OCSP vs CRL: ஒவ்வொரு ரத்து சரிபார்ப்பும் உண்மையில் எப்படி வேலை செய்கிறது

இந்த இரண்டு ரத்து சரிபார்ப்புகளில் ஒன்று ஒரு சான்றிதழைப் பற்றிய கையொப்பமிட்ட பதிலைத் தருகிறது, மற்றொன்று முழுவதுமாக பதிவிறக்கப்படும் கையொப்பமிட்ட பட்டியலைத் தருகிறது. இரண்டும் ஒரு சான்றை இன்னும் நம்பலாமா என்று சரிபார்ப்பாளருக்குச் சொல்ல வேண்டும், இரண்டும் ஒன்றுக்கொன்று ஒத்திருக்காத விதத்தில் தோல்வியடைகின்றன. கீழே உள்ள வரிசை ஒரு இயக்குபவர் உற்பத்தியில் உண்மையில் சந்திப்பதைப் பின்பற்றுகிறது, வயரில் உள்ள பைட்டுகளில் தொடங்கி இணைப்பை மறுக்கும் நுழைவாயிலில் முடிகிறது. ஒரு படியைத் தவிர்ப்பதே, ஒரு நிறுவல் காகிதத்தில் மட்டுமே உள்ள ரத்து கொள்கையுடன் முடிவதற்கான வழி.

படி 1: ஒவ்வொரு சரிபார்ப்பும் என்ன தருகிறது, எவ்வளவு காலம் பயன்படுத்தக்கூடியதாக இருக்கிறது

CRL ஒரு வழங்குநர் ரத்து செய்த ஒவ்வொரு சான்றிதழையும் உள்ளடக்கிய ஒரே கையொப்பமிட்ட பொருளாக வெளியிடப்படுகிறது, எனவே சரிபார்ப்பாளர் அதை ஒரு முறை எடுத்து பட்டியலின் nextUpdate கடக்கும் வரை மீண்டும் பயன்படுத்துகிறார். OCSP பதில் குறுகியது: சரியாக ஒரு சான்றிதழுக்கு பதிலளிக்கிறது, thisUpdate, producedAt மற்றும் பொதுவாக nextUpdate ஆகியவற்றையும் கொண்டுள்ளது. அந்த வேறுபாடே மற்ற அனைத்தையும் வழிநடத்துகிறது. தற்காலிகச் சேமிப்பில் உள்ள CRL அமைதியாகப் பழமையாகிறது, ஏனெனில் கோப்பு இன்னும் பகுப்பாய்வு செய்யப்படுகிறது, அதன் கையொப்பம் இன்னும் சரிபார்க்கப்படுகிறது, ஆனால் காலாவதியான OCSP பதில் அதன் நேர முத்திரைகளைப் படிக்கும் தருணத்திலேயே வெளிப்படையாக மதிப்பற்றது.

எனவே தற்காலிகச் சேமிப்பே முதலில் தீர்மானிக்க வேண்டியது: எந்தக் கூறு நகலை வைத்திருக்கிறது, அந்த நகல் எந்த உச்ச வரம்புக்குக் கட்டுப்படுகிறது. நுழைவாயிலில் வரம்பு nextUpdate கழித்தல் பாதுகாப்பு விளிம்பாக இருக்க வேண்டும், ஒருபோதும் HTTP தற்காலிகச் சேமிப்பு தலைப்பு தற்செயலாக பரிந்துரைப்பதாக இருக்கக்கூடாது. openssl crl -in issuer.crl -noout -lastupdate -nextupdate இரு தேதிகளையும் அச்சிடுகிறது, மேலும் nextUpdate ஏற்கனவே கடந்த காலத்தில் உள்ள பட்டியலை வெறும் பழையதாக அல்ல, காணாமல் போனதாகக் கருத வேண்டும்.

