පුද්ගලික CA උපස්ථය: සංකේතනය කළ ලේඛනාගාරය හෝ HSM යතුරු උපස්ථය
සංකේතනය කළ ලේඛනාගාරය හෝ HSM කිරුම් කළ යතුර: එක් එක් VPN CA උපස්ථ ආකෘතිය ප්‍රතිස්ථාපනය වන ආකාරය, එහි තිබිය යුතු දේ සහ ඔබට සැබවින්ම ජයගත හැකි අසාර්ථකත්වය.
මෙයින් වැඩි කොටසක් තීරණය කරන ප්‍රශ්නය ඔබ ලේඛනාගාරය සංකේතනය කරන ආකාරය නොවේ. එය ඔබේ CA පුද්ගලික යතුරට එහි බහාලුමෙන් ඉවත් විය හැකිද යන්නයි. යතුර ගොනුවක් නම්, මුළු CA නාමාවලියම එක් සංකේතනය කළ බ්ලොබයකට පිටපත් කර මිනිත්තු කිහිපයකින් අවසන් කළ හැක. එය HSM එකක හෝ යතුර ලබාගත නොහැකි ලෙස සලකුණු කරන ටෝකනයක ජීවත් වේ නම්, එම පිටපත නොපවතී, සහ ඔබේ සැලසුම සැපයුම්කරුගේ ඔතා-ප්‍රතිස්ථාපනය කිරීමේ ක්‍රියාපටිපාටිය ගැන සැලසුමක් බවට පත්වේ. ආකෘති දෙකම ක්‍රියා කරයි, වෙනස් ලෙස අසාර්ථක වේ, සහ ඔබට ජයගත හැකි අසාර්ථකත්වය නිර්මාණය කිරීමට වටින්නේ එයයි.
උපස්ථ ආකෘති දෙක වෙන්වන තැන
ආකෘතිය A නාමාවලි පිටපතයි. OpenSSL විලාසයේ CA එකක් කාර්ය නාමාවලියක් මිස තනි සහතිකයක් නොවේ: ca.key හෝ cakey.pem, ca.crt, නිකුත් කිරීමේ දත්ත සමුදාය, serial සහ crlnumber ගණක, සහ openssl.cnf. එම නාමාවලිය සමමිතික සයිෆරයකින් මුද්‍රා කර, ප්‍රතිඵලය දෙවන මාධ්‍යයකට ගෙන ගොස්, ප්‍රතිස්ථාපනය යනු ලිහා, තහවුරු කර, අත්සන් කිරීමයි. නිකුත් කරන්නාට අවශ්‍ය සියල්ල එකට ගමන් කරයි, කිසිවෙකු ලියූ බව මතක නැති සති ගණනක අවලංගු කිරීමේ ඉතිහාසය ද ඇතුළුව.
ආකෘතිය B යතුර රඳවා ගැනීමයි. යතුර PKCS#11 මොඩියුලයක් තුළ ජනනය වී ලබාගත නොහැකි ලෙස සලකුණු වේ; මොඩියුලයට එය උපස්ථය සඳහා ඔතා හැක, නමුත් කිසිදු ක්‍රියාවලියක් කිසිවිටෙක අමු බයිට කියවන්නේ නැත. එවිට ඔබේ උපස්ථය නිවැරදි අනුපිළිවෙලින් ප්‍රතිස්ථාපනය කළ යුතු දෙයක් වේ: එම මොඩියුල පවුලට පමණක් විවෘත කළ හැකි ඔතන ලද යතුරු බ්ලොබයක්, සහ දත්ත සමුදාය, වින්‍යාසය සහ සහතිකවල සාමාන්‍ය පිටපතක්.
| Attribute | Encrypted archive | HSM key backup |
|---|---|---|
| What you store | one encrypted file | wrapped blob plus CA records |
| Who can restore it | anyone holding the passphrase | holder of the module and the blob, often vendor support |
| If a copy leaks | attacker with the passphrase becomes the CA | blob is inert without the matching module |
| What usually breaks it | forgotten passphrase, one damaged copy | replacement module rejects the blob, contract gap |
සංසන්දනය කිසිවිටෙක කුමන ආකෘතිය වියුක්තව ශක්තිමත්ද යන්න ගැන නොවේ. ඔබේ කණ්ඩායමට රාත්‍රී 2 ට සැබවින්ම අවදිව සිටින පිරිස සමඟ කුමක් ප්‍රතිස්ථාපනය කළ හැකිද යන්න ගැනයි. කිසිවෙකුට විකේතනය කළ නොහැකි ලේඛනාගාරයක් සහ කිසිවෙකු පරීක්ෂා නොකළ HSM බ්ලොබයක් සමානව නිෂ්ප්‍රයෝජනය. වෙනස නම්, ලේඛනාගාරයේ අසාර්ථකත්වය මුරපද කළමනාකරුවෙකු තුළ දිස්වන අතර, HSM හි අසාර්ථකත්වය සහාය ගිවිසුමක සැඟවී තිබීමයි.
