OCSP සහ CRL: එක් එක් අවලංගු කිරීම් පරීක්‍ෂාව ඇත්තෙන්ම ක්‍රියා කරන ආකාරය

මෙම අවලංගු කිරීම් පරීක්‍ෂා දෙකෙන් එකක් එක් සහතිකයක් පිළිබඳ අත්සන් කළ පිළිතුරක් ලබා දෙන අතර, අනෙක සම්පූර්ණයෙන්ම බාගත කරන අත්සන් කළ ලැයිස්තුවක් ලබා දෙයි. දෙකම සත්‍යාපකයෙකුට ප්‍රමාණකරණය තවමත් විශ්වාසදායක දැයි කීමට අදහස් කර ඇති අතර, දෙකම එකිනෙකට කිසිසේත් සමාන නොවන ආකාරයෙන් අසාර්ථක වේ. පහත අනුපිළිවෙල ක්‍රියාකරුවෙකු නිෂ්පාදනයේදී ඇත්තෙන්ම මුහුණ දෙන දේ අනුගමනය කරයි, රැහැනේ ඇති බයිට්වලින් ආරම්භ වී සම්බන්ධතාවය ප්‍රතික්ෂේප කරන ද්වාරයකින් අවසන් වේ. පියවරක් මඟ හැරීම යනු ස්ථාපනයක් කඩදාසියේ පමණක් පවතින අවලංගු කිරීම් ප්‍රතිපත්තියක් සමඟ අවසන් වන ක්‍රමයයි.

පියවර 1: එක් එක් පරීක්‍ෂාව කුමක් ලබා දෙන අතර කොපමණ කාලයක් භාවිතයට ගත හැකි ද

CRL එක් අත්සන් කළ වස්තුවක් ලෙස ප්‍රකාශයට පත් වන අතර එය නිකුත් කරන්නා අවලංගු කළ සෑම සහතිකයක්ම ආවරණය කරයි, එබැවින් සත්‍යාපකයා එය එක් වරක් ලබාගෙන ලැයිස්තුවේ nextUpdate ඉකුත් වන තෙක් නැවත භාවිත කරයි. OCSP ප්‍රතිචාරය වඩා පටු ය: එය හරියටම එක් සහතිකයක් සඳහා පිළිතුරු දෙන අතර thisUpdate, producedAt සහ සාමාන්‍යයෙන් nextUpdate ද රැගෙන යයි. එම වෙනස අනෙක් සියල්ල මෙහෙයවයි. කැෂ් කළ CRL නිශ්ශබ්දව පැරණි වේ, මන්ද ගොනුව තවමත් විග්‍රහ වන අතර එහි අත්සන තවමත් සත්‍යාපනය වේ, නමුත් කල් ඉකුත් වූ OCSP ප්‍රතිචාරයක් එහි කාල මුද්‍රණ කියවන මොහොතේම පැහැදිලිවම වටිනාකමක් නැති ය.

එබැවින් කැෂ් කිරීම පළමුව තීරණය කළ යුතු දෙයයි: කුමන සංරචකය පිටපත රඳවා ගනී ද, එම පිටපත කුමන උපරිම සීමාවකට අවනත වේ ද. ද්වාරයක එම සීමාව nextUpdate අඩු ආරක්ෂක ආන්තිකයක් විය යුතු අතර, කිසි විටෙකත් HTTP කැෂ් ශීර්ෂකයක් අහම්බෙන් යෝජනා කරන දෙය නොවේ. openssl crl -in issuer.crl -noout -lastupdate -nextupdate දින දෙකම මුද්‍රණය කරයි, සහ nextUpdate දැනටමත් අතීතයේ ඇති ලැයිස්තුවක් පැරණි එකක් ලෙස පමණක් නොව අස්ථානගත වූ එකක් ලෙස සැලකිය යුතු ය.

