கிளையண்ட் சான்றிதழை இழந்தீர்களா? பெயரால் அல்ல, வரிசை எண்ணால் ரத்துசெய்யுங்கள்

உங்கள் கிளையண்டின் சான்றிதழ் கோப்பு மறைந்துவிட்டது, உடனடி எதிர்வினை பெயரை ரத்துசெய்து புதிதாக வழங்குவது. அந்த எதிர்வினை அசல் சான்றிதழை செல்லுபடியாகவே வைத்திருக்கும், ஏனெனில் ரத்துசெய்தல் லேபிளின் அடிப்படையில் அல்ல, வரிசை எண்ணின் அடிப்படையில் செயல்படுகிறது. CA தான் வழங்கியதன் நகலை கிட்டத்தட்ட நிச்சயமாக இன்னும் வைத்திருக்கிறது, அந்த நகலைக் கண்டறிவதே முழுப் பணி.

கோப்பை இழப்பது CA பதிவை இழப்பது அல்ல

Easy-RSA PKI தான் வழங்கிய பொது சான்றிதழ்களை வைத்திருக்கிறது, தற்போதைய பதிப்புகள் PKI இன் certs_by_serial கோப்பகத்தில் வரிசை வாரியாக நகல்களையும் சேமிக்கின்றன. எதையும் ரத்துசெய்ய தனிப்பட்ட திறவுகோல் தேவையில்லை. முக்கியமானது CA கையொப்பமிட்ட சரியான சான்றிதழ், அது CA விடம் ஏற்கனவே உள்ளது.

சரியான PKI இன் காப்புநகலில், அதைச் சொந்தமாக்கியுள்ள நிர்வாகியுடன் சேர்ந்து வேலை செய்யுங்கள். ரத்துசெய்தல் தணிக்கை செய்யக்கூடிய செயல்பாடு, நள்ளிரவில் உற்பத்தி தரவுத்தளத்தில் செய்யும் பழுது அல்ல.

கிளையண்டின் உள்ளமைந்த பொது சான்றிதழின் நகலும் வேலை செய்யும், வரிசைப்படுத்தல் ஒன்றை வைத்திருந்தால்.

முதலில் வழங்குநர் மற்றும் வரிசையைப் படியுங்கள்

மீட்டெடுக்கப்பட்ட PEM ஐ ஆய்வுசெய்து வழங்குநர், வரிசை எண், பொருள் மற்றும் செல்லுபடியாகும் காலத்தை எழுதுங்கள். வரிசை எண் ஒரு வழங்குநரின் எல்லைக்குள் தனித்துவமானது, உங்கள் சூழலின் அனைத்து CA களிலும் அல்ல, எனவே வழங்குநர் அடையாளத்தின் பகுதி. பல சான்றிதழ்கள் ஒரே பொருளைப் பகிர்ந்தால், அவற்றை வேறுபடுத்துவது அந்த வரிசைகளே.

மதிப்புகளை CA இன் பதிவுகளுடனும், சான்றிதழ் வைத்திருப்பதாக நீங்கள் நம்பும் சாதனம் அல்லது நபருடனும் பொருத்துங்கள்.

பொதுவான பெயரை மீண்டும் பயன்படுத்தலாம், வழக்கமாக அப்படியே செய்யப்படுகிறது. வரிசைகள் எழுதப்படும் வரை எந்த சான்றிதழ்களை திரும்பப் பெறுவது என்று முடிவு செய்யாதீர்கள்.

புதிய சான்றிதழை ரத்துசெய்வது ஏன் எதையும் செய்யவில்லை

அதே பொதுவான பெயரில் மாற்றை வழங்குவது வேறு வரிசையுடன் இரண்டாவது சான்றிதழை உருவாக்குகிறது. மாற்றை ரத்துசெய்வது புதியதை திரும்பப் பெறுகிறது, அசல் அதன் காலாவதி வரை செல்லுபடியாகவே இருக்கும். CA இன் பார்வையில் இவை இரண்டு சுயாதீனப் பொருட்கள், CRL பெயர்களை அல்ல, வரிசைகளைப் பட்டியலிடுகிறது. CA குறியீட்டு அட்டவணை வழங்கப்பட்ட ஒவ்வொரு சான்றிதழுக்கும் ஒரு வரிசையை வைத்திருப்பது அதே காரணத்திற்காகத்தான்.

அதே குழப்பம் எதிர்மறை தவறை உருவாக்குகிறது: கிளையண்டின் கோப்பை நீக்கி, CA அதை மறந்துவிட்டது என்று கருதுவது. கிளையண்டில் நீக்குவது ரத்துசெய்தல் நிகழ்வு அல்ல, நகல் வைத்திருக்கும் எவருக்கும் சான்றிதழ் தொடர்ந்து வேலை செய்யும்.

இரண்டு தவறுகளும் பெயரை அடையாளமாகக் கருதுவதிலிருந்து வருகின்றன.

