සේවාදායක සහතිකය නැති වුණාද? නමින් නොව අනුක්‍රමික අංකයෙන් අවලංගු කරන්න

ඔබේ සේවාදායකයාගේ සහතික ගොනුව නැති වී ඇත, සහ ක්ෂණික ප්‍රතිචාරය නම අවලංගු කර අලුත් එකක් නිකුත් කිරීමයි. එම ප්‍රතිචාරය මුල් සහතිකය වලංගුව තබයි, මන්ද අවලංගු කිරීම ලේබලයක් මත නොව අනුක්‍රමික අංකයක් මත ක්‍රියා කරයි. CA තමා නිකුත් කළ දෙයේ පිටපතක් සෑම විටම පාහේ තබා ගනී, සහ එම පිටපත සොයා ගැනීම මුළු කාර්යයයි.

ගොනුවක් නැති වීම CA හි වාර්තාව නැති වීම නොවේ

Easy-RSA PKI තමා නිකුත් කළ පොදු සහතික තබා ගනී, සහ වර්තමාන නිකුතු PKI හි certs_by_serial බහාලුමේ අනුක්‍රමය අනුව පිටපත් ද ලේඛනගත කරයි. කිසිවක් අවලංගු කිරීමට පෞද්ගලික යතුරක් අවශ්‍ය නොවේ. වැදගත් වන්නේ CA අත්සන් කළ නිශ්චිත සහතිකයයි, එය CA සතුව දැනටමත් ඇත.

නිවැරදි PKI හි උපස්ථ පිටපතක, එය හිමි පරිපාලක සමඟ වැඩ කරන්න. අවලංගු කිරීම විගණනය කළ හැකි මෙහෙයුමක් මිස මධ්‍යම රාත්‍රියේ නිෂ්පාදන දත්ත සමුදායක කරන අලුත්වැඩියාවක් නොවේ.

සේවාදායකයාගේ අභ්‍යන්තර පොදු සහතිකයේ පිටපතක් ද සුදුසුය, යෙදවීම එකක් තබා ඇත්නම්.

මුලින්ම නිකුත් කරන්නා සහ අනුක්‍රමය කියවන්න

ප්‍රතිසාධනය කළ PEM පරීක්ෂා කර නිකුත් කරන්නා, අනුක්‍රමික අංකය, විෂය සහ වලංගු කාලය සටහන් කරන්න. අනුක්‍රමික අංකය එක් නිකුත් කරන්නෙකුගේ පරාසය තුළ අනන්‍ය වේ, ඔබේ පරිසරයේ සියලු CA අතර නොවේ, එබැවින් නිකුත් කරන්නා අනන්‍යතාවයේ කොටසකි. සහතික කිහිපයක් එකම විෂය බෙදා ගන්නේ නම්, ඒවා වෙන් කරන්නේ එම අනුක්‍රමික අංකයන්ය.

අගයන් CA හි වාර්තා සමඟ සහ සහතිකය ඇතැයි ඔබ විශ්වාස කරන උපාංගය හෝ පුද්ගලයා සමඟ ගැලපෙන්න.

පොදු නාමයක් නැවත භාවිත කළ හැක, සහ සාමාන්‍යයෙන් එසේ කෙරේ. අනුක්‍රමික අංක ලියන තෙක් කුමන සහතික ඉවත් කළ යුතුද යන්න තීරණය නොකරන්න.

නව සහතිකය අවලංගු කිරීමෙන් කිසිවක් නොවන්නේ ඇයි

එම පොදු නාමයෙන් ප්‍රතිස්ථාපනයක් නිකුත් කිරීම වෙනස් අනුක්‍රමයක් සහිත දෙවන සහතිකයක් සාදයි. ප්‍රතිස්ථාපනය අවලංගු කිරීම නව එක ඉවත් කර මුල් එක කල් ඉකුත් වන තෙක් වලංගුව තබයි. CA හි දෘෂ්ටිකෝණයෙන් මේවා ස්වාධීන වස්තු දෙකකි, සහ CRL නාම නොව අනුක්‍රමික අංක ලැයිස්තුගත කරයි. CA දර්ශකය එක් එක් නිකුත් කළ සහතිකය සඳහා එක් පේළියක් තබා ගන්නේ ඒ නිසාමය.

එම ව්‍යාකූලතාවයම ප්‍රතිවිරුද්ධ වැරැද්ද සාදයි: සේවාදායකයාගේ ගොනුව මකා දමා CA එය අමතක කළ යැයි උපකල්පනය කිරීම. සේවාදායකයා තුළ මැකීම අවලංගු කිරීමේ සිදුවීමක් නොවේ, සහ පිටපතක් ඇති ඕනෑම කෙනෙකුට සහතිකය දිගටම ක්‍රියා කරයි.

වැරැද්දුම් දෙකම පැමිණෙන්නේ නාමය අනන්‍යතාවය ලෙස සැලකීමෙනි.