සෑම CA උපස්ථයකම තිබිය යුතු දේ
ආකෘති දෙකටම එකම වාර්තා කට්ටලය අවශ්‍යයි. OpenSSL CA එකක එම ගොනු index.txt වන අතර, නිකුත් කළ සෑම සහතිකයකටම තත්ත්වය, කල් ඉකුත්වීම, serial සහ විෂය ආවරණය කරන පේළියක්, පසුව index.txt.attr, ඊළඟ නිකුත් කළ යුතු serial රඳවන serial, ඊළඟ CRL අංකය රඳවන crlnumber, සහ ඔබේ CA සැබවින්ම ක්‍රියාත්මක වන dir, policy සහ default_days සහිත openssl.cnf. openssl-ca අත්පොත එම ගණකයෙන් එකක් පාලනය කරන්නේ කුමක්ද යන්න පැහැදිලි කරයි. easy-rsa එකම දත්ත pki/ යටතේ තබයි, vars ගොනුව සහතිකයේ ක්ෂේත්ර තීරණය කරයි.
යතුර සහ සහතිකය නැවත ගොඩනැගිය නොහැකි කොටස් වේ. දත්ත සමුදාය මතකයෙන් ප්‍රතිනිර්මාණය කළ නොහැකි කොටසයි. index.txt මඟ හැරීම තවමත් නව සහතික අත්සන් කිරීමට ඉඩ දෙන අතර, එයම නියම උගුලයි: ගනුදෙනුකරුවෙකු සහතිකයක් අවලංගු කර තිබේදැයි පළමු වරට අසන විට එය නැති බව ඔබ දැනගනී. CA හි ඇඟිලි සලකුණ උපස්ථයෙන් පිටත සටහන් කරන්න, එවිට ප්‍රතිස්ථාපනයක් ඔබ විශ්වාස කරන අගයක් සමඟ සංසන්දනය වේ, ඔබ දැන් ප්‍රතිස්ථාපනය කළ ගොනුව සමඟ නොව.
openssl x509 -in ca.crt -noout -fingerprint -sha256
tar czf ca-state.tar.gz ca.crt ca.key index.txt* serial* crlnumber* openssl.cnf
openssl enc -aes-256-cbc -pbkdf2 -iter 200000 -salt -in ca-state.tar.gz -out ca-state.tar.gz.enc
openssl ca -config openssl.cnf -gencrl -out crl.pemනිකුත් කරන්නා අත්තික්කා නොකරන ප්‍රතිස්ථාපන පරීක්ෂණ
එකම විෂය සහ එකම යතුර සහිත සජීවී CA දෙකක් මුල් පිටපත විශ්වාස කරන සෑම ගනුදෙනුකරුවෙකුටම සමාන ලෙස පෙනේ. එකම අංකය නමුත් වෙනස් අන්තර්ගතය සහිත CRL දෙකක් යනු ගනුදෙනුකරුවන් ඔබ අවලංගු කළ සහතිකයක් නිහඬව පිළිගන්නා ආකාරයයි. ඔබේ ගනුදෙනුකරුවන්ට මාර්ගයක් නැති සත්කාරකයක හෝ එක් වරක් භාවිතා කරන VM එකක ප්‍රතිස්ථාපනය ධාවනය කරන්න, සහ පරීක්ෂණය නිපදවන CRL කිසිවිටෙක ප්‍රකාශ නොකරන්න.
ලේඛනාගාරය විවෘත වන බව පමණක් ඔප්පු කරන පරීක්ෂණයක් නිකුත් කිරීම ගැන කිසිවක් ඔප්පු නොකරයි. වැදගත් අනුපිළිවෙල: ප්‍රතිස්ථාපනය කළ ca.crt හි ඇඟිලි සලකුණ ඔබ සටහන් කළ අගය සමඟ සසඳන්න, serial ඔබේ අවසන් නිකුත් කළ සහතිකය ඇඟවුම් කරන දෙයට ගැලපෙන බව තහවුරු කරන්න, එක් වරක් භාවිතා කරන CN එකක් සඳහා සහතිකයක් නිකුත් කර index.txt පේළියක් ලබන ආකාරය බලන්න, පසුව එම සහතිකය අවලංගු කර CRL නැවත ජනනය කරන්න.
openssl verify -CAfile ca.crt -CRLfile crl.pem -crl_check client.crt
openssl crl -in crl.pem -noout -lastupdate -nextupdateHSM සමඟ එම පරීක්ෂණය මොඩියුලය හරහා යයි. බ්ලොබය ආදේශක උපාංගයට ලිහා, මොඩියුලය වාර්තා කරන CA සහතිකය ඔබේ සටහන් කළ ඇඟිලි සලකුණට ගැලපෙන බව තහවුරු කර, පසුව පමණක් අත්සන් කිරීමට ඉඩ දෙන්න. මොඩියුලයට තමන්ගේම වස්තු ගබඩාවක් ඇත්නම්, ඔතනය යතුරු වස්තුව සහ එහි ලේබලය ආවරණය කළ යුතුය, මන්ද වෙනත් ලේබලයක් යටතේ යතුර ප්‍රතිස්ථාපනය කිරීම එයට යොමු වන වින්‍යාසය බිඳ දමයි.
