சான்றிதழ்கள் செல்லுபடியாக இருக்கும்போது புதிய VPN உள்நுழைவுகள் தோல்வியடைகின்றன: CRL-ஐ சரிபார்க்கவும்

பல மாதங்கள் மீதமிருக்கும் சான்றிதழ்களும் உடனடியாகத் தோல்வியடையும் உள்நுழைவுகளும் வெவ்வேறு கடிகாரங்களைக் கொண்ட இரண்டு வெவ்வேறு பொருட்களைச் சுட்டுகின்றன. சேவையகம் இணைப்புகளை நிராகரிக்கிறது, ஏனெனில் அது பரிசீலிக்கும் ரத்து செய்யப்பட்ட சான்றிதழ்களின் பட்டியல் அதன் சொந்த காலாவதி தேதியைக் கடந்துவிட்டது, பயனர்களின் சான்றிதழ்கள் காலாவதியானதால் அல்ல. பயனர் சான்றிதழைப் புதுப்பிப்பது அந்தப் பட்டியலுக்கு எதுவும் செய்யாது.

அந்த இரண்டு அட்டவணைகளைப் பிரிப்பதே முழு கண்டறிதல், மேலும் அது தீர்வு எப்படி இருக்க வேண்டும் என்பதை மாற்றுகிறது.

இரண்டு கடிகாரங்கள், அவற்றில் ஒன்று மட்டுமே சான்றிதழ்

ஒரு சான்றிதழ் செல்லுபடியாகும் கால சாளரத்தைக் கொண்டுள்ளது. ரத்து செய்யப்பட்ட சான்றிதழ்களின் பட்டியல் அதன் சொந்த சாளரத்தையும், கூடுதலாக ஒரு வழங்குநரையும் ஒரு கையொப்பத்தையும் கொண்டுள்ளது, அடுத்த புதுப்பிப்பு நேரம் கடந்துவிட்ட பட்டியலை நம்ப சரிபார்ப்பாளர்கள் மறுக்கிறார்கள். அது நடக்கும்போது, வாடிக்கையாளர் முற்றிலும் செல்லுபடியாகும் சான்றிதழை வழங்குகிறார், இருந்தாலும் சேவையகம் பட்டியல் பற்றிய செய்தியுடன் இணைப்பை விட்டுவிடுகிறது. பயனர்கள் அந்தச் செய்தியை 'சான்றிதழ் காலாவதியானது' எனப் படிக்கிறார்கள், இது புதுப்பிப்புக் கோரிக்கையைத் தவறான இடத்துக்கு அனுப்புகிறது.

அந்த இரண்டு பொருட்களுக்கும் வெவ்வேறு உரிமையாளர்கள் உள்ளனர்: சான்றிதழ் அதை வழங்கிய CA-விடமிருந்து வருகிறது, அதேசமயம் பட்டியலை அந்த CA-ஐ இயக்குபவர் அட்டவணைப்படி உருவாக்குகிறார். பயனர் அதைப் புதுப்பிக்க முடியாது, சான்றிதழ்களை மீண்டும் வழங்குவதால் அதை நீட்டிக்க முடியாது.

சேவை உண்மையில் ஏற்றும் பட்டியலைப் படிக்கவும்

நீங்கள் எதிர்பார்க்கும் கோப்பிலிருந்து அல்ல, இயங்கும் கட்டமைப்பிலிருந்து தொடங்குங்கள். crl-verify பாதை முழுமையானதாகவோ, சுயவிவரத்தைப் பொருத்ததாகவோ, அல்லது படத்தில் பதிந்த நகலாகவோ இருக்கலாம், சரிபார்ப்பாளர் அந்த நகலைப் படிக்கிறார். openssl crl -in /etc/openvpn/crl.pem -noout -issuer -lastupdate -nextupdate உடன் அதை அதே இடத்தில் பரிசோதித்து, தேதிகளை சேவையகத்தின் கடிகாரத்துடன் ஒப்பிடுங்கள்.

பிறகு அந்தக் கோப்பு உண்மையில் பயன்பாட்டில் இருப்பதை உறுதிசெய்யுங்கள்: openssl crl -in /etc/openvpn/crl.pem -CAfile /etc/openvpn/ca.crt -noout உடன் அதன் கையொப்பத்தைச் சரிபார்க்கவும், அது புலங்களை அமைதியாக அச்சிடுவதற்குப் பதிலாக சரிபார்ப்பு முடிவைத் தெரிவிக்கிறது. வேறு CA கையொப்பமிட்ட பட்டியல், அல்லது இரண்டாவது கோப்பகத்தில் விடப்பட்ட பழைய நகல், காலாவதியான ஒன்றைப் போலவே தோல்வியடைகிறது.

