Odvolávanie certifikátov zlyháva: ktorý host a čo nedosiahne

Certifikáty môžu byť v rámci obdobia platnosti a VPN napriek tomu hlási chybu overenia, a niekto usúdi, že certifikát bol odvolaný. Sú to tri rozdielne fakty. Údaje o odvolaní musí získať zariadenie, ktoré vykonáva overenie, z publikačného bodu uvedeného v samotnom certifikáte. Keď to zariadenie bod nedosiahne, kontrola zlyhá z dôvodov nesúvisiacich so stavom certifikátu.

Za cestu získavania zodpovedá overovateľ

Začnite identifikáciou overovateľa. Keď notebook kontroluje certifikát brány, údaje získava notebook; keď brána kontroluje klientsky certifikát, robí to brána. Overovacia služba v back-ende môže pridať tretieho overovateľa s vlastnou sieťovou pozíciou. Každý má inú trasu do internetu a inú konfiguráciu proxy. Dôkazy zozbierané na pracovnej stanici administrátora nehovoria nič o serveri vnútri DMZ.

Pred akoukoľvek zmenou si zapíšte certifikát, overovateľa, čas pokusu a presný stavový kód.

Prečítajte publikačný bod z certifikátu

Certifikát uvádza, kde sa nachádza jeho stav. Prečítajte si tieto polia namiesto hádania adresy CA.

openssl x509 -in gateway.cer -noout -text | grep -A3 "CRL Distribution Points"
openssl x509 -in gateway.cer -noout -text | grep -A2 "Authority Information Access"

Prvé rozšírenie uvádza distribučné body CRL a druhé uvádza metódy prístupu k informáciám o vydavateľovi, ktoré môžu pokrývať stav OCSP a získanie certifikátu vydavateľa. Sú to rozdielne mechanizmy a OCSP responder nie je súbor CRL. Publikačný host je často bežný webový server, nie stroj CA, pretože offline vydavateľ môže podpísať CRL, ktorú distribuuje iný server. Pravidlo firewallu opísané ako prístup k CA je preto príliš vágne na implementáciu alebo posúdenie.

Otestujte získavanie zo zariadenia, ktoré overuje

Spustite test získavania v prostredí, ktoré skutočne vykonáva overenie, so schváleným certifikátovým materiálom a bez súkromných kľúčov.

certutil -urlfetch -verify .\client-test.cer
curl -sS -o /dev/null -w "%{http_code}\n" http://crl.example.com/ca.crl

Spustenie certutil overí reťaz a oznámi, ktoré získania URL uspeli alebo zlyhali, zatiaľ čo volanie curl otestuje jednu publikačnú adresu z toho istého hosta a vráti iba stavový kód. Neúspešné získanie z dostupnej adresy poukazuje na problémy s obsahom alebo podpisom; chyba pripojenia poukazuje na smerovanie, DNS alebo proxy. Uložte oba výsledky, pretože jedno úspešné získanie nedokazuje, že celý reťaz je použiteľný. Nahraďte ukážkový host a cestu distribučným bodom nájdeným v certifikáte.

Oddeľte chýbajúce údaje od stavu odvolania

Štyri výsledky vyzerajú zvonku rovnako: bod je nedostupný, zoznam je zastaraný, zoznam podpísal nesprávny vydavateľ alebo je certifikát skutočne odvolaný. Iba posledný je stavovým výsledkom a iba on ospravedlňuje odobratie prístupu. Ukladanie do vyrovnávacej pamäte situáciu ďalej komplikuje, pretože skôr získané údaje môžu skrývať pokazenú publikačnú cestu až do ďalšieho obnovenia. Vypnutie kontroly odvolania, vymazanie nesúvisiacich certifikátov alebo reštart brány nahrádzajú diagnózu aktivitou.

Po oprave vynúťte nové overenie a potvrďte, že zamýšľané získanie stavu prebehne úspešne. Tam, kde existuje kontrolovaná testovacia identita, potvrďte, že je stále odmietaná, pretože dostupnosť, ktorá odstraňuje kontrolu, nie je oprava.