වැරදි VPN සහතිකය අවලංගු කළාද? ප්‍රතිසාධන විකල්ප සහ සීමා

කිසිවෙකු CA කොන්සෝලයේ සහතිකයක් අවලංගු කළ අතර දැන් පරිශීලකයෙකුට සම්බන්ධ විය නොහැක. පළමු ප්‍රවණතාවය වන්නේ අවලංගු කිරීම ආපසු හැරවීම සොයා ගැනීමයි, සහ බොහෝ PKI සඳහා එවැන්නක් නොමැත: අවලංගු කිරීම යනු අනුක්‍රමික අංකයක් පිළිබඳ ප්‍රකාශිත කරුණක් වන අතර, ආධාරක ආපසු මාර්ගය නව සහතිකයක් මිස ආපසු හැරවූ වාර්තාවක් නොවේ. පහත පරීක්ෂණ අනුපිළිවෙලින් කරන්න, මන්ද ඔබට භාවිත කළ හැකි ප්‍රතිසංස්කරණය හේතු කේතය සහ යතුර කිසිදා හෙළිදරව් වූයේද යන්න මත රඳා පවතී.

සහතිකය හඳුනා ගන්න, පුද්ගලයා නොවේ

සාමාන්‍ය නාම පුනරාවර්තනය වේ. පසුගිය කාර්තුවේ නැවත ලියාපදිංචි වූ පරිශීලකයෙකුට එකම CN සහ වෙනස් අනුක්‍රමික අංක සහිත සහතික දෙකක් තිබිය හැකි අතර, එකක් අවලංගු කිරීමෙන් අනෙක ක්‍රියාත්මක වේ. පළමුව නිශ්චිත වස්තුව තහවුරු කරන්න:

openssl x509 -in client.crt -noout -serial -issuer -subject -dates
openssl crl -in ca.crl -noout -text | head -40

අනුක්‍රමික අංකය, නිකුත් කරන්නා, අවලංගු කිරීමේ දිනය සහ CRL හි සටහන් කර ඇති හේතුව ලියන්න. පසුව එම අනුක්‍රමික අංකය ඉදිරිපත් කරන උපාංග මොනවාදැයි තහවුරු කරන්න, මන්ද අවලංගු කළ සහතිකයක් තවමත් ලැප්ටොප්, දුරකථනය සහ අමතර රවුටරයක ස්ථාපනය වී තිබිය හැකි අතර, ඉන් එකකට පමණක් ළඟා වන ප්‍රතිස්ථාපනයක් දෙවන සිදුවීමක් ඇති කරයි.

වේගවත් හැසිරීම් පරීක්ෂණයක් කිසිවක් නොවෙනස්ව තත්ත්වය තහවුරු කරයි:

openssl verify -crl_check -CAfile ca.crt -CRLfile ca.crl client.crt

එය සහතිකය අවලංගු ලෙස වාර්තා කරන්නේ නම්, CRL සහ සේවාලාභියා එකඟ වේ; එය පිරිසිදුව සත්‍යාපනය වන්නේ නම්, ඔබ අතේ ඇති සේවාලාභියා අවලංගු කළ එක නොවේ, සහ සෙවීම දිගටම පවතී.

CA රඳවා තබා ගැනීමක් හෝ ස්ථිර අවලංගු කිරීමක් භාවිත කළේදැයි පරීක්ෂා කරන්න

RFC 5280 certificateHold තාවකාලික තත්ත්වයක් ලෙසත් removeFromCRL එය මුදා හරින සංඥාව ලෙසත් අර්ථ දක්වයි. එම ජීවන චක්‍රය සැබෑ ය, නමුත් එය සාමාන්‍ය ආපසු හැරවීමේ බොත්තමක් නොවේ. හේතු කේතය කියවීමෙන් නිකුත් කරන්නා කිසිදා මුදා හැරීමට සහාය දීමට අදහස් කළේදැයි ඔබට කියයි.

