ரத்து செய்யப்பட்ட VPN சான்றிதழ் இன்னும் இணைகிறதா? CRL செயல்படுத்தலைச் சரிபார்க்கவும்
ரத்து செய்யப்பட்ட சான்றிதழ்கள் CRL சரிபார்ப்பாளரை அடையாதபோது இன்னும் இணைகின்றன. இந்த வரிசையில் வழங்குநர், ஏற்றப்பட்ட வரிசை எண், மீள்ஏற்ற நடத்தை மற்றும் செயலில் உள்ள அமர்வுகளைச் சரிபார்க்கவும்.
நீங்கள் சான்றிதழை ரத்து செய்தீர்கள், புதிய பட்டியலை உருவாக்கினீர்கள், ஆனால் பழைய சுயவிவரம் இன்னும் ஒரு சுரங்கப்பாதையைத் திறக்கிறது. ரத்து செய்வது தானே உடைந்ததல்ல: CRL என்பது ஒரு வரிசை எண் இனி செல்லுபடியாகாது என்று கையொப்பமிட்ட அறிவிப்பு, மேலும் TLS-ஐ முடிக்கும் கூறு அதைச் சரியான வழங்குநருக்கு ஏற்றிய பிறகு, ஏற்பு முடிவை எடுப்பதற்கு முன்பே அணுகலை மாற்றுகிறது. இதுபோன்ற பெரும்பாலான நிகழ்வுகள் அங்கேயே உள்ளன, அதனால்தான் ரத்து செய்வதும் மறுப்பதும் இரண்டு வெவ்வேறு உண்மைகள்.
கீழே உள்ள ஐந்து சரிபார்ப்புகளை வரிசையாகச் செய்து, முதல் தோல்வியில் நிறுத்துங்கள், ஏனெனில் ஒவ்வொரு அடுத்த சரிபார்ப்பும் முந்தையவை சரியானவை என்று கருதுகிறது.
எந்தக் கூறு ஏற்பு முடிவை எடுக்கிறது என்பதைச் சரிபார்க்கவும்
கிளையண்ட் சான்றிதழைச் சரிபார்க்கும் செயல்முறையைப் பெயரிடுங்கள், ஏனெனில் அந்தச் செயல்முறை மட்டுமே பட்டியலைச் செயல்படுத்த முடியும். OpenVPN சேவையகத்தில் அது டீமன் தானே, crl-verify உடன் கட்டமைக்கப்பட்டது. ocserv-இல் அது ocserv.conf-இல் உள்ள crl வரி. strongSwan-இல் உள்ளீடுகள் ஏற்றப்பட்ட CRL-கள் strictcrlpolicy உடன். VPN-க்கு முன்னால் TLS-ஐ முடிக்கும் ப்ராக்ஸி அல்லது சாதனமும் உண்மையான சரிபார்ப்பாளராக இருக்கலாம், அப்படியானால் அதன் பின்னால் உள்ள டீமன் கிளையண்ட் சான்றிதழை ஒருபோதும் பார்ப்பதில்லை.
WireGuard வேறு வகையைச் சேர்ந்தது. அதற்கு சான்றிதழ்களும் இல்லை, ரத்துப் பட்டியலும் இல்லை; சக என்பது உள்ளமைவில் உள்ள அதன் பொது விசையால் ஏற்கப்படுகிறது, எனவே அணுகலை நிறுத்துவது அந்த விசையை அகற்றுவதாகும். WireGuard மட்டுமே உள்ள நிறுவலில் CRL தேடினால், அந்த இயங்குமுறை அங்கு இல்லை.
கிளையண்ட் பக்கத்தின் பொறியிலிருந்தும் எச்சரிக்கையாக இருங்கள். சேவையகத்தின் சான்றிதழ் பிடிக்காததால் இணைக்க மறுக்கும் கிளையண்ட் சேவையகத்தின் சங்கிலியைச் செயல்படுத்துகிறது, தன் சான்றுகளை ரத்து செய்யவில்லை. பயனர் சான்றிதழ் அந்தச் சான்றிதழ் சரிபார்க்கப்படும் இடத்தில் மட்டுமே ரத்து செய்யப்படுகிறது, அது கிட்டத்தட்ட எப்போதும் சேவையகப் பக்கம்.
