Orodha ya vyeti vya VPN: kile rejista ya CA inaweza kuthibitisha
Folda kwenye seva, rejista ya CA, orodha ya ubatilishaji na jedwali la vipindi hujibu maswali tofauti. Vitenganishe unapoorodhesha vitambulisho vya VPN.
Lango lako hukubali cheti cha mteja ambacho hakijawahi kuona, kwa sababu kile kilichosanidiwa ni mtoaji anayeaminika, na cheti hicho hufika wakati wa kupeana mikono. Itifaki inapaswa kufanya kazi hivyo, na ndiyo sababu orodha ya folda kwenye seva ni orodha dhaifu. Mtoaji anajua alichounda, seva inajua kilichounganishwa, na hali ya ubatilishaji inajua kilichorejeshwa. Orodha inayochanganya kumbukumbu hizo tatu hatimaye hudai kitu ambacho hakuna hata mmoja aliyesema.
Lango huamini mtoaji, si orodha ya faili
Uthibitishaji hulinganisha cheti kilichowasilishwa na nanga ya uaminifu, kwa hiyo utambulisho ulioundwa jana na mtoaji huyo huyo huunganishwa bila kuwa umewahi kuwepo kwenye diski ya seva. Hakuna kinachohitaji kunakiliwa ili hilo litokee, na hakuna mtu anayepaswa kuliidhinisha kwa mkono. Kwa hiyo kumbukumbu za seva yenyewe zinaeleza mifiko, si idadi ya vitambulisho vinavyoweza kufika.
Pengo la kinyume ni lenye usumbufu sawa. Folda inaweza kuwa na vyeti vilivyoisha muda, vilivyobatilishwa na vitambulisho vilivyotolewa kwa vifaa ambavyo havikuwahi kusambazwa. Kuhesabu faili hujibu ni faili ngapi zilizopo, ambayo ni swali ambalo hakuna mtu aliuliza. Badala yake anza na kumbukumbu zenye maana.
Maswali manne, kumbukumbu nne tofauti
Kila aina ya kumbukumbu hujibu swali moja vizuri na mengine vibaya, ndiyo sababu ripoti inayozichanganya huonekana kamili ilhali si sahihi kwa namna maalum. Jedwali lililo hapa chini huzipanga kwa swali linalozitatua, si kwa mfumo unaozalisha.
| Question you are answering | Where the answer lives | How quickly it changes | What it will never show |
|---|---|---|---|
| Was this identity ever created? | The issuer's issuance database | Only when something is issued | Whether the device still exists |
| Is a copy sitting on this host? | The paths you actually inspected | Whenever anyone copies files | Certificates that were never copied here |
| Has the issuer withdrawn it? | Published revocation state | When the issuer next publishes | Withdrawals that are not published yet |
| Is it connected right now? | The live session table | Continuously | Anything about past or future sessions |
Hifadhi ya vyeti vya umma si siri, kwa kuwa haina funguo za faragha, lakini pia haiwezi kushirikiwa. Masomo na majina ya vifaa hufichua maelezo ya uendeshaji, na ripoti inapaswa kubaki kwa hadhira inayohitaji. Funguo za faragha hubaki nje kabisa ya orodha, kwa sababu orodha inahitaji metadata, si vitambulisho vya kuingia.
Mtoaji na namba ya mfululizo ni ufunguo pekee thabiti
Masomo hurejeshwa kutumika na majina ya faili hutumika tena, kwa hiyo jina lililomtambulisha kifaa kimoja mwaka jana linaweza sasa kumtambulisha mwingine. Hakuna hata moja lililo ufunguo, na ripoti iliyojengwa kwa lolote kati yao hatimaye itaunganisha vitambulisho viwili kwenye mstari mmoja.
Jozi ya mtoaji na namba ya mfululizo hutambulisha cheti kwa namna ya kipekee, na sehemu zote mbili zinatoka kwenye cheti chenyewe. Zirekodi pamoja na somo, tarehe za uhalali, chanzo ambacho nakala ilitoka, na mtu au kifaa kinachohusika. Ongeza hali ya ubatilishaji na usambazaji kama sehemu tofauti na nyakati zao za uchunguzi, kwa sababu cheti kilicho ndani ya dirisha la uhalali wake si kimeidhinishwa kiotomatiki. Mambo haya mawili yanaishi katika mifumo tofauti, na kuyachanganya huficha kisa ambacho utambulisho ulirejeshwa wakati faili yake bado inaonekana kuwa ya sasa.
Soma cheti kimoja kwa wakati mmoja
Herufi ya jokari inayoenea kwenye folda si kiolesura cha kundi, na huficha faili gani lilitoa matokeo gani. Soma metadata kwa kila cheti, na soma upande wa ubatilishaji kutoka kwenye kifaa chake chenyewe. Rejea ya OpenSSL x509 huorodhesha sehemu ambazo chaguo hizo huchapisha.
openssl x509 -in <cert>.pem -noout -issuer -serial -subject -dates -fingerprint -sha256
openssl crl -in <issuer>.crl -noout -text | head -n 40Kwa PKI ya Easy-RSA inayosimamiwa, uliza hifadhidata ya utoaji kupitia mtiririko wa kazi unaoungwa mkono na chombo badala ya kudhani mpangilio wa folda, na uweke asili hizo kwa kusoma tu wakati orodha inakusanywa. Muundo wa rejista ni wa kawaida vya kutosha kuhesabu maingizo halali na kuorodhesha yaliyorejeshwa bila kufungua hifadhidata kwa mkono.
grep -c '^V' pki/index.txt
grep '^R' pki/index.txt | cut -f4,5Orodha inayostahimili utoaji unaofuata
Utupaji wa mara moja wa folda huwa wa kizamani wakati cheti kinachofuata kinapotolewa, kwa hiyo jenga ripoti kutoka kwenye mtiririko wa utoaji na uiruhusu kusasishwa kama sehemu ya utendaji wa kawaida. Hii pia huifanya ripoti iweze kuzalishwa tena, jambo ambalo ni muhimu wakati watu wawili hawakubaliani kuhusu kile kilichotolewa.
Tumia matokeo kwa maamuzi ya uhuishaji upya na kustaafu badala ya kama zoezi la lahajedwali. Kufuta nakala ya ndani hakubatilishi nakala za mbali ambazo tayari zipo. Rejesha utambulisho kupitia mtiririko wa ubatilishaji na uidhinishaji uliosanidiwa, kisha rekodi urejeshwaji pamoja na tarehe yake. Utambulisho uliopotea kutoka kwenye seva lakini mtoaji bado anauamini haujaondolewa, na tofauti hiyo hutenganisha orodha sahihi na ile inayotuliza tu.