வரிசை பெயரிடும் சான்றிதழை ரத்துசெய்யுங்கள்

CA ஐத் தொடுவதற்கு முன் பொருளை அடையாளம் காணுங்கள்: openssl x509 -in recovered-client.pem -noout -issuer -serial -subject -dates நான்கு மதிப்புகளையும் ஒரே பாஸில் அச்சிடுகிறது, CA காப்பகத்துடன் நீங்கள் பொருத்துவது வரிசையே. Easy-RSA அந்தக் காப்பகத்தை pki/certs_by_serial கீழ் வைத்திருக்கிறது, ஒவ்வொரு வரிசையின் பெயரில் ஒரு கோப்பு. ரத்துசெய்தல் கட்டளை வரிசையை அல்ல, பொதுவான பெயரை ஏற்றுக்கொள்கிறது, எனவே காப்பகப்படுத்தப்பட்ட கோப்பை pki/issued/<common-name>.crt க்கு நகலெடுத்து, பெயர் நீங்கள் அடையாளம் கண்ட பொருளைச் சுட்டட்டும். PKI கோப்பகத்திலிருந்து easyrsa revoke <common-name> இயக்கி, பிறகு index.txt இல் உள்ள தொடர்புடைய வரி R ஆக மாறியுள்ளதா எனப் பாருங்கள். வரிசை பொருளைத் தேர்ந்தெடுக்கும் வழி, கட்டளை ஏற்கும் வாதம் அல்ல.

openssl x509 -in recovered-client.pem -noout -issuer -serial -subject -dates
cp pki/certs_by_serial/A1B2C3D4.pem pki/issued/client-01.crt
./easyrsa revoke client-01
grep -n client-01 pki/index.txt
./easyrsa gen-crl

index.txt R காட்டவில்லை என்றால், நிறுத்தி CRL உருவாக்குவதற்கு முன் பிழையைப் படியுங்கள், ஏனெனில் இன்னும் செல்லுபடியாகும் பதிவிலிருந்து கட்டப்பட்ட CRL எதையும் திரும்பப் பெறாது. வரி மாறிய பிறகே நீங்கள் easyrsa gen-crl இயக்கி கோப்பு விநியோகத்திற்குச் செல்வீர்கள்.

CRL உண்மையில் அமல்படுத்தப்படும் இடத்தில் வெளியிடுங்கள்

PKI இன் ஆதரிக்கப்பட்ட பணிப்பாய்வு மூலம் புதிய CRL ஐ உருவாக்கி, இந்த வழங்குநரின் ரத்துசெய்தல்களை அமல்படுத்தும் ஒவ்வொரு சரிபார்ப்பாளருக்கும் வெளியிடுங்கள்.

CA மீது கிடக்கும் புதுப்பிக்கப்பட்ட கோப்பு எதையும் மாற்றாது, ஏனெனில் VPN அதன் சொந்த சரிபார்ப்பாளரிடம் முடிவை நிறைவு செய்கிறது. CRL இன் வழங்குநர், செல்லுபடியாகும் காலம் மற்றும் ரத்துசெய்யப்பட்ட வரிசைகளைச் சரிபார்த்து, சேவை கோப்பை மீண்டும் ஏற்றுகிறதா, முந்தையதை தற்காலிகச் சேமிப்பில் வைக்கவில்லையா என உறுதிசெய்யுங்கள். உரிமையும் பாதையும் உள்ளடக்கத்திற்கு இணையானவை: டீமனால் படிக்க முடியாத CRL எந்த CRL இல்லாததற்குச் சமம். OpenVPN இன் crl-verify விருப்பம் டீமன் படிக்கும் கோப்பைப் பெயரிடுகிறது, எனவே சேவையக கட்டமைப்பில் அந்தப் பாதையையும் கோப்பின் உரிமையையும் சரிபாருங்கள்.

கோப்பின் நேர முத்திரையால் அல்ல, உண்மையான இணைப்பு முயற்சியால் சரிபாருங்கள்.

CRL எப்போது தவறான கருவி என்பதை அறியுங்கள்

வழங்குநரின் தனிப்பட்ட திறவுகோல் இனி நம்பகமானதாக இல்லாவிட்டால், அறியப்பட்ட வரிசைகளைத் திரும்பப் பெறுவது அனுமதியற்ற வைத்திருப்பவர் புதிய சான்றிதழ்களில் கையொப்பமிடுவதைத் தடுக்க முடியாது. அது வழங்குநர் நம்பிக்கையின் மாற்றம், அதாவது புதிய CA மற்றும் விநியோகத் திட்டம், CRL இல் மற்றொரு உள்ளீடு அல்ல. முன்னாள் நிர்வாகிக்கு அணுகல் இருந்தது என்பது திறவுகோல் தவறாகப் பயன்படுத்தப்பட்டதற்கான சான்று அல்ல, எனவே நம்பிக்கையை மீண்டும் கட்டுவதற்கு முன் உண்மைகளைச் சேகரியுங்கள்.

நிலை எழுத்தைத் திருப்புவதற்காக வழங்கல் தரவுத்தளத்தை கையால் திருத்துவது கையொப்பமிட்ட ரத்துசெய்தலுக்கு மாற்றல்ல, அது CRL ஐ பதிவுகளுடன் முரண்பட வைக்கிறது.

வரிசை, CRL மற்றும் விநியோகப் படிநிலையை ஒரே குறிப்பில் வைத்திருங்கள், அடுத்த தணிக்கை படிக்கும் பயிற்சியாக மாறும். Easy-RSA திட்டம் நீங்கள் நிறுவிய பதிப்பிற்கான ஆதரிக்கப்பட்ட கட்டளைகளை ஆவணப்படுத்துகிறது, பின்பற்றத் தகுந்த ஒரே இடைமுகம் அதுவே.