Shfuqizimi i certifikatave dështon: cili host dhe çfarë nuk arrin

Certifikatat mund të qëndrojnë brenda periudhës së vlefshmërisë ndërsa VPN prapë raporton një dështim vërtetimi, dhe dikush përfundon se certifikata është shfuqizuar. Këto janë tri fakte të ndryshme. Të dhënat e shfuqizimit duhet t'i marrë pajisja që kryen verifikimin, nga një pikë publikimi e emërtuar brenda vetë certifikatës. Kur ajo pajisje nuk e arrin pikën, kontrolli dështon për arsye që nuk lidhen me gjendjen e certifikatës.

Verifikuesi zotëron rrugën e marrjes

Filloni duke identifikuar verifikuesin. Kur një laptop kontrollon certifikatën e gateway-it, laptop-i bën marrjen; kur gateway-i kontrollon një certifikatë klienti, gateway-i e bën atë. Një shërbim vërtetimi në backend mund të shtojë një verifikues të tretë me pozicionin e vet në rrjet. Secili ka një rrugë tjetër drejt internetit dhe një konfigurim tjetër proxy. Provat e mbledhura në stacionin e punës të një administratori nuk thonë asgjë për një server brenda një DMZ.

Shkruani certifikatën, verifikuesin, kohën e përpjekjes dhe kodin e saktë të gjendjes përpara se të ndryshoni çdo gjë.

Lexoni pikën e publikimit nga certifikata

Certifikata tregon ku ndodhet gjendja e saj. Lexoni ato fusha në vend që të hamendësoni një adresë CA.

openssl x509 -in gateway.cer -noout -text | grep -A3 "CRL Distribution Points"
openssl x509 -in gateway.cer -noout -text | grep -A2 "Authority Information Access"

Zgjerimi i parë liston pikat e shpërndarjes së CRL, dhe i dyti liston metodat e aksesit në informacionin e lëshuesit, të cilat mund të mbulojnë gjendjen OCSP dhe marrjen e certifikatës së lëshuesit. Këto janë mekanizma të ndryshëm, dhe një përgjigjës OCSP nuk është skedar CRL. Host-i i publikimit është shpesh një server web i zakonshëm dhe jo makina CA, sepse një lëshues jashtë linje mund të nënshkruajë një CRL që një server tjetër e shpërndan. Prandaj një rregull firewall i përshkruar si akses në CA është shumë i paqartë për t'u zbatuar ose rishikuar.

Testoni marrjen nga pajisja që verifikon

Ekzekutoni testin e marrjes në mjedisin që kryen në të vërtetë verifikimin, me material certifikate të miratuar dhe pa çelësa privatë.

certutil -urlfetch -verify .\client-test.cer
curl -sS -o /dev/null -w "%{http_code}\n" http://crl.example.com/ca.crl

Ekzekutimi i certutil verifikon zinxhirin dhe raporton cilat marrje URL-sh patën sukses ose dështuan, ndërsa thirrja curl teston një adresë publikimi nga i njëjti host dhe kthen vetëm një kod gjendjeje. Një marrje e dështuar nga një adresë e arritshme tregon probleme me përmbajtjen ose nënshkrimin; një gabim lidhjeje tregon rrugëtim, DNS ose proxy. Ruani të dyja rezultatet, sepse një marrje e suksesshme nuk provon se i gjithë zinxhiri është i përdorshëm. Zëvendësoni host-in dhe rrugën e shembullit me pikën e shpërndarjes që gjendet në certifikatë.

Ndani të dhënat që mungojnë nga gjendja e shfuqizuar

Katër rezultate duken njësoj nga jashtë: pika është e paarritshme, lista është e vjetruar, lista është nënshkruar nga lëshuesi i gabuar, ose certifikata është vërtet e shfuqizuar. Vetëm i fundit është rezultat gjendjeje, dhe vetëm ai justifikon heqjen e aksesit. Keshimi e ndërlikon edhe më shumë pamjen, sepse të dhënat e marra më parë mund të fshehin një rrugë publikimi të prishur deri në rifreskimin tjetër. Çaktivizimi i kontrollit të shfuqizimit, fshirja e certifikatave të palidhura ose rindezja e gateway-it zëvendësojnë diagnozën me aktivitet.

Pas rregullimit, detyroni një vërtetim të ri dhe konfirmoni se marrja e synuar e gjendjes ka sukses. Aty ku ekziston një identitet testimi i kontrolluar, konfirmoni se ai refuzohet ende, sepse disponueshmëria që heq kontrollin nuk është riparim.