Ulibatilisha cheti kisichofaa cha VPN? Chaguo za urejeshaji na mipaka

Mtu fulani alibatilisha cheti kwenye konsoli ya CA na sasa mtumiaji hawezi kuunganisha. Msukumo wa kwanza ni kutafuta ubatilishaji, na katika PKI nyingi hakuna: ubatilishaji ni ukweli uliotamkwa kuhusu namba ya mfululizo, na njia ya kurudi inayoungwa mkono ni cheti kipya, si rekodi iliyopinduliwa. Pitia ukaguzi ulio hapa chini kwa mpangilio, kwa sababu urekebishaji unaoruhusiwa unategemea msimbo wa sababu na kama ufunguo uliwahi kufichuliwa.

Tambua cheti, si mtu

Majina ya kawaida hurudiwa. Mtumiaji aliyejiandikisha upya robo iliyopita anaweza kuwa na vyeti viwili vyenye CN sawa na namba za mfululizo tofauti, na kubatilisha kimoja huacha kingine kikifanya kazi. Kwanza bainisha kitu kamili:

openssl x509 -in client.crt -noout -serial -issuer -subject -dates
openssl crl -in ca.crl -noout -text | head -40

Andika namba ya mfululizo, mtoaji, tarehe ya ubatilishaji na sababu iliyorekodiwa kwenye CRL. Kisha thibitisha ni vifaa gani vinavyowasilisha namba hiyo ya mfululizo, kwa sababu cheti kilichobatilishwa kinaweza bado kuwa kimesakinishwa kwenye kompyuta mpakato, simu na ruta ya akiba, na badiliko linalofikia kimoja tu huleta tukio la pili.

Ukaguzi wa haraka wa tabia huthibitisha hali bila kubadilisha chochote:

openssl verify -crl_check -CAfile ca.crt -CRLfile ca.crl client.crt

Ikiwa itaripoti cheti kama kilichobatilishwa, CRL na mteja wanakubaliana; ikiwa itathibitika safi, mteja uliyo naye si ule uliobatilishwa, na utafutaji unaendelea.

Angalia kama CA ilitumia kusimamisha au ubatilishaji wa kudumu

RFC 5280 inafafanua certificateHold kama hali ya muda, na removeFromCRL kama ishara inayoiruhusu. Mzunguko huo wa maisha ni wa kweli, lakini si kitufe cha jumla cha kutendua. Kusoma msimbo wa sababu kunakuambia kama mtoaji aliwahi kuwa na nia ya kuunga mkono uachiliaji.

Mtego ni kudhani nia ya muda inamaanisha rekodi ya muda. Ikiwa ingizo la CA limebeba keyCompromise au cessationOfOperation, cheti kimebatilishwa kabisa, bila kujali mtu aliyebonyeza kitufe alikusudia nini. Kinyume chake, ingizo lililowekwa alama certificateHold kwenye CA isiyotekeleza uachiliaji wa kusimamisha ni la kudumu kivitendo, kwa sababu hakuna kitakachowahi kuchapisha uachiliaji.

CA zinazotegemea OpenSSL zinaonyesha mpaka. Amri ya ca inakubali thamani za -crl_reason, ikiwa ni pamoja na certificateHold na removeFromCRL, lakini haizalishi CRL za delta — nyaraka za OpenSSL CA zinataja mpaka huo kwa matokeo yake ya CRL. CRL kamili inayoacha tu namba ya mfululizo ni mtindo tofauti wa uchapishaji kuliko delta inayosema "ingizo hili limeachiliwa", kwa hivyo kubandika removeFromCRL kwenye CA VPN inayotegemea OpenSSL hakutoi uachiliaji uliofafanuliwa na viwango.

Ikiwa ufunguo unaweza kuwa ulifichuliwa, ubadilishe

Cheti kilichobatilishwa ni tamko kwamba ufunguo huu hauwezi kuaminiwa tena. Ikiwa ubatilishaji ulikuwa sahihi kwa msingi — kompyuta mpakato ilipotea, ufunguo ulinakiliwa kwenye diski inayoshirikiwa, ufunguo wa faragha ulibandikwa kwenye tiketi — kurejesha cheti hicho hicho kunapindua uamuzi wa usalama uliokuwa ukifanya kazi kama ilivyokusudiwa.

