OCSP iyo CRL: sida baaritaan kasta oo tirtirid dhab ahaan u shaqeeyo

Mid ka mid ah labadan baaritaan ee tirtiridda ayaa soo celiya jawaab saxeexan oo ku saabsan hal shahaado, tan kalena waxay soo celisaa liis saxeexan oo aad dhammaantiis soo dejiso. Labaduba waxay u tahay inay u sheegaan xaqiijiyaha haddii aqoonsigu weli lagu kalsoonaan karo, labaduna waxay ku guul-darraystaan siyaabo aan haba yaraatee iskaga mid ahayn. Nidaamka hoose wuxuu raacayaa waxa hawlwadeenku dhab ahaan kula kulmo wax soo saarka, isagoo ka bilaabmaya baytiyada xarigga ku jira oo ku dhammaanaya irrid diidaya isku xirnaan. Hal tallaabo oo la boodaa waa habka ay hawlgalku ku dhamaato siyaasad tirtirid oo warqad keliya ku qoran.

Tallaabada 1: Waxa baaritaan kastaa soo celiyo iyo inta uu isticmaali karo

CRL waxaa lagu daabacaa hal shay saxeexan oo daboolaya shahaado kasta oo soo-saare tirtiray, sidaas darteed xaqiijiyuhu hal mar buu qaataa oo dib u isticmaalaa ilaa nextUpdate-ka liiska uu dhaafo. Jawaabta OCSP ayaa ka cidhiidhi badan: waxay u jawaabtaa si sax ah hal shahaado waxayna qaaddaa thisUpdate, producedAt iyo badanaa nextUpdate sidoo kale. Farqigaas ayaa hoggaamiya wax kasta oo kale. CRL kaydsan si aamusan ayuu duugoobaa, sababtoo ah faylka wali waa la falanqeeyaa oo saxeexkiisa wali waa la xaqiijiyaa, halka jawaabta OCSP ee dhacday ay si cad u ahayd qiimo la'aan daqiiqada aad akhrinayso sumadaha waqtigeeda.

Sidaas darteed kaydintu waa waxa ugu horreeya ee la go'aamiyo: qaybtee ayaa nuqulka haysata, iyo saqafka sare ee nuqulkaasi u hoggaansamo. Irridda dhexdeeda saqafku waa inuu noqdaa nextUpdate laga jaray xadka badbaadada, marnaba ma aha waxa cinwaanka kaydka HTTP si shil ah soo jeediyo. openssl crl -in issuer.crl -noout -lastupdate -nextupdate wuxuu daabacaa labada taariikh, iyo liis nextUpdate-kiisu hore ugu jiray waqti hore waa in loo arkaa mid maqan oo aan ahayn duug keliya.

Tallaabada 2: Halka shahaadadu u jihto macmiilka

Shahaadda caleenta badanaa waxay qaaddaa laba tilmaamood: fidinta barta qaybinta CRL iyo gelitaanka gelidda macluumaadka hay'adda ee OCSP. openssl x509 -in client.pem -noout -ext crlDistributionPoints wuxuu daabacaa tan hore, tan dambe waxay ka hoosaysaa qaybta AIA ee openssl x509 -in client.pem -noout -text. Fidin kasta waa tilmaame, ma aha waajib. Macmiil aan waligiis hirgelin baaritaanka tirtiridda wuxuu si fiican ugu xirmi doonaa shahaado ay fidinteedu sheegaan jawaab-celiye muddo sannad ah dhintay.

Barta qaybinta waxay inta badan sheegaan martigeliye gudaha ah oo kaliya lagu xalliyo hal qayb oo shabakadda ah, macmiilada qaarna way diidaan URL-yada ldap gabi ahaanba. Helitaanka ka tijaabi martigeliyaha joojiya tunnel-ka, ee ha ka tijaabin kombuyuutarkaaga gaarka ah, sababtoo ah taasi waa aragtida kaliya ee guul-darradeeda dhab ahaan muhiim ah.

