غلط VPN تصدیق پاڼه لغوه کړه؟ د بیا رغولو اختیارونه او محدودیتونه

یو چا د CA په کنسول کې تصدیق پاڼه لغوه کړه او اوس کاروونکی نشي نښلول کېدای. لومړنی غبرګون د لغوه کولو د بېرته اړولو لټون دی، او په ډېرو PKI-ونو کې داسې څه نشته: لغوه کول د یوې سیریل شمېرې په اړه اعلان شوې واقعیت دی، او ملاتړ شوې بېرته تګ لار نوې تصدیق پاڼه ده، نه نسکوره شوې ثبت. لاندې کتنې په ترتیب سره ترسره کړئ، ځکه چې کومه سمون تاسو ته اجازه لري د لامل کوډ او د دې پورې اړه لري چې ایا کیلي کله هم افشا شوې وه.

تصدیق پاڼه وپېژنئ، نه کس

عادي نومونه تکراریږي. هغه کاروونکی چې تېره ربع کې بیا ثبت شوی وي کېدای شي دوه تصدیق پاڼې ولري چې یو شان CN او بېلابېل سیریل شمېرې لري، او یوه لغوه کول بل فعال پاتې کوي. لومړی دقیق شی وټاکئ:

openssl x509 -in client.crt -noout -serial -issuer -subject -dates
openssl crl -in ca.crl -noout -text | head -40

سیریل شمېره، صادروونکی، د لغوه کولو نېټه او هغه لامل چې په CRL کې ثبت دی ولیکئ. بیا تایید کړئ کوم وسایل هغه سیریل شمېره وړاندې کوي، ځکه لغوه شوې تصدیق پاڼه کېدای شي لا هم په لپ ټاپ، تلیفون او اضافي روټر کې نصب وي، او هغه بدیل چې یوازې یوې ته رسېږي دویمه پېښه جوړوي.

یو چټک د چلند کتنه پرته له دې چې څه بدل کړي حالت تاییدوي:

openssl verify -crl_check -CAfile ca.crt -CRLfile ca.crl client.crt

که دا تصدیق پاڼه لغوه شوې راپور کړي، CRL او کلاینټ سره موافق دي؛ که پاک تایید شي، هغه کلاینټ چې تاسو یې لرئ لغوه شوی نه دی، او لټون دوام لري.

وګورئ چې CA دلیک یا تلپاتې لغوه کول کارولي

RFC 5280 certificateHold د لنډمهاله حالت او removeFromCRL د هغې د خوشې کولو سیګنال په توګه تعریفوي. هغه ژوند دوره ریښتینې ده، خو دا یو عمومي د بېرته اړولو تڼۍ نه ده. د لامل کوډ لوستل تاسو ته وایي چې ایا صادروونکي کله هم د خوشې کولو ملاتړ هوډ درلود.

تله دا ده چې فکر وکړو لنډمهاله هوډ لنډمهاله ثبت معنی لري. که د CA د ننوتلو کې keyCompromise یا cessationOfOperation وي، تصدیق پاڼه تلپاتې لغوه ده، پرته له دې چې د تڼۍ فشاروونکي کس هوډ څه و. په مقابل کې، هغه ننوتل چې certificateHold نښان شوي وي په هغه CA کې چې د دلیک خوشې کول نه پلي کوي، په عمل کې تلپاتې دي، ځکه هیڅ شی به هېڅکله خوشې کول خپاره نکړي.

د OpenSSL پر بنسټ CA-ونه دا محدودیت ښیي. ca command -crl_reason ارزښتونه مني، په شمول certificateHold او removeFromCRL، خو د ډیلټا CRL نه جوړوي — د OpenSSL CA اسناد د خپل CRL پایلې لپاره دا محدودیت یادوي. بشپړ CRL چې یوازې سیریل شمېره پرېږدي د "دا ننوتل خوشې شو" ویلو ډیلټا څخه بېل خپرونې ماډل دی، نو په OpenSSL بنسټ VPN CA کې removeFromCRL نښلول د معیارونو له مخې تعریف شوې خوشې کول نه تولیدوي.

