Nebula блок-листа: дистрибуирајте је сами, светионик то неће

Примена блок-листе је својство домаћина који врши проверу, а не сертификата који се проверава. Машина која никада није учитала унос наставља да прихвата идентитет, и ништа у руковању вас не упозорава да се два партнера не слажу. Јефтино и скупо решење за један откривени креденцијал разликују се по домету и по могућности опозива, зато бирајте свесно. Одељци испод описују шта унос ради, где га треба доставити, када је ротација бољи одговор и како доказати да је једно од два функционисало.

Шта унос у блок-листи заиста ради

PKI конфигурација наводи отиске прстију које домаћин мора да одбије иако је сертификат ваљано потписан и није истекао. Примена се дешава локално, према листи коју је домаћин учитао при покретању услуге. Ништа од уноса не путује унутар сертификата, па партнер не може да сазна одлуку из креденцијала који му се показује. Зато светионик ту не игра никакву улогу: светионици помажу партнерима да пронађу једни друге и прослеђују саобраћај тамо где директна путања не успева. Они су слој откривања и прослеђивања, а не канал за дистрибуцију конфигурације.

Ажурирање једне машине мења одлуке те машине и оставља сваког другог партнера тачно онаквим какав је био. Партнер који верује потписном органу и никада није видео унос нема разлога да било шта одбије. Тестирање опозива посматрањем светионика зато ништа не доказује, јер компонента коју посматрате никада није затражено да примени листу.

Идентификујте сертификат, а не уређај

Користите отисак прста креденцијала који намеравате да одбијете, јер име домаћина, ознака уређаја или тренутна адреса данас означавају једну машину, а следећег месеца нешто друго. Ниједан од тих низова се не појављује у блок-листи и ниједан не преживљава поновну инсталацију. Одштампајте сертификат, прочитајте отисак прста и проверите да припада креденцијалу који се повлачи, а не његовој замени. Читање обе датотеке је важно када је замена већ издата, јер стари и нови сертификат могу делити име и разликовати се у сваком другом пољу.

Забележите који је отисак прста блокиран и када, да каснија ревизија раздвоји завршену измену од планиране. Приметите и шта унос не ради: не поништава потписни орган и не спречава да будући сертификат тог органа буде прихваћен. Блокирање сертификата домаћина и замена компромитованог органа су различите операције са различитим последицама.

nebula-cert print -path /etc/nebula/host.crt
pki:
  blocklist:
    - "a1b2c3d4e5f6"

Дистрибуирајте је као сваку другу конфигурацију

Третирајте листу као конфигурацију са механизмом достављања, а не као датотеку коју неко уређује када се сети. Пошаљите целу листу уместо делте, да домаћин који је пропустио претходно ажурирање конвергира уместо да гомила празнине. Nebula PKI документација препоручује управо то, и савет вреди пратити дословно, а не препричавати га у ручни процес.

Потврдите да је услуга која ради поново учитала садржај, а не само да се датотека на диску променила. Пратите које су машине примениле измену и држите листу неизвршених видљивом док не буде празна. Лаптоп затворен недељу дана је партнер који никада није сазнао одлуку, и може поново да се повеже са мреже коју нико није очекивао. Забележите начин достављања поред отиска прста, јер га следећи опозив поново користи, а на првом се процес отклања.

Блок-листа или ротација органа

Унос у блок-листи је узан: један идентитет престаје да ради и све остало се наставља. Ротација потписног органа је широка: сваки сертификат који је издао постаје неповерљив, и сваки домаћин захтева нови креденцијал и ново сидро поверења. Прво је циљани опозив, а друго је миграција, зато захтевају различита одобрења и различите прозоре одржавања. Табела ставља оба једно поред другог по домету, труду и могућности опозива.

Изгубљен лаптоп захтева блок-листу, јер је радијус штете један идентитет и измена је опозива ако сте блокирали погрешан отисак прста. Откривен кључ органа захтева ротацију, јер блок-листа не може да помогне са сертификатима који још нису издати. Између тих крајности, питајте да ли је откривени креденцијал могао да потпише још нешто, јер је орган више од једног домаћина.

Запишите одлуку пре инцидента, јер избор под притиском по правилу подразумевано даје широку опцију. Који год пут да изаберете, преостала радна ставка је иста: доказати да се примена догодила на домаћинима који су важни. Управо записивање отиска прста и датума у том тренутку омогућава доказ касније.

Проверите одбијање и остатак

Повежите се са блокираног идентитета и потврдите неуспех, затим се повежите са овлашћеног партнера и потврдите да он још увек достиже оно што му је потребно. Измена која поквари све није успешан опозив. Оба урадите из нових сесија, јер кеширано стање може да сакрије резултат.

Проверите да ли се успостављена сесија завршава после измене, и забележите понашање за своју верзију и конфигурацију уместо да претпоставите да уређивање датотеке било шта завршава. Опција disconnect_invalid покрива клијенте чији су сертификати истекли или неважећи, зато пре него што се ослоните на њу потврдите како се примењује у вашем случају. Ако је тренутно прекидање захтев, тестирајте га посебно и забележите шта сте приметили. Затим поновите тест после поновног покретања, јер домаћин који листу примењује само до следећег покретања има проблем са доставом који је први тест сакрио. Здрав светионик вам говори да откривање ради, а не да је било који партнер применио политику.