Ma baajisay shahaadada VPN ee qaldan? Ikhtiyaarada soo celinta iyo xadka

Qof ayaa shahaadad ku baajiyay console-ka CA, haddana isticmaaluhu ma xiri karo. Dareenka ugu horreeya waa in la raadiyo baajinta, boqolkiiba badan PKI-yada mid ma jiro: baajintu waa xaqiiqo lagu dhawaaqay oo ku saabsan lambar taxane ah, dariiqa dib ugu soo laabashada la taageerayna waa shahaadad cusub, ma aha diiwaan rogan. Baaritaannada hoose si kala hor ah u mar, sababtoo ah dayactirka lagu oggolaaday wuxuu ku xiran yahay koodhka sababta iyo haddii furaha waligiis la muujiyay.

Aqoonso shahaadada, ma aha qofka

Magacyada caadiga ah way soo noqnoqdaan. Isticmaale dib u diiwaangashan rubucii hore waxaa laga yaabaa inuu haysto laba shahaadadood oo isku CN ah iyo lambarro taxane oo kala duwan, baajinta midna waxay ka tagtaa tan kale oo shaqaynaysa. Marka hore go'aanso shayga saxda ah:

openssl x509 -in client.crt -noout -serial -issuer -subject -dates
openssl crl -in ca.crl -noout -text | head -40

Qor lambarka taxanaha, soo saaraha, taariikhda baajinta iyo sababta lagu diiwaangeliyay CRL-ka. Kadib xaqiiji qalabka soo bandhiga lambarkaas taxanaha ah, sababtoo ah shahaadada la baajiyay waxaa laga yaabaa inay weli ku rakiban tahay laptop, telefoon iyo router kayd ah, beddelka gaadha midkood oo keliya wuxuu abuuraa dhacdo labaad.

Baaritaan dabeecadeed degdeg ah ayaa xaqiijiya xaaladda isagoon wax beddelin:

openssl verify -crl_check -CAfile ca.crt -CRLfile ca.crl client.crt

Haddii ay u sheegto shahaadada in la baajiyay, CRL-ka iyo macmiilka way isku raacsan yihiin; haddii si nadiif ah loo xaqiijiyo, macmiilka gacantaada ku jira ma aha kan la baajiyay, baaritaankuna wuu sii socdaa.

Hubi haddii CA ay isticmaashay haynta ama baajin joogto ah

RFC 5280 waxay qeexdaa certificateHold inuu yahay xaalad ku meel gaar ah, removeFromCRL na calaamadda sii daysa. Wareegga noloshaas waa dhab, laakiin ma aha badhan guud oo dib u noqosho ah. Akhrinta koodhka sababta waxay kuu sheegtaa haddii soo saaruhu waligiis qasdiyay inuu taageero sii daynta.

Dabinku waa in loo qaato in qasdi ku meel gaar ah uu ka dhigan yahay diiwaan ku meel gaar ah. Haddii gelinta CA ay qaaddo keyCompromise ama cessationOfOperation, shahaadadu si joogto ah ayaa loo baajiyay, wax kasta oo qofka badhanka riixay uu qasdiyay. Taa lidkeeda, gelin calaamaysan certificateHold oo ku taal CA aan hirgelin sii daynta haynta waa mid joogto ah ficil ahaan, sababtoo ah waxba waligood ma daabici doonaan sii daynta.

CA-yada ku saleysan OpenSSL waxay muujinayaan xadka. Amarka ca wuxuu aqbalaa qiyamka -crl_reason, oo ay ku jiraan certificateHold iyo removeFromCRL, laakiin ma soo saaro CRL delta — dokumentiga OpenSSL CA wuxuu sheegayaa xadkaas soo-saarka CRL-kiisa. CRL buuxa oo si fudud uga tagaya lambarka taxanaha waa qaab daabacaad ka duwan delta sheegta "gelintan waa la sii daayay", sidaas darteed ku dhejinta removeFromCRL CA VPN ku saleysan OpenSSL ma soo saarto sii daynta lagu qeexay heerarka.

