Shahaadada VPN ee la tirtiray ma wali isku xirtaa? Hubi fulinta CRL
Shahaadooyinka la tirtiray waxay wali isku xiraan marka CRL uusan waligiis gaarin hubiyaha. Hubi sidan soo socota soo-saaraha, lambarka taxanaha ee la rakibay, habdhaqanka dib-u-rakibidda iyo fadhiyada firfircoon.
Waxaad tirtirtay shahaadada, samaysatay liis cusub, oo borofaylka hore wali wuxuu dhisaa tunnel. Tirtiridda lafteedu ma jabna: CRL waa bayaan la saxeexay oo sheegaya in lambarka taxanaha uusan mar dambe ansax ahayn, waxayna beddeshaa gelitaanka kaliya marka qaybta TLS soo afjarta ay rakibto, soo-saaraha saxda ah, ka hor inta aanay gaarin go'aanka aqbalaadda. Halkaasaa inta badan kiisaskan ku yaal, sababtaas darteedna tirtiridda iyo diidmadu waa laba xaqiiqo oo kala duwan.
Dhex mar shanta hubin ee hoos ku qoran si kastaba, oo joogso tan ugu horreysa ee aan ansax ahayn, maxaa yeelay hubin kasta oo xigta waxay u qaadanaysaa in kuwii hore ay sax yihiin.
Hubi qaybta go'aanka aqbalaadda gaarta
Magacaw habka hubiya shahaadada macmiilka, maxaa yeelay habkaas oo keliya ayaa fulin kara liis. Serverka OpenVPN waa daemon laftiisa, oo lagu habeeyay crl-verify. Ocserv waa xariiqda crl ee ocserv.conf. StrongSwan gelitaanku waa CRL-yada la rakibay oo ay la socdaan strictcrlpolicy. Proxy ama qalab TLS ku soo afjara VPN ka hor ayaa sidoo kale noqon kara hubiyaha dhabta ah, hadday sidaas tahayna daemonka gadaashiisa marnaba ma arko shahaadada macmiilka.
WireGuard waxay ka tirsan tahay qayb kale. Ma laha shahaadooyin mana laha liis tirtirid; peer waxaa lagu aqbalaa furaha guud ee ku jira habaynta, sidaas darteed joojinta gelitaanku waxay ka dhigan tahay in furahaas la tirtiro. Haddii aad ka raadineyso CRL ku-shaqeynta WireGuard oo keliya, habkaas halkaas ma jiro.
Ka digtoonow dabiniga dhinaca macmiilka sidoo kale. Macmiil diida inuu isku xirto sababtoo ah ma jecla shahaadada serverka waxa uu fulinayaa silsiladda serverka, ma tirtirayo aqoonsigiisa. Shahaadada isticmaalaha waxaa la tirtiraa kaliya halka shahaadadaas la hubiyo, taas oo had iyo jeer ku beegan dhinaca serverka.
Hubi soo-saaree loo saxeexay liiska
CRL waxay ku xaddidan tahay hal CA soo-saare. Marka uu jiro xidid iyo dhexdhexaad, shahaadooyinka caleenta waxay ka yimaadaan dhexdhexaadka, sidaas darteed liiska muhiimka ah waa CRL-ka dhexdhexaadka; liiska xididka waxba kama sheego caleemahaas. Hubiye loo jeediyay fayl khaldan wuxuu si farxad leh u falanqeeyaa, ma helo qoraal u dhigma wuxuuna aqbalaa wax walba.
Xaqiiji isku-dhaca ka hor inta aanad taaban daemonka. Soo-saaraha shahaadada waa inuu la jaanqaado subject-ka liiska:
openssl x509 -in client.crt -noout -issuer -serial
openssl crl -in intermediate.crl -noout -issuer -lastupdate -nextupdateMarka labaduba ka yimaadaan isla CA, lambarka taxanaha ee shahaadada loo daabacay waa qiimaha ay tahay inuu liiska ku muuqdo. Haddii aanay is waafaqin, waxaad haysataa CRL khaldan ama nuqul khaldan oo ka mid ah.
Ansaxnimadu waxay ka tirsan tahay isla hubintaas. nextUpdate hore waxay liiska ka dhigtaa mid duugoobay, hubiyaha ku guuldareysta si xiran ayaa markaas diidi doona macmiil kasta halkii uu diidi lahaa kan la tirtiray oo keliya.
