Umepoteza cheti cha mteja? Futa kwa nambari ya mfululizo, si kwa jina

Faili ya cheti cha mteja wako imetoweka, na mwitikio wa haraka ni kufuta jina na kutoa kipya. Mwitikio huo huacha cheti cha awali kikiwa halali, kwa sababu ufutaji hufanya kazi kwa nambari ya mfululizo na si kwa lebo. CA karibu kwa uhakika bado ina nakala ya kile ilichotoa, na kuipata nakala hiyo ndiyo kazi yote.

Kupoteza faili si kupoteza rekodi ya CA

PKI ya Easy-RSA huhifadhi vyeti vya umma ilivyotoa, na matoleo ya sasa pia huhifadhi nakala kwa mfululizo katika saraka ya certs_by_serial ya PKI. Ufunguo wa faragha hauhitajiki kufuta kitu chochote. Kilicho muhimu ni cheti hasa kilichosainiwa na CA, na CA tayari inacho.

Fanya kazi kwenye nakala rudufu ya PKI sahihi, pamoja na msimamizi anayeimiliki. Ufutaji ni operesheni inayoweza kukaguliwa, si ukarabati unaofanywa kwenye hifadhidata ya uzalishaji usiku wa manane.

Nakala ya cheti cha umma kilichopachikwa cha mteja inafanya kazi pia, ikiwa usambazaji ulihifadhi moja.

Kwanza soma mtoaji na mfululizo

Kagua PEM iliyorejeshwa na uandike mtoaji, nambari ya mfululizo, somo na kipindi cha uhalali. Nambari ya mfululizo ni ya kipekee ndani ya wigo wa mtoaji mmoja, si kati ya CA zote katika mazingira yako, kwa hivyo mtoaji ni sehemu ya utambulisho. Ikiwa vyeti kadhaa vinashiriki somo moja, ni mfululizo hizo zinazovitofautisha.

Linganisha thamani na rekodi za CA na kifaa au mtu unayedhani anacho cheti.

Jina la kawaida linaweza kutumika tena, na kwa kawaida hufanywa hivyo. Usiamue vyeti vipi vya kuondoa kabla mfululizo haujaandikwa.

Kwa nini kufuta cheti kipya hakufanyi chochote

Kutoa mbadala kwa jina la kawaida sawa huunda cheti cha pili chenye mfululizo tofauti. Kufuta mbadala huondoa kipya na kuacha cha awali kikiwa halali hadi kiishe. Kwa mtazamo wa CA hivi ni vitu viwili huru, na CRL huorodhesha mfululizo na si majina. Kielezo cha CA huhifadhi mstari mmoja kwa kila cheti kilichotolewa kwa sababu hiyo hiyo.

Mkanganyiko huo huo huzaa kosa la kinyume: kufuta faili ya mteja na kudhani CA ilisahau. Kufuta kwa mteja si tukio la ufutaji, na cheti kinaendelea kufanya kazi kwa yeyote aliye na nakala.

Makosa yote mawili yanatoka katika kuchukulia jina kama utambulisho.

Futa cheti kinachotajwa na mfululizo

Tambua kitu kabla ya kugusa CA: openssl x509 -in recovered-client.pem -noout -issuer -serial -subject -dates huchapisha thamani nne kwa mpito mmoja, na mfululizo ni kile unacholinganisha na kumbukumbu ya CA. Easy-RSA huhifadhi kumbukumbu hiyo chini ya pki/certs_by_serial, na faili moja kwa kila mfululizo. Amri ya ufutaji huchukua jina la kawaida na si mfululizo, kwa hivyo nakili faili iliyohifadhiwa hadi pki/issued/<common-name>.crt na uache jina lieleke kwenye kitu ulichokitambua. Endesha easyrsa revoke <common-name> kutoka saraka ya PKI, kisha angalia kama mstari unaolingana katika index.txt umebadilika kuwa R. Mfululizo ni njia ya kuchagua kitu, si hoja ambayo amri inakubali.

openssl x509 -in recovered-client.pem -noout -issuer -serial -subject -dates
cp pki/certs_by_serial/A1B2C3D4.pem pki/issued/client-01.crt
./easyrsa revoke client-01
grep -n client-01 pki/index.txt
./easyrsa gen-crl

Ikiwa index.txt haionyeshi R, simama na usome hitilafu kabla ya kuzalisha CRL, kwa sababu CRL iliyojengwa kutoka rekodi ambayo bado ni halali haiondoi chochote. Ni baada ya mstari kubadilika tu unapoendesha easyrsa gen-crl na kuendelea na usambazaji wa faili.

Chapisha CRL mahali inapotekelezwa kwa kweli

Zalisha CRL mpya kupitia mtiririko wa kazi unaoungwa mkono wa PKI, kisha uichapishe kwa kila kithibitishaji kinachotekeleza ufutaji wa mtoaji huyu.

Faili iliyosasishwa iliyokaa kwenye CA haibadilishi chochote, kwa sababu VPN humaliza uamuzi kwenye kithibitishaji chake. Kagua mtoaji wa CRL, kipindi cha uhalali na mfululizo zilizofutwa, na uthibitishe kuwa huduma inapakia faili upya badala ya kuhifadhi ya awali kwenye akiba. Umiliki na njia ni muhimu kama yaliyomo: CRL ambayo daemon haiwezi kuisoma haitofautiani na kutokuwepo kwa CRL. Chaguo la crl-verify la OpenVPN hutaja faili ambayo daemon husoma, kwa hivyo kagua njia hiyo na umiliki wa faili katika usanidi wa seva.

Thibitisha kwa jaribio halisi la muunganisho, si kwa muhuri wa muda wa faili.

Jua ni lini CRL ni chombo kisichofaa

Ikiwa ufunguo wa faragha wa mtoaji hautumiki tena, kuondoa mfululizo zinazojulikana hakuwezi kumzuia mwenye ruhusa asiyeidhinishwa kusaini vyeti vipya. Hiyo ni mabadiliko ya uaminifu wa mtoaji, yaani CA mpya na mpango wa usambazaji, si ingizo lingine katika CRL. Ukweli kwamba msimamizi wa zamani alikuwa na ufikiaji si uthibitisho wa matumizi mabaya ya ufunguo, kwa hivyo pata ukweli kabla ya kujenga upya uaminifu.

Kuhariri hifadhidata ya utoaji kwa mkono ili kupindua herufi ya hali si mbadala wa ufutaji uliosainiwa, na huiacha CRL isiyolingana na rekodi.

Hifadhi mfululizo, CRL na hatua ya usambazaji katika noti moja, na ukaguzi unaofuata utakuwa zoezi la kusoma. Mradi wa Easy-RSA huandika amri zinazoungwa mkono kwa toleo ulilosakinisha, na hii ndiyo kiolesura pekee kinachostahili kufuatwa.