උගුල වන්නේ තාවකාලික අභිප්‍රාය යනු තාවකාලික වාර්තාවක් යැයි උපකල්පනය කිරීමයි. CA සටහනේ keyCompromise හෝ cessationOfOperation තිබේ නම්, බොත්තම එබූ පුද්ගලයාගේ අභිප්‍රාය කුමක් වුවත් සහතිකය ස්ථිරවම අවලංගු ය. ඊට වෙනස්ව, රඳවා තබා ගැනීමේ මුදා හැරීම ක්‍රියාත්මක නොකරන CA එකක certificateHold ලෙස සලකුණු කළ සටහනක් ප්‍රායෝගිකව ස්ථිර ය, මන්ද කිසිවක් කිසිදා මුදා හැරීම ප්‍රකාශයට පත් නොකරන බැවිනි.

OpenSSL පාදක CA මෙම සීමාව පෙන්වයි. ca විධානය -crl_reason අගයන් පිළිගනී, ඒවා අතර certificateHold සහ removeFromCRL ඇතුළත් වේ, නමුත් එය ඩෙල්ටා CRL නිපදවන්නේ නැත — OpenSSL CA ලේඛනය එහි CRL ප්‍රතිදානය සඳහා එම සීමාව සඳහන් කරයි. අනුක්‍රමික අංකය හුදෙක් ඉවත් කරන සම්පූර්ණ CRL එකක් "මෙම සටහන මුදා හරින ලදී" යන ඩෙල්ටාවකට වඩා වෙනස් ප්‍රකාශන ආකෘතියකි, එබැවින් OpenSSL පාදක VPN CA එකකට removeFromCRL අලවීමෙන් ප්‍රමිති අර්ථ දක්වන මුදා හැරීම ලැබෙන්නේ නැත.

යතුර හෙළිදරව් වී තිබිය හැකි නම්, එය ප්‍රතිස්ථාපනය කරන්න

අවලංගු කළ සහතිකයක් යනු මෙම යතුර තවදුරටත් විශ්වාස කළ නොහැකි යැයි ප්‍රකාශයකි. අවලංගු කිරීම සාරයෙන් නිවැරදි නම් — ලැප්ටොප් නැති විය, යතුරු බෙදාගත් තැටියකට පිටපත් විය, පෞද්ගලික යතුර ටිකට්පතක අලවා ඇත — එම සහතිකයම ප්‍රතිසාධනය කිරීම අරමුණු කළ පරිදි ක්‍රියා කළ ආරක්ෂක තීරණයක් ආපසු හරවයි.

ලියාපදිංචි කිරීමේ ක්‍රියාවලිය හරහා නව යතුරු යුගලයක් නිකුත් කරන්න, නව පැතිකඩ බෙදාහරින්න, සහ පැරණි අනුක්‍රමික අංකය එහි මුළු ආයු කාලය තුළ අවලංගුව තබන්න. අනුක්‍රමික අංකය හෝ ඇඟිලි සලකුණ මගින් අනන්‍යතාවය තබා ගන්නා සියල්ල යාවත්කාලීන කරන්න, ඒවා අතර ප්‍රවේශ ලැයිස්තු, උපාංග බඩු ලැයිස්තු සහ නිශ්චිත සහතිකයක් අපේක්ෂා කරන අධීක්ෂණ ඇතුළත් වේ.

පැරණි එක ප්‍රතිසාධනය කිරීමේ පහසුව පිළිබඳ තර්කය සැබෑ ය, නමුත් ඊට පැහැදිලිව පිළිතුරු දිය යුතුය, නිහඬව නොවේ. "පරිශීලකයාට අද ප්‍රවේශය අවශ්‍යයි" යනු නිකුතුව වේගවත් කිරීමට හේතුවක් මිස ඔබට ගණන් දිය නොහැකි යතුරක අවලංගු කිරීම ආපසු ගැනීමට හේතුවක් නොවේ.

එය පරිපාලන වැරැද්දක් නම්, පාලනය යටතේ ප්‍රතිස්ථාපනය කරන්න

අවලංගු කිරීම සරලව වැරදි වූ අතර යතුර කිසිදා හෙළිදරව් නොවූ විට, ප්‍රතිසංස්කරණය තවමත් සංස්කරණයක් නොව පාලිත ප්‍රතිස්ථාපනයකි. නිකුත් කරන්නාගේ ආධාරක ක්‍රියාවලිය භාවිත කරන්න, අනුක්‍රමික අංකය සහ නිකුත් කිරීමේ ඉතිහාසය අඛණ්ඩව තබන්න, සහ ආකර්ෂණීය කෙටි මාර්ග දෙකෙන් වළකින්න: index.txt හි තත්ත්ව අක්ෂරය R සිට නැවත V ට හැරවීම, සහ නව සහතිකයකට අනුක්‍රමික අංකය නැවත භාවිත කළ හැකි වන පරිදි නිකුත් කිරීමේ පේළිය මකා දැමීම.

