Kubatilisha vyeti kunashindikana: mwenyeji gani hawezi kufikia nini

Vyeti vinaweza kuwa ndani ya kipindi cha uhalali huku VPN bado ikiripoti hitilafu ya uthibitishaji, na mtu akahitimisha kuwa cheti kimebatilishwa. Hizo ni hoja tatu tofauti. Data ya ubatilishaji lazima ichukuliwe na kifaa kinachofanya uthibitishaji, kutoka sehemu ya uchapishaji iliyotajwa ndani ya cheti chenyewe. Kifaa hicho kinaposhindwa kufikia sehemu hiyo, ukaguzi unashindikana kwa sababu zisizohusiana na hali ya cheti.

Mthibitishaji anamiliki njia ya upataji

Anza kwa kutambua mthibitishaji. Kompyuta mpakato inapokagua cheti cha lango, ni kompyuta hiyo inayochukua data; lango linapokagua cheti cha mteja, ni lango linalofanya hivyo. Huduma ya uthibitishaji ya nyuma inaweza kuongeza mthibitishaji wa tatu mwenye nafasi yake ya mtandao. Kila mmoja ana njia tofauti ya kufikia intaneti na usanidi tofauti wa proksi. Ushahidi uliokusanywa kwenye kituo cha kazi cha msimamizi hausemi chochote kuhusu seva iliyo ndani ya DMZ.

Andika cheti, mthibitishaji, muda wa jaribio na msimbo kamili wa hali kabla ya kubadilisha chochote.

Soma sehemu ya uchapishaji kutoka kwenye cheti

Cheti hutaja mahali hali yake ilipo. Soma sehemu hizo badala ya kukisia anwani ya CA.

openssl x509 -in gateway.cer -noout -text | grep -A3 "CRL Distribution Points"
openssl x509 -in gateway.cer -noout -text | grep -A2 "Authority Information Access"

Kiendelezi cha kwanza kinaorodhesha sehemu za usambazaji za CRL, na cha pili kinaorodhesha mbinu za ufikiaji wa taarifa za mtoaji, ambazo zinaweza kuhusisha hali ya OCSP na upataji wa cheti cha mtoaji. Hizo ni mbinu tofauti, na kijibu OCSP si faili ya CRL. Mwenyeji wa uchapishaji mara nyingi ni seva ya kawaida ya wavuti na si mashine ya CA, kwa sababu mtoaji aliye nje ya mtandao anaweza kusaini CRL ambayo seva nyingine inasambaza. Kwa hiyo kanuni ya firewall inayoelezwa kama ufikiaji wa CA ni pana mno kuitekeleza au kuipitia.

Jaribu upataji kutoka kwenye kifaa kinachothibitisha

Endesha jaribio la upataji katika mazingira yanayofanya uthibitishaji halisi, ukiwa na nyenzo za cheti zilizoidhinishwa na bila funguo za faragha.

certutil -urlfetch -verify .\client-test.cer
curl -sS -o /dev/null -w "%{http_code}\n" http://crl.example.com/ca.crl

Uendeshaji wa certutil huthibitisha mnyororo na kuripoti upataji wa URL uliofaulu au kushindikana, wakati wito wa curl hujaribu anwani moja ya uchapishaji kutoka kwenye mwenyeji huyo na kurudisha msimbo wa hali pekee. Upataji ulioshindikana kutoka anwani inayofikika unaonyesha matatizo ya maudhui au sahihi; hitilafu ya muunganisho inaonyesha uelekezaji, DNS au proksi. Hifadhi matokeo yote mawili, kwa sababu upataji mmoja uliofaulu hauthibitishi kwamba mnyororo wote unatumika. Badilisha mwenyeji na njia ya mfano kwa sehemu ya usambazaji iliyopatikana kwenye cheti.

Tenganisha data inayokosekana na hali ya kubatilishwa

Matokeo manne yanaonekana sawa kwa nje: sehemu haifikiki, orodha ni ya zamani, orodha imesainiwa na mtoaji asiye sahihi, au cheti kimebatilishwa kweli. Ya mwisho pekee ni matokeo ya hali, na ni hiyo pekee inayohalalisha kuondoa ufikiaji. Uhifadhi wa akiba unazidisha ugumu wa picha, kwa sababu data iliyochukuliwa awali inaweza kuficha njia ya uchapishaji iliyovunjika hadi usasishaji unaofuata. Kuzima ukaguzi wa ubatilishaji, kufuta vyeti visivyohusiana au kuwasha upya lango vyote hubadilisha uchunguzi kwa shughuli.

Baada ya marekebisho, lazima uthibitishaji mpya ufanyike na uthibitishe kuwa upataji wa hali uliokusudiwa unafaulu. Pale utambulisho wa jaribio unaodhibitiwa upo, uthibitishe kuwa bado unakataliwa, kwa sababu upatikanaji unaoondoa ukaguzi si marekebisho.