படி 2: சான்றிதழ் வாடிக்கையாளரை எங்கு வழிநடத்துகிறது

இலைச் சான்றிதழ் பொதுவாக இரண்டு துப்புகளைக் கொண்டுள்ளது: CRL விநியோகப் புள்ளி நீட்டிப்பு மற்றும் OCSP-க்கான அதிகாரத் தகவல் அணுகல் பதிவு. openssl x509 -in client.pem -noout -ext crlDistributionPoints முதலாவதை அச்சிடுகிறது, இரண்டாவது openssl x509 -in client.pem -noout -text இன் AIA பகுதியின் கீழ் உள்ளது. எந்த நீட்டிப்பும் ஒரு சுட்டியே தவிர கடமை அல்ல. ரத்து சரிபார்ப்பை ஒருபோதும் செயல்படுத்தாத வாடிக்கையாளர், ஒரு வருடமாக இறந்த மறுமொழியாளரைப் பெயரிடும் நீட்டிப்புகளைக் கொண்ட சான்றிதழுடன் மிகச் சரியாக இணைக்கும்.

விநியோகப் புள்ளிகள் பெரும்பாலும் ஒரு பிணையப் பிரிவுக்குள் மட்டுமே தீர்க்கப்படும் உள் புரவலனைப் பெயரிடுகின்றன, சில பழைய வாடிக்கையாளர்கள் ldap URL-களை முற்றிலும் மறுக்கின்றன. அணுகக்கூடிய தன்மையை சுரங்கப்பாதையை முடிக்கும் புரவலனிலிருந்து சோதிக்கவும், உங்கள் சொந்த மடிக்கணினியிலிருந்து அல்ல, ஏனெனில் அதன் தோல்வி உண்மையில் முக்கியமான ஒரே பார்வை அதுவே.

படி 3: இடையூற்றுக்கு முன் fail-closed அல்லது fail-open தேர்ந்தெடுக்கவும்

அணுக முடியாத மறுமொழியாளர் அல்லது காலாவதியான பட்டியல் ஒரு முடிவைத் திணிக்கிறது: இணைப்பை மறுக்கவும், அல்லது ஏற்று இடைவெளியைப் பதிவு செய்யவும். OpenSSL இன் verify துணைக்கட்டளை கடுமையான தேர்வை வெளிப்படையாக்குகிறது, ஏனெனில் -crl_check சேர்ப்பது கிடைக்காத CRL-ஐ unable to get certificate CRL ஆகவும் தோல்வியடைந்த சரிபார்ப்பாகவும் மாற்றுகிறது. பெரும்பாலான ஸ்டேக்குகளில் மென்மையான தோல்வி எந்தக் கொடியும் அல்ல, அது சரிபார்ப்பின் இல்லாமை, அதனால்தான் அது தற்செயலாக அனுப்பப்படுகிறது.

ஒரு வாடிக்கையாளருக்கு உண்மையில் என்ன நடத்தை உள்ளது என்பதைப் பார்க்க மறுமொழியாளரை அகற்றி மீண்டும் இணைக்கவும். சுரங்கப்பாதை இன்னும் மேலெழுந்தால், தவிர்க்கப்பட்ட சரிபார்ப்பைப் பதிவு செய்த பதிவு வரியைக் கண்டுபிடித்து, சம்பவத்தின் போது யாராவது அந்த வரியைப் படிப்பார்களா என்று கேளுங்கள். ஒரே விற்பனையாளர் நெறிமுறையைப் பொறுத்து வேறுபடலாம்: ஒரே இயந்திரத்தில் IKEv2 வாடிக்கையாளரும் OpenVPN வாடிக்கையாளரும் தொடர்பில்லாத உள்ளமைவு அமைப்புகளைப் படிக்கின்றனர்.

