Kaydka CA gaar ah: kaydka sirta ah ama kaydka furaha HSM

Su'aasha go'aamisa inta badan tan ma aha sida aad u qarxiso kaydka. Waa haddii furahaaga gaarka ah ee CA uu gabi ahaanba ka bixi karo weelkiisa. Haddii furahu fayl yahay, waxaad koobi kartaa dhammaan galka CA oo gelin kartaa hal blob oo qarsoon oo daqiiqado ku dhamaysato. Haddii uu ku nool yahay HSM ama token calaamadeeya furaha mid aan la soo saari karin, koobkaas ma jiro, qorshahaaguna wuxuu noqdaa qorshe ku saabsan nidaamka duubista iyo soo celinta albaabka. Labada qaabba way shaqeeyaan, si kala duwan ayay u guuldareystaan, guuldareysta aad ka badbaadi kartona waa tan mudan in la qorsheeyo.

Halka labada qaab ee kaydka ay kala tagaan

Qaab A waa koobka galka. CA qaab OpenSSL waa gal shaqo, ma aha hal shahaado: ca.key ama cakey.pem, ca.crt, keydka xogta soo saarista, tiriyayaasha serial iyo crlnumber, iyo openssl.cnf. Galkaas ku shaabaday cipher summetri ah, natiijada u rar qalabka labaad, soo celintuna waxay ka dhigan tahay fur, xaqiiji, saxeex. Wax kasta oo soo saaruhu u baahan yahay waa wada safraan, oo ay ku jirto toddobaadyo taariikhda tirtirka oo aan cidina xusuusan inay qortay.

Qaab B waa haynta furaha. Furaha waxaa lagu abuuraa gudaha module PKCS#11 oo lagu calaamadeeyaa mid aan la soo saari karin; modulku wuu ku duubi karaa kaydka, laakiin ma jiro geeddi-socod waligiis akhriya bytes ceyriin. Kaydkaagu markaas waa laba shay oo waa in si sax ah loo soo celiyo: blob fure ah oo duuban oo kaliya qoyskaas module-ku furi karo, iyo koob caadi ah oo keydka xogta, habaynta iyo shahaadaha.

Isbarbardhiggu waligiis ma ku saabsana qaabka awood badan marka la eego guud. Wuxuu ku saabsan yahay midka ay kooxdaadu soo celin karto 2 habeenimo iyadoo la joogo dadka runtii soo jeeda. Kayd aan cidina furi karin iyo blob HSM oo cidina tijaabin waxay siman yihiin wax aan faa'iido lahayn. Farqigu waa in guuldareysta kaydku ay ka muuqato maamulaha ereysirta, guuldareysta HSM-na ay ku dhuumato qandaraaska taageerada.

Waxa kayd kasta oo CA ah ay tahay inuu ka koobnaado

Labada qaabba waxay u baahan yihiin isla qaybta diiwaannada. CA OpenSSL dhexdeeda faylashaas waa index.txt oo leh hal saf oo shahaado kasta oo la soo saaray, oo daboolaya xaaladda, dhicidda, serial iyo mawduuca, ka dibna index.txt.attr, serial oo haysta serialka xiga ee la soo saarayo, crlnumber oo haysta lambarka CRL ee xiga, iyo openssl.cnf oo leh dir, policy iyo default_days oo CA-daadu runtii ku shaqeyso. Buug-gacmeedka openssl-ca wuxuu sharraxayaa waxa mid kasta oo ka mid ah tiriyayaashan uu xakameeyo. easy-rsa wuxuu isla xogta ku hayaa pki/ hoostiisa, iyadoo fayl vars uu go'aamiyo qaybaha shahaadaha.

Furaha iyo shahaaduhu waa qaybaha aan dib loo dhisi karin. Keydka xogtuna waa qaybta aan laga soo celin karin xusuusta. In la boodo index.txt weli waxay kuu ogolaataa inaad saxeexdo shahaadooyin cusub, taasina waa dabin run ah: waxaad ogaataa inuu maqan yahay markii ugu horreysay ee macmiil weydiiyo haddii shahaad loo tirtiray. Diiwaangeli raadka faraha CA kaydka dibaddiisa, si soo celintu ula barbardhigto qiime aad aaminto, ee aanay ula barbardhigmin faylka aad hadda soo celisay.

openssl x509 -in ca.crt -noout -fingerprint -sha256
tar czf ca-state.tar.gz ca.crt ca.key index.txt* serial* crlnumber* openssl.cnf
openssl enc -aes-256-cbc -pbkdf2 -iter 200000 -salt -in ca-state.tar.gz -out ca-state.tar.gz.enc
openssl ca -config openssl.cnf -gencrl -out crl.pem

Tijaabooyin soo celin oo aan laamo soo saaraha

Laba CA oo nool oo isla mawduuc iyo isla fure leh waxay u muuqdaan isku mid macmiil kasta oo aaminto asalka. Laba CRL oo isla lambar laakiin nuxur kala duwan leh waa sida macmiillada ay si aamusan u aqbalaan shahaado aad tirtirtay. Ku socodsii soo celinta host aan lahayn waddo macmiilladaada, ama VM hal mar la isticmaalo, oo waligaa ha daabicin CRL-ka tijaabadu soo saarto.

