தவறான VPN சான்றிதழை ரத்து செய்தீர்களா? மீட்பு விருப்பங்களும் வரம்புகளும்

யாரோ CA கன்சோலில் ஒரு சான்றிதழை ரத்து செய்தார்கள், இப்போது பயனர் இணைக்க முடியவில்லை. முதல் உணர்வு ரத்தைத் தேடுவது, பெரும்பாலான PKI-களில் அது இல்லை: ரத்து என்பது வரிசை எண்ணைப் பற்றிய அறிவிக்கப்பட்ட உண்மை, ஆதரிக்கப்படும் திரும்பும் வழி புதிய சான்றிதழ், தலைகீழ் பதிவு அல்ல. கீழே உள்ள சோதனைகளை வரிசையாகச் செய்யுங்கள், ஏனெனில் எந்தச் சரிசெய்தல் அனுமதிக்கப்படுகிறது என்பது காரணக் குறியீடு மற்றும் விசை எப்போதாவது வெளிப்பட்டதா என்பதைப் பொறுத்தது.

சான்றிதழை அடையாளம் காணுங்கள், நபரை அல்ல

பொதுப் பெயர்கள் மீண்டும் வரும். கடந்த காலாண்டில் மீண்டும் பதிவு செய்த பயனரிடம் ஒரே CN மற்றும் வெவ்வேறு வரிசை எண்கள் கொண்ட இரண்டு சான்றிதழ்கள் இருக்கலாம், ஒன்றை ரத்து செய்தால் மற்றொன்று செயல்படும். முதலில் சரியான பொருளைத் தீர்மானிக்கவும்:

openssl x509 -in client.crt -noout -serial -issuer -subject -dates
openssl crl -in ca.crl -noout -text | head -40

வரிசை எண், வழங்குநர், ரத்து தேதி மற்றும் CRL-இல் பதிவான காரணத்தை எழுதுங்கள். பின்னர் அந்த வரிசை எண்ணை வழங்கும் சாதனங்களை உறுதிப்படுத்துங்கள், ஏனெனில் ரத்து செய்யப்பட்ட சான்றிதழ் இன்னும் மடிக்கணினி, தொலைபேசி மற்றும் காப்பு ரவுட்டரில் நிறுவப்பட்டிருக்கலாம், அவற்றில் ஒன்றை மட்டும் அடையும் மாற்று இரண்டாவது சம்பவத்தை உருவாக்குகிறது.

விரைவான நடத்தை சோதனை எதையும் மாற்றாமல் நிலையை உறுதிப்படுத்துகிறது:

openssl verify -crl_check -CAfile ca.crt -CRLfile ca.crl client.crt

அது சான்றிதழை ரத்து செய்யப்பட்டதாகத் தெரிவித்தால், CRL மற்றும் கிளையண்ட் ஒப்புக்கொள்கின்றன; அது தூய்மையாகச் சரிபார்த்தால், உங்கள் கையில் உள்ள கிளையண்ட் ரத்து செய்யப்பட்டது அல்ல, தேடல் தொடர்கிறது.

CA நிறுத்தம் அல்லது நிரந்தர ரத்தைப் பயன்படுத்தியதா எனச் சரிபார்க்கவும்

RFC 5280 certificateHold-ஐ தற்காலிக நிலையாகவும் removeFromCRL-ஐ அதை விடுவிக்கும் சமிக்ஞையாகவும் வரையறுக்கிறது. அந்த வாழ்க்கைச் சுழற்சி உண்மையானது, ஆனால் அது பொதுவான ரத்துசெயல் பொத்தான் அல்ல. காரணக் குறியீட்டைப் படிப்பது வழங்குநர் எப்போதாவது விடுவிப்பை ஆதரிக்க விரும்பினாரா என்பதைச் சொல்லும்.