OpenSSL CA හි දත්ත සමුදාය ටැබ් මගින් වෙන් කර ඇති අතර වැරදි ලෙස කියවීම පහසු ය, එය අතින් සංස්කරණය ආකර්ෂණීය කරයි:

awk -F'\t' '$1=="R" {print $4, $3, $6}' index.txt

එය කියවන්න, ලියන්න එපා. ගොනුව සංස්කරණය කිරීම කිසිදු විගණන සලකුණක් නොමැතිව ඊළඟ CRL වෙනස් කරයි, සහ මුල් පේළිය තවමත් රඳවා ගන්නා ඕනෑම දෙවන CA අවස්ථාවක් හෝ උපස්ථයක් පසුව එය සමඟ එකඟ නොවනු ඇත.

ප්‍රතිස්ථාපනය නිකුත් කිරීමෙන් පසු, සාමාන්‍ය යාන්ත්‍රණය හරහා නව CRL එකක් ප්‍රකාශයට පත් කර සේවාලාභීන්ට එය ලබා ගැනීමට ඉඩ දෙන්න. CRL ඉවත් කිරීම, එහි ආයු කාලය ශුන්‍යයට කෙටි කිරීම හෝ සේවාලාභී පැතිකඩේ අවලංගු කිරීම් පරීක්ෂාව අබල කිරීම CA කිසිදා ප්‍රකාශයට පත් කළ සෑම අනෙක් අවලංගු කිරීමක්ම දුර්වල කරමින් එක් පරිශීලකයෙකු නිවැරදි කරයි.

නව ප්‍රවේශයක් තහවුරු කර වාර්තාව තබා ගන්න

දැනටමත් විවෘත වූ සැසිය සමඟ නොව නව සම්බන්ධතාවයක් සමඟ පරීක්ෂා කරන්න. ජීවමාන උමං මාර්ගය නව අත්වැල් ගැසීමක් සිදු කරන ප්‍රවේශ පරීක්ෂණ නැවත නොගනියි, සහ CRL හැඹිලි නිසා සේවාලාභියා නැවුම් වන තෙක් සම්බන්ධ වෙමින් සිටිය හැක. විසන්ධි කරන්න, නැවත සම්බන්ධ වන්න, සහ සේවාදායක ලොගයේ කුමන අනුක්‍රමික අංකය පිළිගත්තේදැයි තහවුරු කරන්න.

සිදු වූ දේ තවමත් නැවුම්ව ඇති විට සටහන් කරන්න: කුමන අනුක්‍රමික අංකය, කා විසින්, කුමන හේතුවකින් අවලංගු කළේද, කුමන ප්‍රතිස්ථාපනයක් නිකුත් කළේද, සහ CRL නැවත ප්‍රකාශයට පත් කළේ කවදාද. එම වාර්තාව ඊළඟ අවලංගු කිරීම් සමාලෝචනය හැකි කරන අතර, වැරැද්ද සඟවා නොගෙන හසුරුවා ඇති බවට සාක්ෂියක් ද වේ.

අනාගතයේ කෙටි අත්හිටුවීම් සඳහා, යෙදවීමේ එවැන්නක් තිබේ නම් ප්‍රවේශ-විරාම යාන්ත්‍රණයක් භාවිත කරන්න — අනන්‍යතා ස්තරයේ අබල කළ ගිණුමක්, ඉවත් කළ කණ්ඩායම් සාමාජිකත්වයක්, රඳවා ගත් සේවාලාභී පැතිකඩක්. එය තාවකාලික ප්‍රතිපත්ති තීරණයක් නිකුත් කළ සහතිකය තවමත් විශ්වාසදායකද යන ප්‍රශ්නයෙන් වෙන් කර තබයි, සහ පළමු වතාවට අහිමි වූ වෙනස හරියටම එයයි.