Anuluat certifikatën e gabuar të VPN-së? Opsionet e rikuperimit dhe kufijtë

Dikush anuloi një certifikatë në konsolën e CA-së dhe tani një përdorues nuk mund të lidhet. Instinkti i parë është të gjendet zhbërja, dhe për shumicën e PKI-ve nuk ekziston: anulimi është një fakt i deklaruar për një numër serial, dhe rruga e kthimit e mbështetur është një certifikatë e re, jo një regjistrim i përmbysur. Kaloni nëpër kontrollet më poshtë me radhë, sepse cila riparim lejohet varet nga kodi i arsyes dhe nga fakti nëse çelësi është ekspozuar ndonjëherë.

Identifikoni certifikatën, jo personin

Emrat e përbashkët përsëriten. Një përdorues që u riregjistrua tremujorin e kaluar mund të ketë dy certifikata me të njëjtin CN dhe numra serialë të ndryshëm, dhe anulimi i njërës lë tjetrën duke punuar. Së pari përcaktoni objektin e saktë:

openssl x509 -in client.crt -noout -serial -issuer -subject -dates
openssl crl -in ca.crl -noout -text | head -40

Shkruani numrin serial, emetuesin, datën e anulimit dhe arsyen e regjistruar në CRL. Më pas konfirmoni cilat pajisje paraqesin atë numër serial, sepse një certifikatë e anuluar mund të jetë ende e instaluar në një laptop, një telefon dhe një router rezervë, dhe një zëvendësim që arrin vetëm në njërën prej tyre krijon një incident të dytë.

Një kontroll i shpejtë i sjelljes konfirmon gjendjen pa ndryshuar asgjë:

openssl verify -crl_check -CAfile ca.crt -CRLfile ca.crl client.crt

Nëse e raporton certifikatën si të anuluar, CRL-ja dhe klienti bien dakord; nëse verifikohet pastër, klienti që keni në dorë nuk është ai i anuluari, dhe kërkimi vazhdon.

Kontrolloni nëse CA përdori pezullim apo anulim të përhershëm

RFC 5280 përcakton certificateHold si gjendje të përkohshme dhe removeFromCRL si sinjalin që e lëshon atë. Ai cikël jete është i vërtetë, por nuk është një buton i përgjithshëm zhbërjeje. Leximi i kodit të arsyes ju tregon nëse emetuesi kishte ndonjëherë ndërmend të mbështeste lëshimin.

Kurthi është të supozoni se një qëllim i përkohshëm nënkupton një regjistrim të përkohshëm. Nëse zëri i CA-së mban keyCompromise ose cessationOfOperation, certifikata është anuluar përgjithmonë, pavarësisht nga ajo që synonte personi që shtypi butonin. Në të kundërt, një zë i shënuar certificateHold në një CA që nuk zbaton lëshimin e pezullimit është i përhershëm në praktikë, sepse asgjë nuk do të publikojë kurrë lëshimin.

CA-të e bazuara në OpenSSL ilustrojnë kufirin. Komanda ca pranon vlera -crl_reason, duke përfshirë certificateHold dhe removeFromCRL, por nuk gjeneron CRL delta — dokumentacioni i OpenSSL CA përmend atë kufizim për daljen e saj CRL. Një CRL e plotë që thjesht heq numrin serial është një model tjetër publikimi nga një delta që thotë "ky zë është lëshuar", prandaj ngjitja e removeFromCRL në një CA VPN të bazuar në OpenSSL nuk prodhon lëshimin e përcaktuar nga standardet.

Nëse çelësi mund të jetë ekspozuar, zëvendësojeni

Një certifikatë e anuluar është deklarata se ky çelës mund të mos jetë më i besueshëm. Nëse anulimi ishte thelbësisht i saktë — laptop i humbur, çelësi u kopjua në një disk të përbashkët, çelësi privat u ngjit në një tiketë — rivendosja e së njëjtës certifikatë përmbys një vendim sigurie që funksiononte siç ishte planifikuar.

Lëshoni një palë çelësash të re përmes procesit të regjistrimit, shpërndani profilin e re dhe lini numrin serial të vjetër të anuluar për të gjithë jetën e tij. Përditësoni gjithçka që fikson identitetin sipas numrit serial ose gjurmës së gishtit, duke përfshirë listat e pranimit, inventarët e pajisjeve dhe monitorimin që pret një certifikatë specifike.

Argumenti i komoditetit për të rivendosur atë të vjetrën është i vërtetë, por duhet t'i përgjigjesh eksplicit, jo në heshtje. "Përdoruesi ka nevojë për akses sot" është arsye për të përshpejtuar lëshimin, jo arsye për të hequr anulimin e një çelësi për të cilin nuk mund të japësh llogari.

Nëse ishte gabim administrativ, zëvendësojeni nën kontroll

Kur anulimi ishte thjesht i gabuar dhe çelësi nuk u ekspozua kurrë, riparimi është ende një zëvendësim i kontrolluar dhe jo një redaktim. Përdorni procesin e mbështetur të emetuesit, mbani numrin serial dhe historikun e lëshimit të paprekur, dhe shmangni dy shkurtoret joshëse: kthimin e karakterit të statusit në index.txt nga R përsëri në V, dhe fshirjen e rreshtit të lëshimit që një certifikatë e re të mund të ripërdorë numrin serial.

Në një CA OpenSSL baza e të dhënave është e ndarë me tab dhe lexohet lehtë gabimisht, gjë që e bën redaktimin me dorë joshës:

awk -F'\t' '$1=="R" {print $4, $3, $6}' index.txt

Lexojeni, mos e shkruani. Redaktimi i skedarit ndryshon CRL-në e radhës pa asnjë gjurmë auditimi, dhe çdo instancë e dytë e CA-së ose kopje rezervë që ende mban rreshtin origjinal do të jetë në kundërshtim me të më vonë.

Pasi të keni lëshuar zëvendësimin, publikoni një CRL të freskët përmes mekanizmit normal dhe lërini klientët ta marrin. Heqja e një CRL, shkurtimi i jetës së saj në asgjë ose çaktivizimi i kontrollit të anulimit në profilin e klientit rregullon një përdorues duke dobësuar çdo anulim tjetër që CA ka publikuar ndonjëherë.

Konfirmoni një pranim të freskët dhe ruani regjistrin

Testoni me një lidhje të re, jo me sesionin që ishte tashmë i hapur. Një tunel i gjallë mund të mos i ekzekutojë përsëri kontrollet e pranimit që bën një shtrëngim duarsh i freskët, dhe memorjet e CRL do të thonë që klienti mund të vazhdojë të lidhet derisa të përditësohet. Shkëputuni, rilidhuni dhe konfirmoni në regjistrin e serverit cili numër serial u pranua.

Regjistroni çfarë ndodhi ndërsa është ende e freskët: cili numër serial u anulua, nga kush, me çfarë arsye, cili zëvendësim u lëshua dhe kur u republikua CRL. Ai regjistrim është ai që bën të mundur rishikimin e radhës të anulimit, dhe është gjithashtu prova që gabimi u trajtua dhe nuk u fsheh.

Për pezullime të shkurtra në të ardhmen, përdorni një mekanizëm pauze pranimi nëse vendosja ka një të tillë — një llogari e çaktivizuar në shtresën e identitetit, një anëtarësi grupi e hequr, një profil klienti i mbajtur. Kjo e mban një vendim politikash të përkohshëm të ndarë nga pyetja nëse një certifikatë e lëshuar është ende e besueshme, dhe pikërisht ai dallim u humb herën e parë.