Inventár certifikátov VPN: čo môže preukázať kniha CA
Priečinok na serveri, kniha CA, zoznam odvolaní a tabuľka relácií odpovedajú na rôzne otázky. Pri inventarizácii identít VPN ich držte oddelene.
Vaša brána prijíma klientsky certifikát, ktorý nikdy nevidela, pretože to, čím je nakonfigurovaná, je dôveryhodný vydavateľ a certifikát prichádza počas handshake. Tak má protokol fungovať, a práve preto je výpis adresára na serveri zlým inventárom. Vydavateľ vie, čo vytvoril, server vie, čo sa pripojilo, a stav odvolania vie, čo bolo stiahnuté. Inventár, ktorý tieto tri záznamy mieša, napokon tvrdí niečo, čo žiadny z nich nepovedal.
Brána dôveruje vydavateľovi, nie výpisu súborov
Validácia porovnáva predložený certifikát s dôveryhodnou kotvou, takže identita vytvorená včera tým istým vydavateľom sa pripojí bez toho, aby kedy existovala na disku servera. Aby sa tak stalo, nemusí sa nič kopírovať a nikto to nemusí schvaľovať ručne. Vlastné záznamy servera preto opisujú príchody, nie populáciu identít, ktoré by mohli prísť.
Opačná medzera je rovnako nepríjemná. Adresár môže obsahovať prepadnuté certifikáty, odvolané certifikáty a identity vydané pre zariadenia, ktoré nikdy neboli nasadené. Počítanie súborov odpovedá na to, koľko súborov existuje, čo je otázka, ktorú nikto nepoložil. Začnite namiesto toho pri záznamoch, ktoré nesú význam.
Štyri otázky, štyri rôzne záznamy
Každý typ záznamu dobre odpovedá na jednu otázku a zle na ostatné, preto správa, ktorá ich zlučuje, vyzerá úplne, aj keď je špecifickým spôsobom chybná. Tabuľka nižšie ich zoraďuje podľa otázky, ktorú riešia, nie podľa systému, ktorý ich vytvára.
| Question you are answering | Where the answer lives | How quickly it changes | What it will never show |
|---|---|---|---|
| Was this identity ever created? | The issuer's issuance database | Only when something is issued | Whether the device still exists |
| Is a copy sitting on this host? | The paths you actually inspected | Whenever anyone copies files | Certificates that were never copied here |
| Has the issuer withdrawn it? | Published revocation state | When the issuer next publishes | Withdrawals that are not published yet |
| Is it connected right now? | The live session table | Continuously | Anything about past or future sessions |
Archív verejných certifikátov nie je tajomstvo, pretože neobsahuje súkromné kľúče, ale nie je ani na zdieľanie. Subjekty a názvy zariadení prezrádzajú prevádzkové podrobnosti a správa by mala zostať u publika, ktoré ju potrebuje. Súkromné kľúče zostávajú úplne mimo inventára, pretože inventár potrebuje metadáta, nie poverenia.
Vydavateľ a sériové číslo sú jediný stabilný kľúč
Subjekty sa recyklujú a názvy súborov sa znova používajú, takže názov, ktorý minulý rok označoval jedno zariadenie, môže dnes označovať iné. Ani jedno nie je kľúč a správa postavená na ktoromkoľvek z nich nakoniec zlúči dve identity do jedného riadka.
Dvojica vydavateľ a sériové číslo identifikuje certifikát jedinečne a obe polia pochádzajú zo samotného certifikátu. Zapíšte ich spolu so subjektom, dátumami platnosti, zdrojom, odkiaľ kópia prišla, a zodpovednou osobou alebo zariadením. Pridajte stav odvolania a nasadenia ako samostatné polia s vlastnými časmi pozorovania, pretože certifikát v rámci doby platnosti nie je automaticky oprávnený. Tieto dve skutočnosti žijú v rôznych systémoch a ich zlúčenie skrýva prípad, keď bola identita stiahnutá, zatiaľ čo jej súbor stále vyzerá aktuálne.
Čítajte jeden certifikát po druhom
Zástupný znak, ktorý sa rozprestiera cez adresár, nie je dávkové rozhranie a skrýva, ktorý súbor vytvoril ktorý výstup. Čítajte metadáta po jednotlivých certifikátoch a stranu odvolania čítajte z jej vlastného artefaktu. Referenčná príručka OpenSSL x509 uvádza polia, ktoré tieto voľby vypisujú.
openssl x509 -in <cert>.pem -noout -issuer -serial -subject -dates -fingerprint -sha256
openssl crl -in <issuer>.crl -noout -text | head -n 40Pri spravovanej PKI Easy-RSA sa pýtajte databázy vydania cez pracovný postup, ktorý nástroj podporuje, namiesto toho, aby ste predpokladali rozloženie adresárov, a originály držte iba na čítanie, kým sa inventár zostavuje. Formát knihy je dosť pravidelný na to, aby sa platné záznamy spočítali a stiahnuté vypísali bez ručného otvárania databázy.
grep -c '^V' pki/index.txt
grep '^R' pki/index.txt | cut -f4,5Inventár, ktorý prežije nasledujúce vydanie
Jednorazový výpis adresára zastará v okamihu, keď je vydaný ďalší certifikát, preto zostavte správu z vydavateľského pracovného postupu a nechajte ju aktualizovať ako súčasť bežnej prevádzky. To robí správu aj reprodukovateľnou, čo je dôležité, keď sa dvaja ľudia nezhodnú na tom, čo bolo vydané.
Výsledok používajte na rozhodnutia o obnove a vyradení, nie ako cvičenie s tabuľkou. Zmazanie lokálnej kópie nezruší vzdialené kópie, ktoré už existujú. Stiahnite identitu cez nakonfigurovaný pracovný postup odvolania a autorizácie a potom stiahnutie zaznamenajte s jeho dátumom. Identita, ktorá zmizla zo servera, ale vydavateľ jej stále dôveruje, nebola vyradená, a práve tento rozdiel oddeľuje presný inventár od inventára, ktorý iba upokojuje.