பட்டியல் எந்த வழங்குநருக்காகக் கையொப்பமிடப்பட்டது என்பதைச் சரிபார்க்கவும்
CRL ஒரு வழங்கும் CA-க்கு மட்டுமே. வேர் மற்றும் இடைநிலை CA இருந்தால் இலைச் சான்றிதழ்கள் இடைநிலையிலிருந்து வருகின்றன, எனவே முக்கியமான பட்டியல் இடைநிலையின் CRL; வேரின் பட்டியல் அந்த இலைகளைப் பற்றி எதுவும் கூறாது. தவறான கோப்பை நோக்கும் சரிபார்ப்பாளர் அதை மகிழ்ச்சியாகப் பகுப்பாய்வு செய்கிறார், பொருந்தும் பதிவைக் கண்டுபிடிக்காமல் எல்லாவற்றையும் ஏற்கிறார்.
டீமனைத் தொடுவதற்கு முன் இணையை உறுதிப்படுத்துங்கள். சான்றிதழில் உள்ள வழங்குநர் பட்டியலின் subject-உடன் பொருந்த வேண்டும்:
openssl x509 -in client.crt -noout -issuer -serial
openssl crl -in intermediate.crl -noout -issuer -lastupdate -nextupdateஇரண்டும் ஒரே CA-விலிருந்து வந்தால், சான்றிதழுக்கு அச்சிடப்பட்ட வரிசை எண்ணே பட்டியலில் வர வேண்டிய மதிப்பு. அவை பொருந்தவில்லை என்றால், உங்களிடம் தவறான CRL அல்லது அதன் தவறான நகல் உள்ளது.
செல்லுபடியாகும் தன்மை அதே சரிபார்ப்புக்கு உரியது. கடந்த காலத்தில் nextUpdate பட்டியலைப் பழையதாக்குகிறது, மூடிய முறையில் தோல்வியடையும் சரிபார்ப்பாளர் அப்போது ரத்து செய்யப்பட்டதை மட்டுமல்ல, ஒவ்வொரு கிளையண்டையும் மறுக்கும்.
வரிசை எண் டீமன் ஏற்றிய நகலில் உள்ளதா எனச் சரிபார்க்கவும்
ரத்து செய்வது CA தரவுத்தளத்தில் பதிவை எழுதுகிறது, மீளுருவாக்கம் புதிய கோப்பை எழுதுகிறது. இரண்டில் எதுவும் தொடங்கும்போது பழைய நகலை ஏற்றிய இயங்கும் டீமனை அடையவில்லை. பட்டியலை டம்ப் செய்து வரிசை எண்ணைத் தேடுங்கள்:
openssl crl -in intermediate.crl -noout -text | grep -i -A2 'Serial Number'
openssl ca -revoke client.crt
openssl ca -gencrl -out intermediate.crlபிறகு உங்கள் செயலாக்கம் கோப்பை எவ்வாறு எடுக்கிறது எனச் சரிபார்க்கவும். OpenVPN crl-verify-க்கு வழங்கப்பட்ட பாதையைத் தொடங்கும்போது ஒருமுறை படிக்கிறது, எனவே புதிய பட்டியலுக்கு மறுதொடக்கம் அல்லது மறுதொடக்க சமிக்ஞை தேவை; அதே விருப்பம் ஒரு அடைவை நோக்கினால் ஒவ்வொரு இணைப்பிலும் மீண்டும் படிக்கப்படுகிறது, அதனால்தான் அடைவு பயன்முறை உள்ளது. strongSwan தன் சான்றுகளை மீண்டும் ஏற்ற வேண்டும், எடுத்துக்காட்டாக swanctl --load-creds மூலம். கோப்பு வட்டில் சரியாக இருப்பதும் சரிபார்ப்பாளர் அதைப் பயன்படுத்துவதும் இரண்டு வெவ்வேறு உண்மைகள்.