பொறி என்பது தற்காலிக நோக்கம் தற்காலிகப் பதிவைக் குறிக்கும் என்று கருதுவது. CA பதிவில் keyCompromise அல்லது cessationOfOperation இருந்தால், பொத்தானை அழுத்தியவரின் நோக்கம் என்னவாயினும் சான்றிதழ் நிரந்தரமாக ரத்து செய்யப்பட்டுள்ளது. மாறாக, நிறுத்த விடுவிப்பைச் செயல்படுத்தாத CA-இல் certificateHold எனக் குறிக்கப்பட்ட பதிவு நடைமுறையில் நிரந்தரமானது, ஏனெனில் விடுவிப்பு ஒருபோதும் வெளியிடப்படாது.

OpenSSL அடிப்படையிலான CA-கள் வரம்பை விளக்குகின்றன. ca கட்டளை -crl_reason மதிப்புகளை ஏற்கிறது, அவற்றில் certificateHold மற்றும் removeFromCRL அடங்கும், ஆனால் டெல்டா CRL-களை உருவாக்காது — OpenSSL CA ஆவணங்கள் அதன் CRL வெளியீட்டிற்கு இந்த வரம்பைக் குறிப்பிடுகின்றன. வரிசை எண்ணை வெறுமனே விட்டுவிடும் முழு CRL "இந்தப் பதிவு விடுவிக்கப்பட்டது" எனும் டெல்டாவிலிருந்து வேறுபட்ட வெளியீட்டு மாதிரி, எனவே OpenSSL அடிப்படையிலான VPN CA-இல் removeFromCRL ஒட்டுவது தரங்களால் வரையறுக்கப்பட்ட விடுவிப்பை உருவாக்காது.

விசை வெளிப்பட்டிருக்கலாம் என்றால், அதை மாற்றுங்கள்

ரத்து செய்யப்பட்ட சான்றிதழ் இந்த விசையை இனி நம்ப முடியாது எனும் அறிவிப்பு. ரத்து அடிப்படையில் சரியாக இருந்தால் — மடிக்கணினி தொலைந்தது, விசை பகிரப்பட்ட வட்டில் நகலெடுக்கப்பட்டது, தனிப்பட்ட விசை டிக்கெட்டில் ஒட்டப்பட்டது — அதே சான்றிதழை மீட்டெடுப்பது நோக்கத்தின்படி செயல்பட்ட பாதுகாப்பு முடிவைத் தலைகீழாக்குகிறது.

பதிவு செயல்முறை மூலம் புதிய விசை இணையை வழங்குங்கள், புதிய சுயவிவரத்தை விநியோகிக்கவும், பழைய வரிசை எண்ணை அதன் முழு ஆயுளிலும் ரத்து செய்யப்பட்டதாக விடுங்கள். வரிசை எண் அல்லது விரல்ரேகை மூலம் அடையாளத்தைப் பின்னும் அனைத்தையும் புதுப்பிக்கவும், அவற்றில் அனுமதிப் பட்டியல்கள், சாதன சரக்கு மற்றும் குறிப்பிட்ட சான்றிதழை எதிர்பார்க்கும் கண்காணிப்பு அடங்கும்.

பழையதை மீட்டெடுப்பதற்கான வசதி வாதம் உண்மையானது, ஆனால் அதற்கு வெளிப்படையாகப் பதிலளிக்க வேண்டும், அமைதியாக அல்ல. "பயனருக்கு இன்று அணுகல் தேவை" என்பது வழங்கலை விரைவுபடுத்த ஒரு காரணம், உங்களால் கணக்குச் சொல்ல முடியாத விசையின் ரத்தைத் திரும்பப் பெற ஒரு காரணம் அல்ல.

அது நிர்வாகத் தவறு என்றால், கட்டுப்பாட்டில் மாற்றுங்கள்

ரத்து வெறுமனே தவறாக இருந்தது மற்றும் விசை ஒருபோதும் வெளிப்படவில்லை என்றால், சரிசெய்தல் இன்னும் திருத்தம் அல்ல, கட்டுப்படுத்தப்பட்ட மாற்று. வழங்குநரின் ஆதரிக்கப்பட்ட செயல்முறையைப் பயன்படுத்துங்கள், வரிசை எண் மற்றும் வழங்கல் வரலாற்றை அப்படியே வைத்திருங்கள், இரண்டு கவர்ச்சிகரமான குறுக்குவழிகளைத் தவிர்க்கவும்: index.txt-இல் நிலை எழுத்தை R-இலிருந்து மீண்டும் V-ஆக மாற்றுவது, மற்றும் புதிய சான்றிதழ் வரிசை எண்ணை மீண்டும் பயன்படுத்த வழங்கல் வரியை நீக்குவது.

