Popis VPN certifikata: što CA registar može dokazati
Mapa na poslužitelju, CA registar, popis opoziva i tablica sesija odgovaraju na različita pitanja. Držite ih odvojeno kad popisujete VPN identitete.
Vaš pristupnik prihvaća klijentski certifikat koji nikada nije vidio, jer je ono čime je konfiguriran pouzdani izdavatelj, a certifikat dolazi tijekom rukovanja. Tako protokol i treba raditi, i upravo zato je ispis mape na poslužitelju loš popis. Izdavatelj zna što je stvorio, poslužitelj zna što se povezalo, a stanje opoziva zna što je povučeno. Popis koji spoji ta tri zapisa na kraju tvrdi nešto što nijedan od njih nije rekao.
Pristupnik vjeruje izdavatelju, a ne popisu datoteka
Validacija uspoređuje predstavljeni certifikat s pouzdanim sidrom, pa se identitet koji je isti izdavatelj stvorio jučer povezuje iako nikada nije postojao na disku poslužitelja. Ništa se ne mora kopirati da bi se to dogodilo i nitko to ne mora odobriti ručno. Poslužiteljevi vlastiti zapisi stoga opisuju dolaske, a ne populaciju identiteta koji bi mogli doći.
Obrnuta praznina jednako je neugodna. Mapa može sadržavati istekle certifikate, opozvane i identitete izdane za uređaje koji nikada nisu bili postavljeni. Brojanje datoteka odgovara koliko datoteka postoji, a to je pitanje koje nitko nije postavio. Pođite umjesto toga od zapisa koji nose značenje.
Četiri pitanja, četiri različita zapisa
Svaka vrsta zapisa dobro odgovara na jedno pitanje, a loše na ostala, zato izvješće koje ih spaja izgleda cjelovito dok je na poseban način pogrešno. Tablica u nastavku raspoređuje ih prema pitanju koje rješavaju, a ne prema sustavu koji ih proizvodi.
| Question you are answering | Where the answer lives | How quickly it changes | What it will never show |
|---|---|---|---|
| Was this identity ever created? | The issuer's issuance database | Only when something is issued | Whether the device still exists |
| Is a copy sitting on this host? | The paths you actually inspected | Whenever anyone copies files | Certificates that were never copied here |
| Has the issuer withdrawn it? | Published revocation state | When the issuer next publishes | Withdrawals that are not published yet |
| Is it connected right now? | The live session table | Continuously | Anything about past or future sessions |
Arhiva javnih certifikata nije tajna jer ne sadrži privatne ključeve, ali nije ni za dijeljenje. Subjekti i nazivi uređaja otkrivaju operativne pojedinosti i izvješće treba ostati kod publike kojoj je potrebno. Privatni ključevi ostaju potpuno izvan popisa jer popis treba metapodatke, a ne vjerodajnice.
Izdavatelj i serijski broj jedini su stabilan ključ
Subjekti se recikliraju, a nazivi datoteka ponovno upotrebljavaju, pa naziv koji je lani označavao jedan uređaj danas može označavati drugi. Ni jedno nije ključ, a izvješće izgrađeno na bilo kojemu na kraju će spojiti dva identiteta u jedan redak.
Par izdavatelj i serijski broj jedinstveno označava certifikat i oba polja dolaze iz samog certifikata. Zabilježite ih sa subjektom, datumima valjanosti, izvorom iz kojeg je kopija došla te odgovornom osobom ili uređajem. Dodajte stanje opoziva i postavljanja kao zasebna polja s vlastitim vremenima promatranja, jer certifikat unutar razdoblja valjanosti nije automatski ovlašten. Te dvije činjenice žive u različitim sustavima, a njihovo stapanje skriva slučaj u kojem je identitet povučen dok njegova datoteka još izgleda aktualno.
Čitajte jedan certifikat po jedan
Zamjenski znak koji se širi mapom nije serijsko sučelje i skriva koja je datoteka dala koji izlaz. Čitajte metapodatke po certifikatu, a stranu opoziva čitajte iz njezina vlastitog artefakta. OpenSSL x509 referenca navodi polja koja ispisuju te opcije.
openssl x509 -in <cert>.pem -noout -issuer -serial -subject -dates -fingerprint -sha256
openssl crl -in <issuer>.crl -noout -text | head -n 40Za upravljani Easy-RSA PKI, upitajte bazu izdavanja kroz tijek rada koji alat podržava umjesto da pretpostavljate raspored mape, i držite izvornike samo za čitanje dok se popis sastavlja. Format registra dovoljno je pravilan da se važeći unosi prebroje i povučeni popišu bez ručnog otvaranja baze.
grep -c '^V' pki/index.txt
grep '^R' pki/index.txt | cut -f4,5Popis koji preživi sljedeće izdavanje
Jednokratno izbacivanje mape zastarije u trenutku kad se izda sljedeći certifikat, zato izgradite izvješće iz tijeka izdavanja i pustite ga da se ažurira kao dio normalnog rada. To izvješće čini i ponovljivim, što je važno kad se dvije osobe ne slažu oko toga što je izdano.
Upotrijebite rezultat za odluke o obnovi i umirovljenju, a ne kao vježbu u proračunskoj tablici. Brisanje lokalne kopije ne poništava udaljene kopije koje već postoje. Povucite identitet kroz konfigurirani tijek opoziva i autorizacije, zatim zabilježite povlačenje s njegovim datumom. Identitet koji je nestao s poslužitelja ali ga izdavatelj još uvijek prihvaća nije umirovljen, i upravo ta razlika dijeli točan popis od onoga koji samo umiruje.