Stratili ste klientský certifikát? Odvolajte podľa sériového čísla, nie podľa mena

Súbor certifikátu vášho klienta zmizol a reflex je odvolať meno a vydať nový. Tento reflex ponecháva pôvodný certifikát platný, pretože odvolanie funguje na sériovom čísle, nie na označení. CA takmer isto stále drží kópiu toho, čo vydala, a nájsť tú kópiu je celá úloha.

Strata súboru nie je strata záznamu CA

PKI Easy-RSA uchováva vydané verejné certifikáty a súčasné verzie tiež archivujú kópie podľa série v adresári certs_by_serial v rámci PKI. Súkromný kľúč na odvolanie nie je potrebný. Dôležitý je presný certifikát, ktorý CA podpísala, a ten CA už má.

Pracujte na záložnej kópii správnej PKI so správcom, ktorý ju vlastní. Odvolanie je auditovateľná operácia, nie oprava produkčnej databázy o polnoci.

Kópia vloženého verejného certifikátu klienta tiež postačí, ak ju nasadenie uchovalo.

Najprv si prečítajte vydavateľa a sériu

Preskúmajte obnovený PEM a zapíšte vydavateľa, sériové číslo, subjekt a dobu platnosti. Sériové číslo je jedinečné v rámci jedného vydavateľa, nie naprieč všetkými CA vo vašom prostredí, preto je vydavateľ súčasťou identity. Ak viacero certifikátov zdieľa subjekt, rozlišujú ich práve tieto série.

Porovnajte hodnoty so záznamami CA a so zariadením alebo osobou, o ktorej sa domnievate, že certifikát má.

Spoločné meno možno znova použiť a zvyčajne sa tak deje. Nerozhodujte, ktoré certifikáty stiahnuť, kým nie sú série zapísané.

Prečo odvolanie nového certifikátu nič neurobí

Vydanie náhrady s rovnakým spoločným menom vytvorí druhý certifikát s inou sériou. Odvolanie náhrady stiahne nový a pôvodný ponechá platný až do jeho vypršania. Z pohľadu CA ide o dva nezávislé objekty a CRL uvádza série, nie mená. Index CA vedie jeden riadok na každý vydaný certifikát práve preto.

Rovnaký zmätok vytvára opačnú chybu: zmazanie súboru klienta a predpoklad, že naň CA zabudla. Zmazanie u klienta nie je udalosťou odvolania a certifikát ďalej funguje pre každého, kto má kópiu.

Obe chyby pramenia z toho, že sa s menom zaobchádza ako s identitou.

Odvolajte certifikát, ktorý séria pomenúva

Identifikujte objekt skôr, než sa dotknete CA: openssl x509 -in recovered-client.pem -noout -issuer -serial -subject -dates vypíše štyri hodnoty v jednom prechode a séria je to, čo porovnávate s archívom CA. Easy-RSA uchováva tento archív pod pki/certs_by_serial, s jedným súborom na každú sériu. Príkaz na odvolanie prijíma spoločné meno, nie sériu, preto skopírujte archivovaný súbor do pki/issued/<common-name>.crt a nechajte meno ukazovať na identifikovaný objekt. Spustite easyrsa revoke <common-name> z adresára PKI a potom skontrolujte, či sa príslušný riadok v index.txt zmenil na R. Séria je spôsob, akým vyberáte objekt, nie argument, ktorý príkaz prijíma.

openssl x509 -in recovered-client.pem -noout -issuer -serial -subject -dates
cp pki/certs_by_serial/A1B2C3D4.pem pki/issued/client-01.crt
./easyrsa revoke client-01
grep -n client-01 pki/index.txt
./easyrsa gen-crl

Ak index.txt nezobrazuje R, zastavte sa a prečítajte chybu pred generovaním CRL, pretože CRL zostavený z ešte platného záznamu nič nestiahne. Až po zmene riadku spustíte easyrsa gen-crl a prejdete na distribúciu súboru.

Publikujte CRL tam, kde sa skutočne vynucuje

Vygenerujte nový CRL podporovaným postupom PKI a potom ho publikujte na každom overovateľovi, ktorý vynucuje odvolania tohto vydavateľa.

Aktualizovaný súbor ležiaci na CA nič nemení, pretože VPN ukončuje rozhodnutie na svojom vlastnom overovateľovi. Skontrolujte vydavateľa CRL, dobu jeho platnosti a odvolané série a potvrďte, že služba súbor znovu načíta, namiesto toho aby ukladala do vyrovnávacej pamäte predchádzajúci. Vlastníctvo a cesta sú rovnako dôležité ako obsah: CRL, ktorý démon nedokáže prečítať, je na nerozoznanie od žiadneho CRL. Voľba crl-verify v OpenVPN označuje súbor, ktorý démon číta, preto skontrolujte túto cestu a vlastníctvo súboru v konfigurácii servera.

Overujte skutočným pokusom o pripojenie, nie časovou značkou súboru.

Vedzte, kedy je CRL nesprávny nástroj

Ak sa súkromnému kľúču vydavateľa už nedôveruje, odvolanie známych sérií nezabráni neoprávnenému držiteľovi podpisovať nové certifikáty. Je to prechod dôvery vo vydavateľa, teda nová CA a plán distribúcie, nie ďalší záznam v CRL. Prístup bývalého správcu sám o sebe nie je dôkazom zneužitia kľúča, preto najprv zistite fakty a potom obnovte dôveru.

Ručná úprava databázy vydávania na prevrátenie písmena stavu nenahrádza podpísané odvolanie a ponecháva CRL nekonzistentný so záznamami.

Uchovajte sériu, CRL a krok distribúcie v jednej poznámke a nasledujúci audit sa stane čítaním. Projekt Easy-RSA dokumentuje podporované príkazy pre verziu, ktorú máte nainštalovanú, a to je jediné rozhranie, ktoré stojí za to nasledovať.