Izgubili clientsko potrdilo? Prekličite po serijski številki, ne po imenu

Datoteka potrdila vaše stranke je izginila, refleks pa je preklicati ime in izdati novo. Ta refleks pusti izvirno potrdilo veljavno, ker preklic deluje na serijski številki in ne na oznaki. CA skoraj zagotovo še hrani kopijo tistega, kar je izdala, in najti to kopijo je celotna naloga.

Izguba datoteke ni izguba zapisa CA

PKI Easy-RSA hrani izdana javna potrdila, trenutne različice pa arhivirajo tudi kopije po seriji v imeniku certs_by_serial znotraj PKI. Zasebni ključ za preklic ni potreben. Pomembno je natančno potrdilo, ki ga je podpisala CA, in CA ga že ima.

Delajte na varnostni kopiji prave PKI skupaj s skrbnikom, ki jo ima v lasti. Preklic je revizijsko sledljiva operacija, ne popravilo produkcijske baze ob polnoči.

Kopija vdelanega javnega potrdila stranke zadostuje tudi, če jo je uvedba shranila.

Najprej preberite izdajatelja in serijo

Preglejte obnovljeni PEM in zapišite izdajatelja, serijsko številko, subjekt in obdobje veljavnosti. Serijska številka je edinstvena v obsegu enega izdajatelja, ne med vsemi CA v vašem okolju, zato je izdajatelj del identitete. Če si več potrdil deli subjekt, jih ločijo prav te serije.

Primerjajte vrednosti z zapisi CA in z napravo ali osebo, za katero menite, da ima potrdilo.

Skupno ime je mogoče ponovno uporabiti in običajno se to tudi zgodi. Ne odločajte, katera potrdila boste preklicali, preden serije niso zapisane.

Zakaj preklic novega potrdila ne naredi ničesar

Izdaja nadomestila z istim skupnim imenom ustvari drugo potrdilo z drugačno serijo. Preklic nadomestila prekliče novo in pusti izvirno veljavno do izteka. Z vidika CA sta to dva neodvisna objekta, CRL pa navaja serije in ne imena. Indeks CA vodi eno vrstico na vsako izdano potrdilo prav zato.

Ista zmeda ustvari obratno napako: brisanje datoteke stranke in domnevo, da jo je CA pozabila. Brisanje pri stranki ni dogodek preklica in potrdilo še naprej deluje za vsakogar, ki ima kopijo.

Obe napaki izhajata iz obravnavanja imena kot identitete.

Prekličite potrdilo, ki ga navaja serija

Identificirajte objekt, preden se dotaknete CA: openssl x509 -in recovered-client.pem -noout -issuer -serial -subject -dates izpiše štiri vrednosti v enem prehodu, serija pa je tisto, kar primerjate z arhivom CA. Easy-RSA hrani ta arhiv pod pki/certs_by_serial, z eno datoteko na serijo. Ukaz za preklic sprejme skupno ime in ne serije, zato kopirajte arhivirano datoteko v pki/issued/<common-name>.crt in pustite, da ime kaže na identificirani objekt. Zaženite easyrsa revoke <common-name> iz imenika PKI in nato preverite, ali se je ustrezna vrstica v index.txt spremenila v R. Serija je način, kako izberete objekt, ne argument, ki ga ukaz sprejme.

openssl x509 -in recovered-client.pem -noout -issuer -serial -subject -dates
cp pki/certs_by_serial/A1B2C3D4.pem pki/issued/client-01.crt
./easyrsa revoke client-01
grep -n client-01 pki/index.txt
./easyrsa gen-crl

Če index.txt ne prikazuje R, se ustavite in preberite napako, preden ustvarite CRL, ker CRL, zgrajen iz še veljavnega zapisa, ničesar ne prekliče. Šele po spremembi vrstice zaženete easyrsa gen-crl in preidete na distribucijo datoteke.

Objavite CRL tam, kjer se dejansko uveljavlja

Ustvarite nov CRL s podprtim delovnim tokom PKI in ga nato objavite pri vsakem preverjevalniku, ki uveljavlja preklice tega izdajatelja.

Posodobljena datoteka, ki leži na CA, ne spremeni ničesar, ker VPN odločitev zaključi pri svojem preverjevalniku. Preverite izdajatelja CRL, obdobje veljavnosti in preklicane serije ter potrdite, da storitev datoteko znova naloži, namesto da bi predponila prejšnjo. Lastništvo in pot sta enako pomembna kot vsebina: CRL, ki ga demon ne more prebrati, se ne razlikuje od nobenega CRL. Možnost crl-verify v OpenVPN navaja datoteko, ki jo bere demon, zato preverite to pot in lastništvo datoteke v konfiguraciji strežnika.

Preverite s pravim poskusom povezave, ne s časovnim žigom datoteke.

Vedite, kdaj je CRL napačno orodje

Če zasebnemu ključu izdajatelja ni več zaupati, preklic znanih serij ne more preprečiti nepooblaščenemu imetniku podpisovanja novih potrdil. To je prehod zaupanja v izdajatelja, torej nova CA in načrt distribucije, ne še en vnos v CRL. Dostop nekdanjega skrbnika sam po sebi ni dokaz zlorabe ključa, zato najprej ugotovite dejstva in nato obnovite zaupanje.

Ročno urejanje baze izdajanja, da bi obrnili črko stanja, ne nadomesti podpisanega preklica in pusti CRL neskladen z zapisi.

Serijo, CRL in korak distribucije hranite v eni opombi in naslednja revizija bo postala branje. Projekt Easy-RSA dokumentira podprte ukaze za nameščeno različico in to je edini vmesnik, ki se ga je vredno držati.