باور لرونکي هر کلینټ ته یو شان ښکاري۔ یو شان نمبر مګر بېل منځپانګه لرونکي دوه CRL هغه لار ده چې کلینټ ستاسو لغوه کړی سند په چوپتیا مني۔ بیا راګرځول په هغه هوسټ کې چل کړئ چې ستاسو کلینټانو ته پکې لار نسته، یا په یو ځل کاریدونکې VM کې، او هغه CRL چې ازموینه جوړوي هیڅکله مه خپروئ۔
هغه ازموینه چې یوازې ثابتوي آرشیف خلاصیږي، د صادرولو په اړه هیڅ نه ثابتوي۔ هغه ترتیب چې اهمیت لري: د بیا راګرځول شوي ca.crt ګوتې نښه له خپل ثبت شوي ارزښت سره پرتله کړئ، تایید کړئ چې serial ستاسو د وروستي صادر شوي سند د اشارې سره سمون لري، د یو ځل کاریدونکي CN لپاره یو سند صادر کړئ او وګورئ index.txt یوه کرښه ګټي، بیا هغه سند لغوه کړئ او CRL بیا جوړ کړئ۔
openssl verify -CAfile ca.crt -CRLfile crl.pem -crl_check client.crt
openssl crl -in crl.pem -noout -lastupdate -nextupdateله HSM سره هماغه ازموینه د ماډیول له لارې تیږي۔ بلاب په بدیل وسیله کې خلاص کړئ، تایید کړئ چې ماډیول څرګند کړی CA سند ستاسو ثبت شوې ګوتې نښې سره سمون لري، او بیا یوازې پرېږدئ چې لاسلیک کړي۔ که ماډیول خپل شیانبار ولري، پوښ باید کیلي شي او د هغې لیبل پوښي، ځکه چې کیلي د بل لیبل لاندې بیا راګرځول هغه ترتیبات ماتوي چې هغې ته اشاره کوي۔
د ناکامۍ هغه ډولونه چې انتخاب ټاکي
پنځه ناکامۍ د ډېرو ریښتینو زیانونو تشریح کوي۔ هیر شوی آرشیف پاسفریز پرته له راز یوه خپلواکې کاپي آرشیف خښتې ته اړوي۔ یو ډیسک کې یوه کاپي له هغه ډیسک سره مري، او چکسم هیڅکله نه وایي چې ډیکریپشن لا کار کوي که نه۔ د بیک اپ نیټې وروسته لغوه شوي سندونه له بیا راګرځولو وروسته بیا معتبر ښکاري، نو ستاسو د بیک اپ وقفه هم ستاسو د لغوه کولو ړوند نقطه ده۔ زوړ serial شمېرونکی بیا راګرځول serial نمبرونه بیا کاروي او serial-بنسټیز کاشونه او CRL پلټنې ګډوډوي۔ بدیل HSM چې پوښل شوی بلاب ردوي، هارډویر بدلون په بشپړ بیا صادرولو بدلوي۔
ماډل A لومړنیو څلورو ته بد مګر ښکاره توګه مخ ته ځي۔ ماډل B هغو ته ښه مخ ته ځي تر هغو چې ماډیول یا د عرضه کوونکي بهیر ناکام شي۔ که ستاسو کیلي صادریدونکې وي او ټیم کوچنی وي، کوډ شوی آرشیف صادقانه انتخاب دی، چې دوه وسیلې او یوه لیکلې پاسفریز بهیر یې ملاتړ کوي۔ که کیلي نه-ایستل کیدونکې وي، تاسو هیڅ انتخاب نلرئ، او کار د هغې ورځې دمخه د عرضه کوونکي د بیا راګرځولو لار ثابتولو ته ځي چې تاسو ته یې اړتیا وي۔
د ماډل ټاکل او مهالوېش
درې شرطونه پریکړه حل کوي۔ آیا کیلي پرته له عرضه کوونکي بهیر صادریږي؟ آیا بیا راګرځول باید په هغه هارډویر کې وي چې تاسو لا نه لرئ؟ تر څو وخته صادرول ودروی شي کله چې له ملاتړ سره جنجال کوئ؟ هغو درېیو ته ځواب ورکړئ او ماډل ټاکل کیږي؛ له هغې وروسته هر څه مهالوېش دی۔
له هر لاسلیک مراسم وروسته او له هر ترتیباتو بدلون دمخه بیک اپ واخلئ، ځکه ترتیبات د حالت برخه ده۔ دوه کاپي په بېلو ځایونو کې په بېلو وسیلو کې وساتئ، یوه آفلاین، او د ډیکریپشن راز له کاپیو څخه په بېل باور ډومین کې وساتئ۔ د وروستي بریالي بیا راګرځولو نیټه په بیک اپ ریکارډ ولیکئ۔ هغه بیک اپ چې هیڅکله نه دی بیا راګرځول شوی فرضیه ده، کنټرول نه۔
له ټکټ بندولو دمخه دا پنځه ټکي تایید کړئ:
- د ca.crt ګوتې نښه له بیک اپ بهر یو ځای ثبت شوې ده۔
- index.txt، serial، crlnumber او openssl.cnf ټول د آرشیف یا بلاب سیټ دننه دي۔
- د پاسفریز یا پوښل شوې کیلي ساتنه مستنده ده او د آرشیف مالک پرته بل چا ته ده۔
- بیا راګرځول په جلا هوسټ کې د یو صادرولو او یو لغوه کولو سره ازمویل شوی دی۔
- د لغوه کولو هغه تشه چې ستاسو د بیک اپ وقفه یې اشاره کوي په لیکلي ډول منل شوې یا لنډه شوې ده۔