படி 4: போக்குவரத்து அனுமதிக்கப்படும் இடத்திலேயே சரிபார்ப்பு இயங்குகிறது என்பதை நிரூபிக்கவும்

இணைப்பை முடிக்கும் அல்லது அங்கீகரிக்கும் செயல்முறையைக் கண்டுபிடித்து, ரத்து சரிபார்ப்பை இயக்கும் உள்ளமைவு வரியை அதிலிருந்து கேளுங்கள். சங்கிலியைச் சரிபார்க்கும் ஆனால் ரத்து பற்றி ஒருபோதும் கேட்காத நுழைவாயில் உங்கள் ஆவணங்களில் உள்ள கொள்கையிலிருந்து வேறுபட்ட கொள்கையைச் செயல்படுத்துகிறது, சான்றிதழ் சங்கிலியின் எந்தத் திரைப்பிடிப்பும் அதற்கு மாறாக நிரூபிக்கவில்லை. OpenVPN இந்த விருப்பத்தை crl-verify என எழுதுகிறது; strongSwan CRL மற்றும் OCSP தேடல்களை CA உள்ளமைவின் கீழ் வைத்திருக்கிறது, அங்கு crl_uris அல்லது ocsp_uris அமைக்கப்படுகின்றன. இரண்டில் ஒன்றையும் சுட்டிக்காட்ட முடியாவிட்டால், சரிபார்ப்பு இல்லை என்று கருதுங்கள்.

OCSP பதில் வழங்கும் CA கையொப்பமிட்டால் மட்டுமே செல்லுபடியாகும், அல்லது அந்த CA ஒப்படைத்த OCSPSigning விரிவாக்கப்பட்ட விசைப் பயன்பாட்டைக் கொண்ட மறுமொழியாளர் கையொப்பமிட்டால் மட்டுமே, எனவே தொடர்பில்லாத சேவையின் பதில் எதையும் நிரூபிக்காது. நீங்களே மறுமொழியாளரை இயக்கினால், அதைக் கடினமான சார்பாகக் கண்காணிக்கவும், ஏனெனில் ஒரு இறந்த சேவை ஒரே நேரத்தில் ஒவ்வொரு fail-closed வாடிக்கையாளருக்கும் இடையூறாகிறது.

படி 5: வேண்டுமென்றே ஒரு சான்றிதழை ரத்து செய்யுங்கள்

ஒரு சோதனைச் சான்றிதழை எடுத்து, உற்பத்தி பயன்படுத்தும் அதே வழியில் ரத்து செய்து, மறுமொழியாளரிடம் நேரடியாகக் கேளுங்கள். openssl ocsp -issuer ca.pem -cert old.pem -url http://ocsp.example.net -resp_text ரத்து நேரத்துடன் Cert Status: revoked ஐத் தெரிவிக்க வேண்டும், good என்ற பதில் உங்கள் ரத்து நீங்கள் கேட்கும் மறுமொழியாளரை அடையவில்லை என்பதைக் குறிக்கிறது. பின்னர் பட்டியல் வழியாக அதே முடிவைப் பார்க்க openssl verify -crl_check -CRLfile issuer.crl -CAfile ca.pem old.pem இயக்கவும். வெளியேறும் குறியீட்டிற்குப் பதிலாக காரணச் சரத்தைப் படியுங்கள், ஏனெனில் ரத்து மறுப்பும் சங்கிலிப் பிழையும் இரண்டும் தோல்வியில் முடிகின்றன.

உண்மையில் முக்கியமான படி கடைசியானது: பழைய சுயவிவரத்துடன் உண்மையான அமலாக்கப் புள்ளிக்கு எதிராக மீண்டும் இணைந்து மறுப்பு ரத்திலிருந்தே வருகிறது என்பதை உறுதிப்படுத்தவும். பின்னர் புதிய, செல்லுபடியாகும் சான்றிதழுடன் மீண்டும் இணைந்து நீங்கள் கேட்பவரை மட்டும் உடைக்கவில்லை என்பதை நிரூபிக்கவும். வாடிக்கையாளரில் சுயவிவரத்தை நீக்குவது சேவையகத்தின் முடிவைப் பற்றி எதையும் நிரூபிக்காது, சுரங்கப்பாதையை ஒருபோதும் முடிக்காத இயந்திரத்தில் openssl verify வெற்றிகரமாக இயக்குவதும் அப்படியே. RFC 6960 இணக்கமான OCSP பதிலில் என்ன இருக்கிறது என்பதை வரையறுக்கிறது, இந்தச் சோதனை படிக்கும் நிலை மதிப்புகள் உட்பட.