පියවර 2: සහතිකය සේවාලාභියා යොමු කරන්නේ කොහේට ද

පත්‍ර සහතිකය සාමාන්‍යයෙන් ඉඟි දෙකක් රැගෙන යයි: CRL බෙදාහැරීම් ලක්ෂ්‍ය දිගුවක් සහ OCSP සඳහා අධිකාරී තොරතුරු ප්‍රවේශ ඇතුළත් කිරීමක්. openssl x509 -in client.pem -noout -ext crlDistributionPoints පළමුවැන්න මුද්‍රණය කරයි, දෙවැන්න openssl x509 -in client.pem -noout -text හි AIA කොටස යටතේ ඇත. ඕනෑම දිගුවක් දර්ශකයක් මිස බැඳීමක් නොවේ. කිසි විටෙකත් අවලංගු කිරීම් පරීක්‍ෂාව ක්‍රියාත්මක නොකරන සේවාලාභියෙකු වසරක් මිය ගිය ප්‍රතිචාරකයෙකු නම් කරන දිගු සහිත සහතිකයකට හොඳින් සම්බන්ධ වනු ඇත.

බෙදාහැරීම් ලක්ෂ්‍ය බොහෝ විට එක් ජාල කොටසක් තුළ පමණක් විසඳන අභ්‍යන්තර සත්කාරකයක් නම් කරයි, සමහර පැරණි සේවාලාභීන් ldap URL සම්පූර්ණයෙන්ම ප්‍රතික්ෂේප කරයි. ප්‍රවේශ හැකියාව ටනලය අවසන් කරන සත්කාරකයෙන් පරීක්‍ෂා කරන්න, ඔබේම ලැප්ටොප් පරිගණකයෙන් නොව, මන්ද එහි අසාර්ථකත්වය ඇත්තෙන්ම වැදගත් වන එකම දෘෂ්ටිකෝණය එය ය.

පියවර 3: බාධාවට පෙර fail-closed හෝ fail-open තෝරන්න

ළඟා විය නොහැකි ප්‍රතිචාරකයක් හෝ කල් ඉකුත් වූ ලැයිස්තුවක් තීරණයක් බල කරයි: සම්බන්ධතාවය ප්‍රතික්ෂේප කරන්න, නැතහොත් එය පිළිගෙන හිඩැස සටහන් කරන්න. OpenSSL හි verify උපවිධානය දැඩි තේරීම පැහැදිලි කරයි, මන්ද -crl_check එකතු කිරීමෙන් නොමැති CRL එකක් unable to get certificate CRL බවටත් අසාර්ථක සත්‍යාපනයක් බවටත් පත් වේ. බොහෝ තැන්පත්වල මෘදු අසාර්ථකත්වය කිසිසේත් ධ්වජයක් නොවේ, එය පරීක්‍ෂාවේ අභාවයයි, ඒ නිසාම එය අහම්බෙන් යැවේ.

සේවාලාභියෙකුට ඇත්තෙන්ම කුමන හැසිරීමක් ඇත්දැයි බැලීමට ප්‍රතිචාරකය ඉවත් කර නැවත සම්බන්ධ වන්න. ටනලය තවමත් ඉහළට එන්නේ නම්, මඟ හැරුණු පරීක්‍ෂාව සටහන් කළ ලොග් පේළිය සොයා, සිද්ධියක් අතරතුර කිසිවෙකු එම පේළිය කියවනු ඇත්දැයි අසන්න. එකම සැපයුම්කරු ප්‍රොටොකෝලය අනුව වෙනස් විය හැක: එකම යන්ත්‍රයේ IKEv2 සේවාලාභියෙකු සහ OpenVPN සේවාලාභියෙකු සම්බන්ධ නොවන වින්‍යාස සැකසුම් කියවති.

