Попис VPN сертификата: шта регистар CA може да докаже
Фасцикла на серверу, регистар CA, листа опозива и табела сесија одговарају на различита питања. Држите их одвојено када пописујете VPN идентитете.
Ваш пролаз прихвата клијентски сертификат који никада није видео, јер је оно чиме је конфигурисан поуздан издавалац, а сертификат стиже током руковања. Тако протокол треба да ради, и управо зато је списак фасцикле на серверу лош попис. Издавалац зна шта је створио, сервер зна шта се повезало, а стање опозива зна шта је повучено. Попис који меша та три записа на крају тврди нешто што ниједан од њих није рекао.
Мрежни пролаз верује издаваоцу, а не списку датотека
Валидација пореди представљени сертификат са сидром поверења, тако да се идентитет који је исти издавалац створио јуче повезује без тога да је икада постојао на диску сервера. За то није потребно ништа копирати и нико то не мора ручно да одобри. Зато сопствени записи сервера описују доласке, а не популацију идентитета који би могли да дођу.
Обрнута празнина је једнако непријатна. Фасцикла може да садржи истекле сертификате, опозване и идентитете издате за уређаје који никада нису били распоређени. Бројање датотека одговара на то колико датотека постоји, а то је питање које нико није поставио. Почните уместо тога од записа који носе значење.
Четири питања, четири различита записа
Сваки тип записа добро одговара на једно питање, а лоше на остала, зато извештај који их спаја изгледа потпун, иако је на посебан начин погрешан. Табела испод их поређа по питању које решавају, а не по систему који их ствара.
| Question you are answering | Where the answer lives | How quickly it changes | What it will never show |
|---|---|---|---|
| Was this identity ever created? | The issuer's issuance database | Only when something is issued | Whether the device still exists |
| Is a copy sitting on this host? | The paths you actually inspected | Whenever anyone copies files | Certificates that were never copied here |
| Has the issuer withdrawn it? | Published revocation state | When the issuer next publishes | Withdrawals that are not published yet |
| Is it connected right now? | The live session table | Continuously | Anything about past or future sessions |
Архива јавних сертификата није тајна, јер не садржи приватне кључеве, али није ни за дељење. Субјекти и називи уређаја откривају оперативне детаље, и извештај треба да остане код публике којој је потребан. Приватни кључеви остају потпуно изван пописа, јер попису требају метаподаци, а не акредитиви.
Издавалац и серијски број су једини стабилан кључ
Субјекти се рециклирају, а називи датотека поново користе, тако да назив који је прошле године означавао један уређај сада може да означава други. Ниједно од тога није кључ, и извештај изграђен на било ком од њих на крају ће спојити два идентитета у један ред.
Пар издавалац и серијски број јединствено идентификује сертификат, и оба поља долазе из самог сертификата. Запишите их са субјектом, датумима важности, извором из којег је копија дошла и одговорним лицем или уређајем. Додајте стање опозива и распоређивања као одвојена поља са сопственим временима посматрања, јер сертификат унутар свог прозора важности није аутоматски овлашћен. Ове две чињенице живе у различитим системима, а њихово спајање крије случај када је идентитет повучен док његова датотека још изгледа актуелно.
Читајте по један сертификат
Џокер знак који се шири кроз фасциклу није пакетни интерфејс и крије која је датотека дала који излаз. Читајте метаподатке по сертификату, а страну опозива читајте из његовог сопственог артефакта. Упутство за OpenSSL x509 наводи поља која те опције штампају.
openssl x509 -in <cert>.pem -noout -issuer -serial -subject -dates -fingerprint -sha256
openssl crl -in <issuer>.crl -noout -text | head -n 40За управљани Easy-RSA PKI, питајте базу података о издавању кроз радни ток који алат подржава уместо да претпостављате распоред фасцикли, и држите оригинале само за читање док се попис саставља. Формат регистра је довољно правилан да се изброје важећи уноси и наведу повучени без ручног отварања базе.
grep -c '^V' pki/index.txt
grep '^R' pki/index.txt | cut -f4,5Попис који преживи следеће издавање
Једнократно избацивање фасцикле застарева у тренутку када се изда следећи сертификат, зато градите извештај из радног тока издавања и допустите му да се ажурира као део нормалног рада. То чини извештај и репродуктивним, што је важно када се двоје људи не слажу око тога шта је издато.
Користите резултат за одлуке о обнављању и повлачењу из употребе, а не као вежбу са табелом. Брисање локалне копије не поништава удаљене копије које већ постоје. Повуците идентитет кроз конфигурисани радни ток опозива и ауторизације, затим запишите повлачење са његовим датумом. Идентитет који је нестао са сервера, али му издавалац још верује, није повучен из употребе, и управо та разлика раздваја тачан попис од оног који само смирује.