Haddii furaha laga yaabo inuu soo shaac baxay, beddel

Shahaadada la baajiyay waa bayaan sheegaya in furahan aan la aamini karin mar dambe. Haddii baajintu si muhiim ah u saxanayd — laptop lumay, furaha lagu nuqulay disk la wadaago, furaha gaarka ah lagu dhejiyay tikit — soo celinta isla shahaadadaas waxay rogtaa go'aan amni oo si loogu talagalay u shaqeynayay.

Soo saar lammaane fure cusub iyada oo loo marayo habka diiwaangelinta, qaybi profile-ka cusub, oo ka tag lambarka taxanaha hore oo la baajiyay inta ay nooshahay oo dhan. Cusboonaysii wax kasta oo aqoonsiga ku xidha lambarka taxanaha ama raadka faraha, oo ay ku jiraan liisaska gelitaanka, tirakoobka qalabka iyo la-socodka filanaya shahaadad gaar ah.

Doodda fududeynta ee ah in kan hore la soo celiyo waa dhab, laakiin waa in si cad looga jawaabo, ma aha aamusnaan. "Isticmaaluhu wuxuu u baahan yahay gelitaan maanta" waa sabab loo dedejiyo soo saarista, ma aha sabab loo noqdo baajinta furaha aanad xisaabtami karin.

Haddii ay ahayd khalad maamuleed, beddel iyada oo la kontoroolayo

Marka baajintu si fudud u qaldanayd oo furaha waligiis soo shaac bixin, dayactirku weli waa beddel la maamulo ma aha tafatir. Adeegso habka la taageeray ee soo saaraha, hay lambarka taxanaha iyo taariikhda soo saarista mid aan dhaawacmin, kana fogow labada marin gaaban ee soo jiidashada leh: rogidda calaamadda xaaladda ee index.txt laga bilaabo R dib ugu noqosho V, iyo tirtiridda safka soo saarista si shahaadad cusub ay dib ugu isticmaasho lambarka taxanaha.

CA OpenSSL gudaheeda xogta waxay ku kala qaybsan tahay tab, wayna fudud tahay in si khaldan loo akhriyo, taas oo tafatirka gacanta ka dhigta mid soo jiidasho leh:

awk -F'\t' '$1=="R" {print $4, $3, $6}' index.txt

Akhri, ha qorin. Tafatirka faylku wuxuu beddelaa CRL-ka xiga isagoon lahayn wax raad ah oo hufnaan, iyo wax kasta oo tusaale CA ama kayd ah oo weli haysta safka asalka ah ayaa markii dambe ka soo horjeedaan.

Ka dib soo saarista beddelka, daabac CRL cusub iyada oo loo marayo habka caadiga ah oo u ogolow macmiilka inuu qaato. Ka saarista CRL, gaabin cimrigiisa ilaa waxba ama joojinta hubinta baajinta profile-ka macmiilka waxay hagaajisaa hal isticmaale iyada oo daciifinaysa baajin kasta oo kale oo CA waligeed daabacday.

Xaqiiji gelitaan cusub oo hay diiwaanka

Ku tijaabi xiriir cusub, ma aha fadhi hore u furnaa. Tunnel nool waxaa laga yaabaa inuusan dib u socodsiiyo hubinta gelitaanka ee gacan-qabsiga cusub sameeyo, kaydka CRL-na waxay ka dhigan yihiin in macmiilku sii wadi karo xiriirka ilaa uu cusboonaysiiyo. Goo, dib u xiriir, oo ku xaqiiji logga server-ka lambarka taxanaha ee la aqbalay.

Diiwaangeli waxa dhacay inta ay weli cusub tahay: lambarka taxanaha ee la baajiyay, yaa, sababta, beddelka la soo saaray, iyo goorta CRL dib loo daabacay. Diiwaankaas ayaa suurtageliya dib u eegista baajinta xigta, waana caddaynta in khaladka la maareeyay oo aan la qarin.

Joojinta gaaban ee mustaqbalka, isticmaal habka hakinta gelitaanka haddii deployment-ku leeyahay — akoon laga joojiyay lakabka aqoonsiga, xubin ka tirtiran koox, profile macmiil la hayay. Taasi waxay kala soocdaa go'aanka siyaasadeed ee ku meel gaarka ah su'aasha ah haddii shahaadada la soo saaray weli lagu kalsoonaan karo, waana isla faraqaas markii ugu horreysay lumay.