Tallaabada 3: Ka hor hakadka dooro fail-closed ama fail-open

Jawaab-celiye aan la gaari karin ama liis dhacday ayaa qasba go'aan: diid isku xirnaanta, ama aqbal oo diiwaangeli farqiga. Amarka hoose ee verify ee OpenSSL wuxuu caddeeyaa doorashada adag, sababtoo ah ku darista -crl_check waxay CRL aan la heli karin ka dhigtaa unable to get certificate CRL iyo xaqiijin guul-darraysatay. Soft-fail inta badan stack-yada ma aha calan haba yaraatee, waa maqnaanshaha baaritaanka, iyo taas ayaa sababta uu si shil ah u soo gaaro.

Si aad u aragto habdhaqanka macmiilku dhab ahaan leeyahay, ka qaad jawaab-celiyaha oo dib u xir. Haddii tunnel-ku weli soo kaco, raadi khadka diiwaanka ee diiwaangeliyay baaritaanka la booday, ka dibna weydii haddii qof akhrin lahaa khadkaas inta lagu jiro dhacdo. Iibiyaha isku mid ah wuu ku kala duwanaan karaa borotokool ahaan: macmiilka IKEv2 iyo macmiilka OpenVPN ee hal mishiin waxay akhriyaan dhibco kala duwan oo aan xiriir lahayn.

Tallaabada 4: Caddee in baaritaanku ka socdo halka taraafikada lagu aqbalo

Raadi nidaamka joojiya ama oggolaada isku xirnaanta, ka dibna weydii khadka habaynta ee awood u yeela baaritaanka tirtiridda. Irrid xaqiijisa silsiladda laakiin waligeed wax ka weydiin tirtiridda waxay fulisaa siyaasad ka duwan tan ku qoran dukumeentigaaga, oo ma jiro sawir shaashad silsilad shahaadooyin ah oo kaas lid ku ah caddeeya. OpenVPN wuxuu ikhtiyaarka u qoraa crl-verify; strongSwan waxay raadinta CRL iyo OCSP ku haysaa habaynta CA, halkaas oo crl_uris ama ocsp_uris lagu dhigto. Haddii aadan u tilmaami karin midkoodna, ka soo qaad in baaritaanku maqan yahay.

Jawaabta OCSP waxay ansax tahay kaliya marka CA soo-saarista ay saxeexday, ama marka jawaab-celiye haysta isticmaalka fureed ee la ballaariyay OCSPSigning oo ay CA-daas u wakiishay ay saxeexday, sidaas darteed jawaabta adeeg aan xiriir lahayn waxba ma caddeyso. Haddii adigu maamusho jawaab-celiyaha, la soco sidii ku-tiirsanaan adag, sababtoo ah hal adeeg dhintay ayaa isla markiiba noqda hakad macmiil kasta oo fail-closed ah.

Tallaabada 5: Si ula kac ah u tirtir hal shahaado

Qaado shahaado tijaabo ah, kaga tirtir kanaalka isku mid ah ee wax soo saarku isticmaalo, oo si toos ah u weydii jawaab-celiyaha. openssl ocsp -issuer ca.pem -cert old.pem -url http://ocsp.example.net -resp_text waa inuu soo sheegaa Cert Status: revoked oo ay la socoto waqtiga tirtiridda, jawaabta good na waxay ka dhigan tahay in tirtiriddaadu aysan gaarin jawaab-celiyaha ay macmiiladaadu weydiiyaan. Ka dib socodsii openssl verify -crl_check -CRLfile issuer.crl -CAfile ca.pem old.pem si aad u aragto isla go'aanka jidka liiska. Akhri xarigga sababta halkii aad ka akhrin lahayd koodhka bixitaanka, sababtoo ah diidmada tirtiridda iyo khaladka silsiladda labaduba guul-darro ayay ku dhammaadaan.

Tallaabada dhab ahaan muhiimka ah waa tan ugu dambeysa: dib ugu xir profile-kii hore oo ka soo horjeed dhibicda dhabta ah ee fulinta oo xaqiiji in diidmadu ka timaaddo tirtiridda. Ka dib dib u xir shahaado cusub oo ansax ah si aad u caddeyso inaadan kaliya jebin dhageystaha. Tirtiridda profile-ka macmiilka waxba kama caddeyso go'aanka server-ka, sidaas oo kale socodsiinta openssl verify ee guulaysata mishiin aan waligiis tunnel soo afjarin. RFC 6960 waxay qeexdaa waxa jawaabta OCSP ee waafaqsan ay ka kooban tahay, oo ay ku jiraan qiimaha xaaladda ee tijaabadan akhriso.