Tijaabo kaliya caddayneysa in kaydku furmo waxba kama caddaynso soo saarista. Taxanaha muhiimka ah: isbarbardhig raadka faraha ca.crt la soo celiyay iyo qiimaha aad diiwaangelisay, xaqiiji in serialku uu waafaqsan yahay waxa shahaadaadii ugu dambeysay ee la soo saaray tilmaamayso, soo saar hal shahaado CN hal mar la isticmaalo oo fiiri index.txt oo saf helaya, ka dib tirtir shahaadaas oo dib u abuur CRL-ka.

openssl verify -CAfile ca.crt -CRLfile crl.pem -crl_check client.crt
openssl crl -in crl.pem -noout -lastupdate -nextupdate

HSM la socodsii isla tijaabadaas module-ka. Ku fur blob-ka qalabka beddelka, xaqiiji in shahaada CA oo modulku soo sheegay ay waafaqsan tahay raadka faraha aad diiwaangelisay, oo markaas kaliya u oggolow inuu saxeexo. Haddii module-ku leeyahay kaydkiisa shay, duubistu waa inay daboolaan shayga furaha iyo calaamaddiisa, waayo soo celinta furaha calaamad kale hoosteedu waxay jebisaa habaynta tilmaamaysa.

Hababka guuldareysta ee go'aamiya doorashada

Shan guuldareysto ayaa sharraxaya inta badan khasaaraha dhabta ah. Ereysir kayd oo la illoobay oo aan koob madax-bannaan oo sirta ah lahayn waxay kaydka ka dhigtaa leben. Koob keliya oo disk keliya ah wuxuu la dhintaa diskkaas, checksumna waligiis ma sheego haddii furfurnaanu weli shaqeynayo. Shahaadooyin la tirtiray taariikhda kaydka ka dib ayaa mar kale u muuqda kuwo ansax ah soo celin ka dib, sidaas darteed muddada kaydkaagu sidoo kale waa barta aan la arkin ee tirtirka. Soo celinta tiriyaha serial duug ah waxay dib u isticmaashaa lambarrada serial oo qalqal gelisaa kaydadka iyo raadinta CRL ee serial ku salaysan. HSM beddel ah oo diida blob-ka duuban wuxuu beddelka qalabka ka dhigaa soo saaris buuxda oo cusub.

Qaab A wuxuu si xun laakiin muuqda ula macaamilaa afarta ugu horreysa. Qaab B si fiican ayuu ula macaamilaa ilaa module-ka ama geeddi-socodka albaabku guuldareysto. Haddii furahaagu la soo saari karo oo kooxdu yar tahay, kaydka sirta ah waa doorashada daacadda ah, oo ay taageerayaan laba qalab iyo nidaam ereysir qoran. Haddii furahu aan la soo saari karin, wax doorasho ah ma lihid, shaqaduna waxay u guurtaa caddaynta waddada soo celinta albaabka ka hor maalinta aad u baahan doonto.

Doorashada qaabka iyo jadwalka

Saddex shuruudood ayaa go'aanka xalliya. Furaha ma la soo saari karaa iyada oo aan lahayn geeddi-socod albaab? Soo celintu ma ku dhici doontaa qalab aadan haysan? Intee ayay soo saaristu istaagi kartaa inta aad la doodayso taageerada? Ka jawaab saddexdaas oo qaabka waa la go'aamiyay; wax kasta oo ka dambeeya waa jadwal.

Kayd qaado ka dib xaflad kasta oo saxeex iyo ka hor isbeddel kasta oo habayn, waayo habayntu waa qayb ka mid ah xaaladda. Hay laba koob oo ku yaal qalab kala duwan oo meelo kala duwan, mid ka mid ah offline, oo sirta furfurnaanta ku hay gobol aaminaad ka duwan kan koobabka. Ku qor taariikhda soo celinta ugu dambeysay ee guuleysatay diiwaanka kaydka. Kayd aan waligiis la soo celin waa mala-awaal, ma aha xakameyn.

Ka hor intaadan xidhin tikitka, xaqiiji shantan qodob:

• Raadka faraha ca.crt waxaa lagu diiwaangeliyay meel ka baxsan kaydka.
• index.txt, serial, crlnumber iyo openssl.cnf dhammaantood waxay ku jiraan kaydka ama qaybta blob-yada.
• Haynta ereysirta ama furaha duuban waa la diiwaangeliyay oo waxaa haysta qof aan ahayn milkiilaha kaydka.
• Soo celin ayaa lagu tijaabiyay host go'doonsan oo leh hal soo saaris iyo hal tirtir.
• Farqiga tirtirka ee ka imanaya muddada kaydkaaga waxaa si qoran loo aqbalay ama la gaabiyay.