که کیلي افشا شوې وي، هغه بدله کړئ

لغوه شوې تصدیق پاڼه دا اعلان ده چې پر دې کیلي نور باور نشي کېدای. که لغوه کول په اصل کې سم وو — لپ ټاپ ورک شو، کیلي شریک ډیسک ته کاپي شوه، شخصي کیلي په ټیکټ کې نښلول شوه — نو هماغه تصدیق پاڼه بیا رغول یو امنیتي پرېکړه چې سم کار کاوه نسکوره کوي.

د ثبت بهیر له لارې نوې کیلي جوړه صادره کړئ، نوې پروفایل ووېشئ، او زړه سیریل شمېره د هغې په ټول ژوند کې لغوه پرېږدئ. هر هغه څه تازه کړئ چې هویت د سیریل شمېرې یا د ګوتې نښې سره ټینګوي، په شمول د داخلېدو لیستونه، د وسایلو موجودي او هغه څارنه چې ځانګړې تصدیق پاڼه تمه لري.

د زړې بیا رغولو د اسانتیا استدلال ریښتینی دی، خو باید په ښکاره ځواب ووایاست، نه په غلې. "کاروونکي ته نن ورځ لاسرسی ته اړتیا ده" د صادرولو د چټکولو لامل دی، نه د هغې کیلي د لغوه کولو د بېرته اخیستلو لامل چې تاسو یې حساب نشئ کولی.

که دا اداري تېروتنه وه، په کنټرول کې بدله کړئ

کله چې لغوه کول یوازې غلط وو او کیلي هېڅکله افشا نه شوه، سمون لا هم کنټرول شوې بدلون دی نه سمون. د صادروونکي ملاتړ شوې بهیر وکاروئ، سیریل شمېره او د صادرولو تاریخچه بې زیانه وساتئ، او له دوو هڅوونکو لنډ لارو څخه ډډه وکړئ: په index.txt کې د حالت توري له R څخه بېرته V ته اړول، او د صادرولو کرښه ړنګول تر څو نوې تصدیق پاڼه سیریل شمېره بیا وکاروي.

د OpenSSL CA کې ډیټابیس د تب په واسطه جلا دی او غلط لوستل اسانه دي، چې لاسي سمون یې زړه راښکونکی کوي:

awk -F'\t' '$1=="R" {print $4, $3, $6}' index.txt

هغه ولولئ، مه یې لیکئ. د فایل سمون بل CRL پرته له کوم پلټنې نښې بدلوي، او هر دویم CA نمونه یا بیک اپ چې اصلي کرښه لا ساتي وروسته به ورسره مخالف وي.

د بدیل له صادرولو وروسته، نوې CRL د عادي میکانیزم له لارې خپره کړئ او کلاینټونو ته یې د اخیستلو اجازه ورکړئ. CRL لرې کول، د هغې عمر صفر ته لنډول یا په کلاینټ پروفایل کې د لغوه کولو کتنه غیر فعالول د CA د هر بل لغوه کولو په کمزوري کولو سره یو کاروونکی سم کوي.

نوی داخلیدل تایید کړئ او ریکارډ وساتئ

نوې نښلونې سره ازموینه وکړئ، نه له هغه ناستې سره چې لا دمخه خلاصه وه. ژوندی ټنل ممکن هغه د داخلیدو کتنې بیا ونه چلوي چې نوې لاس ورکول ترسره کوي، او د CRL کیشونه معنی لري چې کلاینټ تر تازه کېدو پورې نښلول دوام کولی شي. جلا شئ، بیا ونښلئ، او په سرور لاګ کې تایید کړئ چې کومه سیریل شمېره ومنل شوه.

څه پېښ شول هغه ولیکئ کله چې لا تازه دي: کومه سیریل شمېره لغوه شوه، چا، په کوم لامل، کوم بدیل صادر شو، او CRL کله بیا خپور شو. هماغه ریکارډ راتلونکی د لغوه کولو بیاکتنه ممکنه کوي، او دا هم شاهدي ده چې تېروتنه پټه نه بلکې سمبال شوه.

د راتلونکو لنډو ځنډونو لپاره، که ځای پر ځای کول یې لري د داخلیدو د تمې میکانیزم وکاروئ — په هویت طبقه کې غیر فعال حساب، لرې شوې ډلې غړیتوب، ساتل شوی کلاینټ پروفایل. دا لنډمهاله پالیسي پرېکړه له دې پوښتنې جلا ساتي چې ایا صادر شوې تصدیق پاڼه لا هم باوري ده، او لومړي ځل ورک شوی توپیر هماغه و.