තේරීම තීරණය කරන අසාර්ථකත්ව රටා
අසාර්ථකත්ව පහක් බොහෝ සැබෑ පාඩු පැහැදිලි කරයි. රහසේ ස්වාධීන පිටපතක් නැතිව අමතක වූ ලේඛනාගාර මුරපදය ලේඛනාගාරය ගඩොලක් බවට පත් කරයි. එක් තැටියක තනි පිටපතක් එම තැටිය සමඟ මිය යයි, සහ චෙක්සමයක් විකේතනය තවමත් ක්‍රියා කරනවාදැයි කිසිවිටෙක නොකියයි. උපස්ථ දිනයට පසුව අවලංගු කළ සහතික ප්‍රතිස්ථාපනයකින් පසු නැවත වලංගු ලෙස පෙනේ, එබැවින් ඔබේ උපස්ථ පරතරය ඔබේ අවලංගු කිරීමේ අන්ධ ස්ථානයද වේ. පැරණි serial ගණකයක් ප්‍රතිස්ථාපනය කිරීම serial අංක නැවත භාවිත කර serial මත යතුරු ලියන ලද කෑෂ සහ CRL සෙවුම් ව්‍යාකූල කරයි. ඔතන ලද බ්ලොබය ප්‍රතික්ෂේප කරන ආදේශක HSM එකක් දෘඩාංග මාරුවක් සම්පූර්ණ නැවත නිකුත් කිරීමක් බවට පත් කරයි.
ආකෘතිය A පළමු හතරට නරක ලෙස නමුත් දෘශ්‍යව මුහුණ දෙයි. ආකෘතිය B මොඩියුලය හෝ සැපයුම්කරුගේ ක්‍රියාවලිය අසාර්ථක වන තෙක් ඒවාට හොඳින් මුහුණ දෙයි. ඔබේ යතුරු අපනයනය කළ හැකි නම් සහ කණ්ඩායම කුඩා නම්, සංකේතනය කළ ලේඛනාගාරය අවංක තේරීමයි, මාධ්‍ය දෙකක් සහ ලිඛිත මුරපද ක්‍රියාපටිපාටියක් මගින් තහවුරු වේ. යතුර ලබාගත නොහැකි නම් ඔබට කිසිදු තේරීමක් නැත, සහ කාර්යය එය අවශ්‍ය දිනට පෙර සැපයුම්කරුගේ ප්‍රතිස්ථාපන මාර්ගය ඔප්පු කිරීමට මාරු වේ.
ආකෘතිය තේරීම සහ කාලසටහන් කිරීම
කොන්දේසි තුනක් තීරණය විසඳයි. සැපයුම්කරු ක්‍රියාවලියක් නොමැතිව යතුර අපනයනය කළ හැකිද? ඔබ දැනටමත් නොමැති දෘඩාංගයක් මත ප්‍රතිස්ථාපනයක් ගොඩබෑමට අවශ්‍යද? සහාය සමඟ තර්ක කරන අතරතුර නිකුත් කිරීම කොපමණ කලක් නවතින්නද? එම තුනට පිළිතුරු දෙන්න, සහ ආකෘතිය තීරණය වේ; ඊට පසු සියල්ල කාලසටහන් කිරීමයි.
සෑම අත්සන් කිරීමේ උත්සවයකට පසුව සහ ඕනෑම වින්‍යාස වෙනසකට පෙර උපස්ථයක් ගන්න, මන්ද වින්‍යාසය තත්ත්වයේ කොටසකි. වෙනස් ස්ථානවල වෙනස් මාධ්‍යවල පිටපත් දෙකක් තබන්න, එකක් නොබැඳි, සහ විකේතන රහස පිටපත්වලට වඩා වෙනස් විශ්වාස වසමක තබන්න. අවසන් සාර්ථක ප්‍රතිස්ථාපන දිනය උපස්ථ වාර්තාවේ ලියන්න. කිසිවිටෙක ප්‍රතිස්ථාපනය නොකළ උපස්ථයක් උපකල්පනයක් මිස පාලනයක් නොවේ.
ටිකට් වසා දැමීමට පෙර මෙම කරුණු පහ තහවුරු කරන්න:
- ca.crt හි ඇඟිලි සලකුණ උපස්ථයෙන් පිටත කොහේ හෝ සටහන් කර ඇත.
- index.txt, serial, crlnumber සහ openssl.cnf සියල්ල ලේඛනාගාරය හෝ බ්ලොබ කට්ටලය තුළ ඇත.
- මුරපදය හෝ ඔතන ලද යතුර භාරය ලේඛනගත කර ඇති අතර ලේඛනාගාර හිමිකරු හැර වෙනත් අයෙකු සතුව ඇත.
- හුදකලා සත්කාරකයක එක් නිකුත් කිරීමක් සහ එක් අවලංගු කිරීමක් සමඟ ප්‍රතිස්ථාපනය පරීක්ෂා කර ඇත.
- ඔබේ උපස්ථ පරතරය ඇඟවුම් කරන අවලංගු කිරීමේ පරතරය ලිඛිතව පිළිගෙන හෝ කෙටි කර ඇත.