Humbët certifikata e klientit? Shfuqizojeni sipas numrit serial, jo sipas emrit

Skedari i certifikatës së klientit tuaj ka humbur, dhe refleksi është të shfuqizohet emri dhe të lëshohet një i ri. Ai refleks e lë certifikatën origjinale të vlefshme, sepse shfuqizimi funksionon mbi një numër serial dhe jo mbi një etiketë. CA pothuajse me siguri mban ende një kopje të asaj që ka lëshuar, dhe gjetja e asaj kopjeje është e gjithë detyra.

Humbja e një skedari nuk është humbje e regjistrimit të CA

Një PKI Easy-RSA mban certifikatat publike që ka lëshuar, dhe versionet aktuale arkivojnë edhe kopje sipas serialit në drejtorinë certs_by_serial të PKI. Çelësi privat nuk nevojitet për të shfuqizuar asgjë. Ajo që ka rëndësi është certifikata e saktë që ka nënshkruar CA, dhe CA e ka atë tashmë.

Punoni mbi një kopje rezervë të PKI të saktë, së bashku me administratorin që e zotëron. Shfuqizimi është një veprim i auditueshëm, jo një riparim në një bazë të dhënash prodhimi në mesnatë.

Një kopje e certifikatës publike të integruar të klientit funksionon gjithashtu, nëse vendosja ka mbajtur një.

Lexoni fillimisht lëshuesin dhe serialin

Inspektoni PEM-in e rikuperuar dhe shkruani lëshuesin, numrin serial, subjektin dhe periudhën e vlefshmërisë. Numri serial është unik brenda fushës së një lëshuesi, jo në të gjitha CA-të e mjedisit tuaj, prandaj lëshuesi është pjesë e identitetit. Nëse disa certifikata ndajnë një subjekt, janë pikërisht ato seri që i dallon.

Krahasoni vlerat me regjistrat e CA dhe me pajisjen ose personin që mendoni se mban certifikatën.

Një emër i zakonshëm mund të ripërdoret, dhe zakonisht kështu ndodh. Mos vendosni se cilat certifikata të tërhiqen përpara se seritë të jenë shkruar.

Pse shfuqizimi i certifikatës së re nuk bën asgjë

Lëshimi i një zëvendësuesi me të njëjtin emër të zakonshëm krijon një certifikatë të dytë me një seri tjetër. Shfuqizimi i zëvendësuesit tërheq të renë dhe e lë origjinalen të vlefshme deri në skadimin e saj. Nga këndvështrimi i CA këto janë dy objekte të pavarura, dhe një CRL liston seri dhe jo emra. Indeksi i CA mban një rresht për çdo certifikatë të lëshuar pikërisht për këtë arsye.

I njëjti konfuzion prodhon gabimin e kundërt: fshirja e skedarit të klientit dhe supozimi se CA e ka harruar. Fshirja në klient nuk është ngjarje shfuqizimi, dhe certifikata vazhdon të funksionojë për këdo që ka një kopje.

Të dy gabimet vijnë nga trajtimi i emrit si identitet.

Shfuqizoni certifikatën që emërton seria

Identifikoni objektin përpara se të prekni CA: openssl x509 -in recovered-client.pem -noout -issuer -serial -subject -dates shtyp katër vlerat në një kalim, dhe seria është ajo që krahasoni me arkivin e CA. Easy-RSA e mban atë arkiv nën pki/certs_by_serial, me një skedar për çdo seri. Komanda e shfuqizimit merr një emër të zakonshëm dhe jo një seri, prandaj kopjoni skedarin e arkivuar në pki/issued/<common-name>.crt dhe lëreni emrin të tregojë objektin që identifikuat. Ekzekutoni easyrsa revoke <common-name> nga drejtoria e PKI, më pas kontrolloni nëse rreshti përkatës në index.txt ka kaluar në R. Seria është mënyra si e zgjidhni objektin, jo një argument që komanda pranon.

openssl x509 -in recovered-client.pem -noout -issuer -serial -subject -dates
cp pki/certs_by_serial/A1B2C3D4.pem pki/issued/client-01.crt
./easyrsa revoke client-01
grep -n client-01 pki/index.txt
./easyrsa gen-crl

Nëse index.txt nuk shfaq R, ndaloni dhe lexoni gabimin përpara se të krijoni një CRL, sepse një CRL i ndërtuar nga një regjistrim ende i vlefshëm nuk tërheq asgjë. Vetëm pasi rreshti të ndryshojë ekzekutoni easyrsa gen-crl dhe kaloni në shpërndarjen e skedarit.

Publikojeni CRL atje ku zbatohet në të vërtetë

Krijoni një CRL të ri përmes rrjedhës së punës të mbështetur të PKI, më pas publikojeni atë në çdo verifikues që zbaton shfuqizimet e këtij lëshuesi.

Një skedar i përditësuar që qëndron në CA nuk ndryshon asgjë, sepse VPN-ja e përfundon vendimin në verifikuesin e vet. Kontrolloni lëshuesin e CRL, periudhën e vlefshmërisë dhe seritë e shfuqizuara, dhe konfirmoni se shërbimi e ringarkon skedarin në vend që të ruajë të mëparshmin në cache. Pronësia dhe shtegu kanë po aq rëndësi sa përmbajtja: një CRL që daemon-i nuk mund ta lexojë nuk dallohet nga mungesa e CRL. Opsioni crl-verify i OpenVPN emërton skedarin që lexon daemon-i, prandaj kontrolloni atë shteg dhe pronësinë e skedarit në konfigurimin e serverit.

Verifikoni me një përpjekje reale lidhjeje, jo me vulën kohore të skedarit.

Dijeni kur CRL është mjeti i gabuar

Nëse çelësi privat i lëshuesit nuk është më i besueshëm, tërheqja e serive të njohura nuk mund të ndalojë një mbajtës të paautorizuar të nënshkruajë certifikata të reja. Ky është një kalim besimi te lëshuesi, domethënë një CA e re dhe një plan shpërndarjeje, jo një tjetër regjistrim në CRL. Fakti që një administrator i mëparshëm ka pasur akses nuk është në vetvete provë e keqpërdorimit të çelësit, prandaj merrni faktet përpara se të rindërtoni besimin.

Redaktimi me dorë i bazës së të dhënave të lëshimit për të kthyer një shkronjë statusi nuk zëvendëson një shfuqizim të nënshkruar, dhe e lë CRL-në në kundërshtim me regjistrat.

Mbani serinë, CRL-në dhe hapin e shpërndarjes në një shënim, dhe auditimi i radhës bëhet ushtrim leximi. Projekti Easy-RSA dokumenton komandat e mbështetura për versionin që keni instaluar, dhe ky është ndërfaqja e vetme që ia vlen të ndiqet.