පියවර 4: රථවාහන පිළිගන්නා තැනම පරීක්‍ෂාව ක්‍රියාත්මක වන බව ඔප්පු කරන්න

සම්බන්ධතාවය අවසන් කරන හෝ අවසර දෙන ක්‍රියාවලිය සොයා, පසුව අවලංගු කිරීම් පරීක්‍ෂාව සක්‍රීය කරන වින්‍යාස පේළිය එයින් අසන්න. දාමය සත්‍යාපනය කරන නමුත් කිසි විටෙකත් අවලංගු කිරීම ගැන නොඅසන ද්වාරයක් ඔබේ ලේඛනවල ඇති ප්‍රතිපත්තියට වඩා වෙනස් ප්‍රතිපත්තියක් යොදයි, සහ සහතික දාමයක තිර රුවක් ඊට විරුද්ධව ඔප්පු නොකරයි. OpenVPN මෙම විකල්පය crl-verify ලෙස ලියයි; strongSwan CRL සහ OCSP සෙවීම් CA වින්‍යාසය යටතේ තබයි, එහිදී crl_uris හෝ ocsp_uris සකසනු ලැබේ. ඔබට ඉන් එකකටවත් යොමු කළ නොහැකි නම්, පරීක්‍ෂාව නොමැති යැයි උපකල්පනය කරන්න.

OCSP ප්‍රතිචාරයක් වලංගු වන්නේ නිකුත් කරන CA එය අත්සන් කළ විට, නැතහොත් එම CA විසින් පවරන ලද OCSPSigning දිගු කළ යතුරු භාවිතය ඇති ප්‍රතිචාරකයෙකු එය අත්සන් කළ විට පමණි, එබැවින් සම්බන්ධ නොවන සේවාවකින් ලැබෙන පිළිතුරක් කිසිවක් ඔප්පු නොකරයි. ඔබම ප්‍රතිචාරකය ක්‍රියාත්මක කරන්නේ නම්, එය දෘඩ යැපීමක් ලෙස අධීක්‍ෂණය කරන්න, මන්ද එක් මිය ගිය සේවාවක් එකවර සෑම fail-closed සේවාලාභියෙකුටම බාධාවක් බවට පත් වේ.

පියවර 5: චේතනාන්විතව එක් සහතිකයක් අවලංගු කරන්න

පරීක්‍ෂණ සහතිකයක් ගෙන, නිෂ්පාදනය භාවිත කරන එම නාලිකාව හරහා එය අවලංගු කර, ප්‍රතිචාරකයෙන් සෘජුවම අසන්න. openssl ocsp -issuer ca.pem -cert old.pem -url http://ocsp.example.net -resp_text අවලංගු කිරීමේ වේලාව සමඟ Cert Status: revoked වාර්තා කළ යුතු අතර, good යන පිළිතුරෙන් අදහස් වන්නේ ඔබේ අවලංගු කිරීම ඔබේ සේවාලාභීන් අසන ප්‍රතිචාරකයට ළඟා නොවූ බවයි. පසුව ලැයිස්තු මාර්ගයෙන් එම තීරණයම දැකීමට openssl verify -crl_check -CRLfile issuer.crl -CAfile ca.pem old.pem ධාවනය කරන්න. පිටවීමේ කේතය වෙනුවට හේතු තන්තුව කියවන්න, මන්ද අවලංගු කිරීම් ප්‍රතික්ෂේපය සහ දාම දෝෂය යන දෙකම අසාර්ථකත්වයෙන් අවසන් වේ.

ඇත්තෙන්ම වැදගත් පියවර අවසාන එකයි: පැරණි පැතිකඩ සමඟ සැබෑ බලාත්මක කිරීමේ ලක්ෂ්‍යයට එරෙහිව නැවත සම්බන්ධ වී ප්‍රතික්ෂේපය අවලංගු කිරීමෙන්ම පැමිණෙන බව තහවුරු කරන්න. ඉන්පසු නව, වලංගු සහතිකයක් සමඟ නැවත සම්බන්ධ වී ඔබ ශ්‍රවණයා පමණක් කැඩුවේ නැති බව ඔප්පු කරන්න. සේවාලාභියාගේ පැතිකඩ මැකීම සේවාදායකයේ තීරණය ගැන කිසිවක් ඔප්පු නොකරයි, ටනලය කිසි විටෙකත් අවසන් නොකරන යන්ත්‍රයක openssl verify සාර්ථකව ධාවනය කිරීම ද එසේම ය. RFC 6960 මඟින් අනුකූල OCSP ප්‍රතිචාරයක ඇති දේ නිර්වචනය කරයි, මෙම පරීක්‍ෂණය කියවන තත්ත්ව අගයන් ද ඇතුළුව.