காணாமல் போன அல்லது காலாவதியான பட்டியலுக்கான கொள்கையைச் சரிபார்க்கவும்
இது பல நிறுவல்கள் ஒருபோதும் வெளிப்படையாக எடுக்காத முடிவு, மேலும் ரத்து செய்வது உங்களைப் பாதுகாக்கிறதா அல்லது அனைவரையும் வெளியே பூட்டுகிறதா என்பதைத் தீர்மானிக்கிறது. Fail-closed என்பது பயன்படுத்தக்கூடிய ரத்துத் தகவல் இல்லாமல் மறுப்பு நிகழ்வது; fail-open என்பது சரிபார்ப்பாளர் அது இல்லாமல் தொடர்வது. strongSwan தேர்வை strictcrlpolicy ஆக வெளிப்படுத்துகிறது. OpenVPN crl-verify உடன் படிக்கவோ பகுப்பாய்வு செய்யவோ முடியாத கோப்பில் தொடங்க மறுக்கிறது, காலாவதியான பட்டியல் அமைதியான ஏற்புக்குப் பதிலாக காலாவதியான CRL பற்றிய TLS சரிபார்ப்புப் பிழையாகத் தோன்றுகிறது.
| State of the revocation data | Fail-closed result | Fail-open result |
|---|---|---|
| List missing or unreadable | Verification fails, so expect an outage | Every client connects, including the revoked one |
List past nextUpdate | Validation errors until a fresh list is deployed | Old status is trusted indefinitely |
| Revoked serial present in the loaded list | Handshake rejected for that certificate | Handshake rejected for that certificate |
எந்தத் திசையைத் தேர்ந்தெடுத்தாலும், தானியக்கமாக்கல் தேர்வை விட முக்கியம்: CRL-ஐ nextUpdate-க்கு முன் மீளுருவாக்கும் பணி, மற்றும் பயன்படுத்தப்பட்ட நகல் பழையதாகும்போது எச்சரிக்கை, இரு கொள்கைகளும் நிகழ்வாக மாறுவதைத் தடுக்கின்றன. OCSP உடன் ஆன்லைன் சரிபார்ப்பு புதுமையை பதிலளிப்பவருக்கு நகர்த்துகிறது, ஆனால் அதே விதி பொருந்தும், ஏனெனில் பதிலைச் சரிபார்க்க கட்டமைக்கப்படாத சரிபார்ப்பாளர் எதையும் மாற்றுவதில்லை.
செயலில் உள்ள அமர்வையும், பின்னர் விசையின் நகல்களையும் சரிபார்க்கவும்
ரத்து செய்வது சான்றிதழ் சரிபார்ப்பின் போது மதிப்பிடப்படுகிறது, இது இணையும்போதும் மறுபேச்சுவார்த்தையின்போதும் நிகழ்கிறது. நிறுவப்பட்ட அமர்வு மறுபேச்சுவார்த்தை செய்யும் வரை தொடர்கிறது, OpenVPN-இன் இயல்புநிலை reneg-sec 3600 உடன் மணிக்கு ஒருமுறை. நபர் இப்போது வலையமைப்பை விட்டு வெளியேற வேண்டும் என்றால், பட்டியலை வெளியிடுவதுடன் அமர்வையும் முடிக்கவும், பின்னர் மறுஇணைப்பு மறுக்கப்படுவதை உறுதிப்படுத்தவும்.
சான்றுகளை அவற்றின் நகல்களிலிருந்து பிரிக்கவும். ஒரு மடிக்கணினியில் சுயவிவரத்தை நீக்குவது அதே தனிப்பட்ட விசையின் மற்றொரு நகலை அங்கீகரிக்கப்படுவதைத் தடுக்காது; ரத்து செய்வதே ஒவ்வொரு நகலையும் பயனற்றதாக்குகிறது, அதுவும் முந்தைய சரிபார்ப்புகள் சரியானால் மட்டுமே. மாற்றுச் சாதனத்திற்கு அதன் சொந்த சான்றிதழைக் கொடுங்கள், ஒன்றை மற்றொன்றைத் தொடாமல் ரத்து செய்ய முடியும்.
இதை முடிந்ததாகக் கூறுவதற்கு முன்: சரிபார்க்கும் கூறு அடையாளம் காணப்பட்டுள்ளது, பட்டியலின் வழங்குநர் இலையின் வழங்குநருடன் பொருந்துகிறது, ரத்து செய்யப்பட்ட வரிசை எண் டீமன் உண்மையில் ஏற்றிய நகலில் உள்ளது, காணாமல் போன அல்லது காலாவதியான பட்டியல்களின் கொள்கை வேண்டுமென்றே உள்ளது மற்றும் கண்காணிக்கப்படுகிறது, செயலில் உள்ள அமர்வு காத்திருப்பதற்குப் பதிலாக முடிக்கப்பட்டது. இவை அனைத்தின் பின்னணியில் உள்ள வடிவங்கள் RFC 5280-இல் குறிப்பிடப்பட்டுள்ளன.