අනුක්‍රමය නම් කරන සහතිකය අවලංගු කරන්න

CA ස්පර්ශ කිරීමට පෙර වස්තුව හඳුනා ගන්න: openssl x509 -in recovered-client.pem -noout -issuer -serial -subject -dates අගයන් හතරම එක් ගමනකින් මුද්‍රණය කරයි, සහ CA ලේඛනාගාරය සමඟ ඔබ ගැලපෙන්නේ අනුක්‍රමයයි. Easy-RSA එම ලේඛනාගාරය pki/certs_by_serial යටතේ තබා ගනී, එක් එක් අනුක්‍රමයේ නමින් එක් ගොනුවක්. අවලංගු කිරීමේ විධානය අනුක්‍රමය නොව පොදු නාමයක් ගනී, එබැවින් ලේඛනගත ගොනුව pki/issued/<common-name>.crt වෙත පිටපත් කර ඔබ හඳුනාගත් වස්තුවට නාමය යොමු කරන්න. PKI බහාලුමෙන් easyrsa revoke <common-name> ධාවනය කරන්න, පසුව index.txt හි අදාළ පේළිය R බවට වෙනස් වී ඇත්දැයි පරීක්ෂා කරන්න. අනුක්‍රමය වස්තුව තෝරන ක්‍රමයයි, විධානය පිළිගන්නා තර්කය නොවේ.

openssl x509 -in recovered-client.pem -noout -issuer -serial -subject -dates
cp pki/certs_by_serial/A1B2C3D4.pem pki/issued/client-01.crt
./easyrsa revoke client-01
grep -n client-01 pki/index.txt
./easyrsa gen-crl

index.txt R නොපෙන්වයි නම්, නවතා CRL එකක් උත්පාදනය කිරීමට පෙර දෝෂය කියවන්න, මන්ද තවමත් වලංගු වාර්තාවකින් ගොඩනගන ලද CRL එකක් කිසිවක් ඉවත් නොකරයි. පේළිය වෙනස් වූ පසුව පමණක් ඔබ easyrsa gen-crl ධාවනය කර ගොනුව බෙදාහැරීමට යන්නේ.

CRL ඇත්තටම බලාත්මක වන තැන ප්‍රකාශයට පත් කරන්න

PKI හි ආධාරක කාර්ය ප්‍රවාහය හරහා නව CRL එකක් උත්පාදනය කර, පසුව මෙම නිකුත් කරන්නාගේ අවලංගු කිරීම් බලාත්මක කරන සෑම සත්‍යාපකයකටම එය ප්‍රකාශයට පත් කරන්න.

CA මත ඇති යාවත්කාලීන ගොනුවක් කිසිවක් වෙනස් නොකරයි, මන්ද VPN තීරණය තමන්ගේම සත්‍යාපකයේ අවසන් කරයි. CRL හි නිකුත් කරන්නා, වලංගු කාලය සහ අවලංගු කළ අනුක්‍රමික අංක පරීක්ෂා කර, සේවාව ගොනුව නැවත පූරණය කරන බවත් පෙර එක හැඹිලි නොකරන බවත් තහවුරු කරන්න. හිමිකම සහ මාර්ගය අන්තර්ගතය තරම්ම වැදගත්: ඩීමන් කියවිය නොහැකි CRL එකක් කිසිදු CRL එකක් නොමැති වීමට සමානය. OpenVPN හි crl-verify විකල්පය ඩීමන් කියවන ගොනුව නම් කරයි, එබැවින් සේවාදායක වින්‍යාසයේ එම මාර්ගය සහ ගොනුවේ හිමිකම පරීක්ෂා කරන්න.

ගොනුවේ කාල මුද්‍රාවෙන් නොව සැබෑ සම්බන්ධතා උත්සාහයකින් සත්‍යාපනය කරන්න.

CRL වැරදි මෙවලමක් වන්නේ කවදාදැයි දැනගන්න

නිකුත් කරන්නාගේ පෞද්ගලික යතුර තවදුරටත් විශ්වාස නොකරන්නේ නම්, දන්නා අනුක්‍රමික අංක ඉවත් කිරීමෙන් අනවසර හිමිකරුවෙකුට නව සහතික අත්සන් කිරීම වළක්වාලිය නොහැක. එය නිකුත් කරන්නාගේ විශ්වාසයේ සංක්‍රාන්තියකි, එනම් නව CA එකක් සහ බෙදාහැරීමේ සැලැස්මක්, CRL හි තවත් සටහනක් නොවේ. හිටපු පරිපාලකයෙකුට ප්‍රවේශය තිබීම යතුර දුර්විපාකයට පත් කළ බවට ස්වයංසිද්ධ සාක්ෂියක් නොවේ, එබැවින් විශ්වාසය නැවත ගොඩනැගීමට පෙර කරුණු ලබා ගන්න.

තත්ත්ව අකුරක් හරවා ගැනීමට නිකුතු දත්ත සමුදාය අතින් සංස්කරණය කිරීම අත්සන් කළ අවලංගු කිරීමකට ආදේශකයක් නොවන අතර එය CRL වාර්තා සමඟ නොගැලපෙන ලෙස තබයි.

අනුක්‍රමය, CRL සහ බෙදාහැරීමේ පියවර එක් සටහනක තබන්න, ඊළඟ විගණනය කියවීමේ අභ්‍යාසයක් බවට පත් වේ. Easy-RSA ව්‍යාපෘතිය ඔබ ස්ථාපනය කළ නිකුතුව සඳහා ආධාරක විධාන ලේඛනගත කරයි, සහ එය අනුගමනය කිරීම වටිනා එකම අතුරුමුහුණතයි.