OpenSSL CA-இல் தரவுத்தளம் தாவலால் பிரிக்கப்பட்டு தவறாகப் படிக்க எளிதானது, இது கையால் திருத்துவதைக் கவர்ச்சிகரமாக்குகிறது:

awk -F'\t' '$1=="R" {print $4, $3, $6}' index.txt

அதைப் படியுங்கள், எழுத வேண்டாம். கோப்பைத் திருத்துவது எந்தத் தணிக்கைத் தடயமும் இல்லாமல் அடுத்த CRL-ஐ மாற்றுகிறது, அசல் வரியை இன்னும் வைத்திருக்கும் எந்த இரண்டாவது CA நிகழ்வும் அல்லது காப்புப்பிரதியும் பின்னர் அதனுடன் முரண்படும்.

மாற்றை வழங்கிய பிறகு, வழக்கமான பொறிமுறை மூலம் புதிய CRL வெளியிட்டு கிளையண்ட்கள் அதை எடுக்கட்டும். CRL-ஐ அகற்றுவது, அதன் ஆயுளை பூஜ்ஜியமாகக் குறைப்பது அல்லது கிளையண்ட் சுயவிவரத்தில் ரத்துச் சரிபார்ப்பை முடக்குவது CA எப்போதாவது வெளியிட்ட மற்ற ஒவ்வொரு ரத்தையும் பலவீனப்படுத்தி ஒரு பயனரைச் சரிசெய்கிறது.

புதிய அனுமதியை உறுதிப்படுத்தி பதிவை வைத்திருங்கள்

ஏற்கனவே திறந்த அமர்வுடன் அல்ல, புதிய இணைப்புடன் சோதிக்கவும். உயிருள்ள சுரங்கப்பாதை புதிய கைக்குலுக்கல் செய்யும் அனுமதிச் சோதனைகளை மீண்டும் இயக்காமல் இருக்கலாம், CRL தற்காலிகச் சேமிப்புகள் கிளையண்ட் புதுப்பிக்கும் வரை இணைந்திருக்கலாம் என்பதைக் குறிக்கின்றன. துண்டியுங்கள், மீண்டும் இணையுங்கள், சர்வர் பதிவில் எந்த வரிசை எண் அனுமதிக்கப்பட்டது என உறுதிப்படுத்துங்கள்.

நடந்ததை இன்னும் புதியதாக இருக்கும்போது பதிவு செய்யுங்கள்: எந்த வரிசை எண் ரத்து செய்யப்பட்டது, யாரால், எந்தக் காரணத்தால், எந்த மாற்று வழங்கப்பட்டது, CRL எப்போது மீண்டும் வெளியிடப்பட்டது. அந்தப் பதிவே அடுத்த ரத்து மறுஆய்வைச் சாத்தியமாக்குகிறது, தவறு மறைக்கப்படாமல் கையாளப்பட்டதற்கான ஆதாரமும் அதுவே.

எதிர்காலத்தில் குறுகிய இடைநிறுத்தங்களுக்கு, வரிசைப்படுத்தலில் இருந்தால் அனுமதி-இடைவெளி பொறிமுறையைப் பயன்படுத்துங்கள் — அடையாள அடுக்கில் முடக்கப்பட்ட கணக்கு, நீக்கப்பட்ட குழு உறுப்பினர், தடுத்து வைக்கப்பட்ட கிளையண்ட் சுயவிவரம். இது தற்காலிகக் கொள்கை முடிவை வழங்கப்பட்ட சான்றிதழ் இன்னும் நம்பகமானதா எனும் கேள்வியிலிருந்து பிரிக்கிறது, முதல் முறை இழந்த வேறுபாடு அதுவே.