புதிதாகத் தொடங்காமல், ரத்து தரவுத்தளத்திலிருந்து மீண்டும் உருவாக்குங்கள்

புதிய பட்டியல் CA-வின் தற்போதைய ரத்து தரவுத்தளத்திலிருந்து, அங்கீகரிக்கப்பட்ட கையொப்ப செயல்முறை வழியாக வர வேண்டும். காலியான பட்டியலை உருவாக்குவது, அல்லது குறியீட்டின் பழைய காப்புநகலில் இருந்து மீண்டும் உருவாக்குவது, அந்தக் காப்புநகலுக்குப் பிறகு சேர்க்கப்பட்ட ஒவ்வொரு அடையாளத்தின் ரத்தையும் அமைதியாக நீக்கிவிடும். அது உள்நுழைவு இடையூறை பாதுகாப்புப் பின்னடைவாக மாற்றுகிறது, அறிகுறி மறைவதால் யாரும் கவனிக்கவில்லை.

உருவாக்கும் படியை மற்ற CA கருவிகளுடன் பதிப்புக் கட்டுப்பாட்டில் வையுங்கள், இதனால் இடைவெளியும் கையொப்ப விசையும் நினைவில் வைக்கப்படாமல் ஆவணப்படுத்தப்படும். கட்டளையையும், கையொப்பமிடுபவரையும், வெளியீட்டு இலக்கையும் குறிப்பிடும் இயக்கக் கையேட்டுப் பதிவு போதுமானது. பணியில் இருக்கும் எவரும் எந்தக் குறியீட்டுக் கோப்பு அதிகாரமானது என்று ஊகிக்காமல் மீண்டும் உருவாக்கலாம். பட்டியலின் வரிசை எண்ணையும் அடுத்த புதுப்பிப்பு நேரத்தையும் பயன்பாட்டுப் பதிவுடன் சேமிக்கவும்.

சரிபார்ப்பாளர் பார்க்கும் இடத்தில் வரிசைப்படுத்துங்கள்

புதிய பட்டியலை சேவை படிக்கும் பாதைக்கு நகலெடுத்து, சேவைக் கணக்கு படிக்கக்கூடியதாகவும் மற்றவர்கள் படிக்க முடியாததாகவும் உரிமையையும் முறையையும் அமைத்து, ஆவணப்படுத்தப்பட்ட நடத்தையின்படி மீண்டும் ஏற்றவும் அல்லது மறுதொடக்கம் செய்யவும். பின்னணி சேவை தொடக்கத்தில் பட்டியலைத் தேக்கத்தில் வைத்தால், மீண்டும் ஏற்றாமல் கோப்பை மாற்றுவது இயங்கும் செயல்முறை கவனிக்கும் எதையும் மாற்றாது. மீண்டும் ஏற்றிய பிறகு செயல்முறை தெரிவிக்கும் நேர முத்திரையை உறுதிசெய்யவும்.

பல சேவைகள் வாடிக்கையாளர்களைச் சரிபார்த்தால், அவை ஒவ்வொன்றிலும் வரிசைப்படுத்துங்கள். ஒரு முனையைப் புதுப்பித்து மற்றொன்றைப் பழைய நகலுடன் விடுவது, இரண்டாவதில் வருபவர்களுக்கு மட்டும் தெரியும் தோல்வியை உருவாக்குகிறது. அந்த முனைகளின் குறுகிய பட்டியலை அதே இயக்கக் கையேட்டில் வையுங்கள். வெளியீட்டுக்குப் பிறகு, நகல் வந்துவிட்டதாகக் கருதாமல் ஒவ்வொன்றும் தெரிவிக்கும் பட்டியல் தேதியைச் சரிபார்க்கவும்.

அடுத்த காலக்கெடு கடப்பதற்கு முன் அதைத் தெரியும்படி செய்யுங்கள்

நீண்ட வெளியீட்டு இடைவெளி ஒரு செயல்முறையை உருவாக்காமல் இந்தச் சம்பவத்தின் அதிர்வெண்ணைக் குறைக்கிறது. இயக்குபவரின் கொள்கையிலிருந்து இடைவெளியைத் தேர்ந்தெடுத்து, பிறகு மீண்டும் உருவாக்கவும் வரிசைப்படுத்தவும் போதுமான முன்னறிவிப்புடன் வரிசைப்படுத்தப்பட்ட பட்டியலின் அடுத்த புதுப்பிப்பு புலத்தில் எச்சரிக்கை விடுங்கள். வரிசைப்படுத்தப்பட்ட நகலில் எச்சரிக்கை விடுங்கள், CA புரவலனில் அல்ல, ஏனெனில் தோல்வியடைவது வரிசைப்படுத்தப்பட்ட நகல்தான்.

வரிசைப்படுத்திய பிறகு இரு திசைகளையும் சரிபார்க்கவும்: அனுமதிக்கப்பட்ட பயனர் இணைகிறார், அறியப்பட்ட ரத்து செய்யப்பட்ட அடையாளம் இன்னும் தோல்வியடைகிறது. இரண்டாவது சரிபார்ப்பே முழுமையற்ற மீளுருவாக்கத்தைப் பிடிக்கிறது, அதற்காகவே வைத்திருக்கும் சோதனை சுயவிவரத்துக்கு எதிராக ஒரு கட்டளை மட்டுமே தேவை.