Toa jozi mpya ya funguo kupitia mchakato wa usajili, sambaza wasifu mpya, na uache namba ya zamani ya mfululizo imebatilishwa kwa muda wake wote. Sasisha kila kitu kinachobana utambulisho kwa namba ya mfululizo au alama ya vidole, ikiwa ni pamoja na orodha za uandikishaji, hesabu za vifaa na ufuatiliaji unaotarajia cheti mahususi.

Hoja ya urahisi ya kurejesha cha zamani ni ya kweli, lakini inapaswa kujibiwa waziwazi, si kwa kimya. "Mtumiaji anahitaji ufikiaji leo" ni sababu ya kuharakisha utoaji, si sababu ya kutengua ubatilishaji wa ufunguo ambao hauwezi kutoa hesabu yake.

Ikiwa lilikuwa kosa la kiutawala, badilisha chini ya udhibiti

Wakati ubatilishaji ulikuwa tu wa makosa na ufunguo haukuwahi kufichuliwa, urekebishaji bado ni badiliko linalodhibitiwa na si uhariri. Tumia mchakato unaoungwa mkono wa mtoaji, weka namba ya mfululizo na historia ya utoaji bila kuharibiwa, na epuka njia mbili za mkato zinazovutia: kupindua herufi ya hali kwenye index.txt kutoka R kurudi V, na kufuta safu ya utoaji ili cheti kipya kiweze kutumia tena namba ya mfululizo.

Kwenye CA ya OpenSSL hifadhidata imetenganishwa kwa tabo na ni rahisi kuisoma vibaya, jambo linalofanya uhariri wa mkono uvutie:

awk -F'\t' '$1=="R" {print $4, $3, $6}' index.txt

Isome, usiiandike. Kuhariri faili hubadilisha CRL inayofuata bila alama yoyote ya ukaguzi, na mfano wowote wa pili wa CA au nakala rudufu ambao bado unashikilia safu ya awali utakubali kutokubaliana nao baadaye.

Baada ya kutoa badiliko, chapisha CRL mpya kupitia utaratibu wa kawaida na uwaache wateja kuichukua. Kuondoa CRL, kufupisha maisha yake hadi hakuna au kuzima ukaguzi wa ubatilishaji kwenye wasifu wa mteja hurekebisha mtumiaji mmoja kwa kudhoofisha kila ubatilishaji mwingine ambao CA ilishawahi kuchapisha.

Thibitisha uandikishaji mpya na uhifadhi rekodi

Jaribu kwa muunganisho mpya, si kikao kilichokuwa wazi tayari. Handaki hai inaweza kutotekeleza tena ukaguzi wa uandikishaji ambao handshake mpya hufanya, na akiba za CRL zinamaanisha mteja anaweza kuendelea kuunganisha hadi ahuishwe. Tenganisha, unganisha tena, na uthibitishe kwenye kumbukumbu ya seva ni namba gani ya mfululizo ilikubaliwa.

Rekodi kilichotokea wakati bado ni kipya: ni namba gani ya mfululizo ilibatilishwa, na nani, kwa sababu gani, ni badiliko gani lilitolewa, na CRL ilichapishwa tena lini. Rekodi hiyo ndiyo inayowezesha ukaguzi ujao wa ubatilishaji, na pia ni ushahidi kwamba kosa lilishughulikiwa badala ya kufichwa.

Kwa kusimamisha kwa muda mfupi siku zijazo, tumia utaratibu wa kutua uandikishaji ikiwa usambazaji unayo — akaunti iliyezimwa kwenye tabaka la utambulisho, uanachama wa kikundi ulioondolewa, wasifu wa mteja uliozuiliwa. Hiyo hutenganisha uamuzi wa sera wa muda na swali la kama cheti kilichotolewa bado kinaaminika, na tofauti hiyo ndiyo iliyopotea mara ya kwanza.