Hubi in lambarka taxanahu ku jiro nuqulka uu daemonku rakibay
Tirtiriddu waxay qoraal ku qortaa keydka xogta CA, dib-u-soo-saaridna waxay qortaa fayl cusub. Midkoodna ma gaaro daemon shaqeynaya oo soo rakibay nuqulkii hore markii la bilaabay. Soo saar liiska oo raadi lambarka taxanaha:
openssl crl -in intermediate.crl -noout -text | grep -i -A2 'Serial Number'
openssl ca -revoke client.crt
openssl ca -gencrl -out intermediate.crlKadib hubi sida fulintaadu u qaadato faylka. OpenVPN waxay akhridaa waddo loo siiyay crl-verify hal mar markii la bilaabay, sidaas darteed liis cusub wuxuu u baahan yahay dib-u-bilaabid ama calaamad dib-u-bilaabid; isla ikhtiyaarkaas haddii loo jeediyo galka waxaa dib loo akhriyaa isku-xir kasta, taasina waa sababta habka galku u jiro. StrongSwan waa inuu dib u rakibo aqoonsigiisa, tusaale ahaan swanctl --load-creds. Faylka saxda ah ee saxanka iyo in hubiyuhu isticmaalo waa laba xaqiiqo oo kala duwan.
Hubi siyaasadda liis maqan ama dhacay
Kani waa go'aanka ay ku-shaqeynta badan waligood si cad u gaarin, wuxuuna go'aamiyaa in tirtiriddu ku ilaalinayso ama ay qof walba bannaanka ku xidhayso. Fail-closed waxay ka dhigan tahay in aan la hayn macluumaad tirtirid la isticmaali karo diidmo ay dhacdo; fail-open waxay ka dhigan tahay in hubiyuhu uu sii socdo isagoon haysan. StrongSwan waxay soo bandhigtaa doorashada sida strictcrlpolicy. OpenVPN oo leh crl-verify waxay diiddaa inuu bilaabo fayl aanay akhrin karin ama falanqeyn karin, liiska dhacayna wuxuu u muuqdaa sida khalad hubin TLS oo ku saabsan CRL dhacay halkii uu ahaan lahaa aqbal aamusnaan ah.
| State of the revocation data | Fail-closed result | Fail-open result |
|---|---|---|
| List missing or unreadable | Verification fails, so expect an outage | Every client connects, including the revoked one |
List past nextUpdate | Validation errors until a fresh list is deployed | Old status is trusted indefinitely |
| Revoked serial present in the loaded list | Handshake rejected for that certificate | Handshake rejected for that certificate |
Jihadaadii doorataba, otomaatigu wuu ka muhiimsan yahay doorashada: shaqo dib u soo saarta CRL ka hor nextUpdate, iyo digniin marka nuqulka la dhoofiyay uu gaboobo, waxay ka ilaalinayaan labada siyaasad inay noqdaan dhacdo. Hubinta onlaynka ah ee OCSP waxay cusboonaysiinta u rartaa jawaab-bixiye, laakiin isla qaanuunkaas ayaa khuseeya, maxaa yeelay hubiye aan loo habeyn inuu hubiyo jawaabta waxba ma beddelo.
Hubi fadhiga firfircoon, ka dib nuqullada furaha
Tirtiridda waxaa lagu qiimeeyaa inta lagu jiro hubinta shahaadada, taas oo dhacda marka la isku xirayo iyo marka dib loo wada hadlayo. Fadhiga la aasaasay wuxuu sii socdaa ilaa uu dib u wada hadlo, qiyaasta caadiga ah ee OpenVPN-na waa hal mar saacaddii oo leh reneg-sec 3600. Haddii qofku hadda ka baxayo shabakadda, jooji fadhiga oo ay la socoto daabacaadda liiska, ka dibna xaqiiji in dib-u-xirka la diiday.
Kala sooc aqoonsiga iyo nuqulladiisa. Tirtiridda borofaylka kombuyuutar gacan-ku-qoran keliya kama hortagto nuqul kale oo isla furaha gaarka ah inuu is-aqoonsado; tirtiridda ayaa ka dhigta nuqul kasta mid aan faa'iido lahayn, taasna waxay dhacdaa oo keliya marka hubinnada hore ay ansax yihiin. Sii qalabka beddelka shahaadadiisa u gaar ah si mid loo tirtiro iyada oo aan la taaban midka kale.
Ka hor inta aanad dhihin wuu dhammaaday: qaybta hubinta waa la aqoonsaday, soo-saaraha liisku wuu la jaanqaadaa soo-saaraha caleenta, lambarka taxanaha la tirtiray wuxuu ku jiraa nuqulka uu daemonku dhab ahaan rakibay, siyaasadda liisaska maqan ama dhacay waa mid ula kac ah oo la kormeerayo, fadhiga firfircoonna waa la joojiyay halkii la sugayay. Qaababka ka dambeeya wax walba waxaa lagu qeexay RFC 5280.