Inventari i certifikatave VPN: çfarë mund të provojë regjistri i CA
Një dosje në server, një regjistër CA, një listë anulimesh dhe një tabelë sesionesh përgjigjen pyetjeve të ndryshme. Mbajini të ndara kur inventarizoni identitetet VPN.
Porta juaj pranon një certifikatë klienti që nuk e ka parë kurrë, sepse ajo me të cilën është konfiguruar është një lëshues i besuar, dhe certifikata vjen gjatë shtrëngimit të duarve. Kështu duhet të funksionojë protokolli, dhe pikërisht për këtë një listë dosjeje në server është inventar i dobët. Lëshuesi e di çfarë krijoi, serveri e di çfarë u lidh, dhe gjendja e anulimit e di çfarë u tërhoq. Një inventar që përzien këto tre regjistra në fund pohon diçka që asnjëri prej tyre nuk e tha.
Porta i beson një lëshuesi, jo një liste skedarësh
Vërtetimi krahason një certifikatë të paraqitur me një spirancë besimi, kështu që një identitet i krijuar dje nga i njëjti lëshues lidhet pa ekzistuar kurrë në diskun e serverit. Për këtë nuk duhet kopjuar asgjë, dhe askush nuk duhet ta miratojë me dorë. Prandaj regjistrat e vetë serverit përshkruajnë ardhje, jo popullatën e identiteteve që mund të arrinin.
Hendeku i kundërt është po aq i pakëndshëm. Një dosje mund të përmbajë certifikata të skaduara, të anuluara dhe identitete të lëshuara për pajisje që nuk u vendosën kurrë. Numërimi i skedarëve përgjigjet sa skedarë ka, që është një pyetje që askush nuk e bëri. Filloni në vend të kësaj nga regjistrat që mbartin kuptim.
Katër pyetje, katër regjistra të ndryshëm
Çdo lloj regjistri i përgjigjet mirë një pyetjeje dhe keq të tjerave, prandaj një raport që i bashkon duket i plotë ndërsa është i gabuar në një mënyrë të caktuar. Tabela më poshtë i rendit sipas pyetjes që zgjidhin, jo sipas sistemit që i prodhon.
| Question you are answering | Where the answer lives | How quickly it changes | What it will never show |
|---|---|---|---|
| Was this identity ever created? | The issuer's issuance database | Only when something is issued | Whether the device still exists |
| Is a copy sitting on this host? | The paths you actually inspected | Whenever anyone copies files | Certificates that were never copied here |
| Has the issuer withdrawn it? | Published revocation state | When the issuer next publishes | Withdrawals that are not published yet |
| Is it connected right now? | The live session table | Continuously | Anything about past or future sessions |
Një arkiv i certifikatave publike nuk është sekret, pasi nuk përmban çelësa privatë, por as nuk është i ndashëm. Subjektet dhe emrat e pajisjeve zbulojnë detaje operative, dhe raporti duhet të mbetet me publikun që ka nevojë për të. Çelësat privatë mbeten plotësisht jashtë inventarit, sepse inventari ka nevojë për metadata, jo për kredenciale.
Lëshuesi dhe numri serial janë çelësi i vetëm i qëndrueshëm
Subjektet riciklohen dhe emrat e skedarëve ripërdoren, kështu që një emër që vitin e kaluar identifikonte një pajisje mund të identifikojë tani një tjetër. Asnjëri nuk është çelës, dhe një raport i ndërtuar mbi cilindo prej tyre në fund do të bashkojë dy identitete në një rresht.
Çifti lëshues dhe numër serial e identifikon certifikatën në mënyrë unike, dhe të dyja fushat vijnë nga vetë certifikata. Regjistrojini bashkë me subjektin, datat e vlefshmërisë, burimin nga i cili erdhi kopja dhe personin ose pajisjen përgjegjëse. Shtoni gjendjen e anulimit dhe të vendosjes si fusha të veçanta me kohët e tyre të vëzhgimit, sepse një certifikatë brenda dritares së vlefshmërisë nuk është automatikisht e autorizuar. Këto dy fakte jetojnë në sisteme të ndryshme, dhe bashkimi i tyre fsheh rastin kur një identitet u tërhoq ndërsa skedari i tij ende duket aktual.
Lexoni një certifikatë në një herë
Një karakter i egër që shtrihet në një dosje nuk është ndërfaqe grupi, dhe fsheh cili skedar prodhoi cilën dalje. Lexoni metadata për çdo certifikatë, dhe lexoni anën e anulimit nga artefakti i vet. Referenca e OpenSSL x509 rendit fushat që shtypin ato opsione.
openssl x509 -in <cert>.pem -noout -issuer -serial -subject -dates -fingerprint -sha256
openssl crl -in <issuer>.crl -noout -text | head -n 40Për një PKI Easy-RSA të menaxhuar, pyesni bazën e të dhënave të lëshimit përmes rrjedhës së punës që mbështet mjeti në vend që të supozoni një plan dosjesh, dhe mbajini origjinalet vetëm-lexim ndërsa inventari po montohet. Formati i regjistrit është mjaft i rregullt për të numëruar hyrjet e vlefshme dhe për të renditur ato të tërhequra pa e hapur bazën me dorë.
grep -c '^V' pki/index.txt
grep '^R' pki/index.txt | cut -f4,5Një inventar që i mbijeton lëshimit të radhës
Një shkarkim i njëhershëm i një dosjeje bëhet i vjetëruar në momentin kur lëshohet certifikata e radhës, prandaj ndërtoni raportin nga rrjedha e lëshimit dhe lërini të përditësohet si pjesë e funksionimit normal. Kjo e bën raportin edhe të riprodhueshëm, gjë që ka rëndësi kur dy njerëz nuk bien dakord për atë që u lëshua.
Përdorni rezultatin për vendime rinovimi dhe tërheqjeje dhe jo si ushtrim fletëllogaritëse. Fshirja e një kopjeje lokale nuk i zhvlerëson kopjet në distancë që ekzistojnë tashmë. Tërhiqni identitetin përmes rrjedhës së konfiguruar të anulimit dhe autorizimit, pastaj regjistroni tërheqjen me datën e saj. Një identitet që u zhduk nga serveri por që lëshuesi ende e beson nuk është tërhequr, dhe pikërisht ky ndryshim ndan një inventar të saktë nga një që thjesht qetëson.