VPN சான்றிதழ் இருப்பு: CA பேரேடு எதை நிரூபிக்க முடியும்
சேவையகத்தில் உள்ள கோப்புறை, CA பேரேடு, ரத்து பட்டியல் மற்றும் அமர்வு அட்டவணை வெவ்வேறு கேள்விகளுக்குப் பதிலளிக்கின்றன. VPN அடையாளங்களை இருப்புக் கணக்கிடும் போது அவற்றைத் தனியே வைத்திருங்கள்.
உங்கள் நுழைவாயில் ஒருபோதும் பார்த்திராத வாடிக்கையாளர் சான்றிதழை ஏற்கிறது, ஏனெனில் அது கட்டமைக்கப்பட்டிருப்பது நம்பகமான வழங்குநரால், சான்றிதழ் கைக்குலுக்கலின் போது வருகிறது. நெறிமுறை அப்படித்தான் இயங்க வேண்டும், அதனால்தான் சேவையகத்தில் உள்ள கோப்புறைப் பட்டியல் மோசமான இருப்பாகும். வழங்குநர் என்ன உருவாக்கினார் என்பதை அறிவார், சேவையகம் என்ன இணைந்தது என்பதை அறிகிறது, ரத்து நிலை என்ன திரும்பப் பெறப்பட்டது என்பதை அறிகிறது. இந்த மூன்று பதிவுகளையும் கலக்கும் இருப்பு இறுதியில் அவற்றில் எதுவும் சொல்லாத ஒன்றை உறுதிப்படுத்துகிறது.
நுழைவாயில் கோப்புப் பட்டியலை அல்ல, வழங்குநரை நம்புகிறது
சரிபார்ப்பு சமர்ப்பிக்கப்பட்ட சான்றிதழை நம்பிக்கை நங்கூரத்துடன் ஒப்பிடுகிறது, எனவே அதே வழங்குநர் நேற்று உருவாக்கிய அடையாளம் சேவையகத்தின் வட்டில் ஒருபோதும் இல்லாதிருந்தும் இணைகிறது. அது நிகழ எதையும் நகலெடுக்க வேண்டியதில்லை, யாரும் அதை கையால் அங்கீகரிக்க வேண்டியதில்லை. எனவே சேவையகத்தின் சொந்தப் பதிவுகள் வருகைகளை விவரிக்கின்றன, வரக்கூடிய அடையாளங்களின் மக்கள்தொகையை அல்ல.
எதிர் இடைவெளியும் அதே அளவு சங்கடமானது. கோப்புறையில் காலாவதியான சான்றிதழ்கள், ரத்து செய்யப்பட்டவை மற்றும் ஒருபோதும் பயன்படுத்தப்படாத சாதனங்களுக்கு வழங்கப்பட்ட அடையாளங்கள் இருக்கலாம். கோப்புகளை எண்ணுவது எத்தனை கோப்புகள் உள்ளன என்பதற்குப் பதிலளிக்கிறது, அது யாரும் கேட்காத கேள்வி. அதற்குப் பதிலாக பொருள் கொண்ட பதிவுகளிலிருந்து தொடங்குங்கள்.
நான்கு கேள்விகள், நான்கு வெவ்வேறு பதிவுகள்
ஒவ்வொரு பதிவு வகையும் ஒரு கேள்விக்கு நன்றாகவும் மற்றவற்றுக்கு மோசமாகவும் பதிலளிக்கிறது, அதனால் அவற்றை இணைக்கும் அறிக்கை முழுமையாகத் தெரிகிறது ஆனால் ஒரு குறிப்பிட்ட வழியில் தவறானது. கீழேயுள்ள அட்டவணை அவற்றை உருவாக்கும் அமைப்பின் அடிப்படையில் அல்ல, அவை தீர்க்கும் கேள்வியின் அடிப்படையில் வரிசைப்படுத்துகிறது.
| Question you are answering | Where the answer lives | How quickly it changes | What it will never show |
|---|---|---|---|
| Was this identity ever created? | The issuer's issuance database | Only when something is issued | Whether the device still exists |
| Is a copy sitting on this host? | The paths you actually inspected | Whenever anyone copies files | Certificates that were never copied here |
| Has the issuer withdrawn it? | Published revocation state | When the issuer next publishes | Withdrawals that are not published yet |
| Is it connected right now? | The live session table | Continuously | Anything about past or future sessions |
பொது சான்றிதழ்களின் காப்பகம் ரகசியம் அல்ல, ஏனெனில் அதில் தனிப்பட்ட திறவுகோல்கள் இல்லை, ஆனால் பகிரவும் முடியாது. பொருள்கள் மற்றும் சாதனப் பெயர்கள் செயல்பாட்டு விவரங்களை வெளிப்படுத்துகின்றன, அறிக்கை அதைத் தேவைப்படும் பார்வையாளர்களிடமே இருக்க வேண்டும். தனிப்பட்ட திறவுகோல்கள் இருப்பிலிருந்து முற்றிலும் வெளியே இருக்கின்றன, ஏனெனில் இருப்புக்குத் தேவை அங்கீகாரச் சான்றுகள் அல்ல, மீத்தரவுகள்.
வழங்குநரும் வரிசை எண்ணுமே ஒரே நிலையான திறவுகோல்
பொருள்கள் மறுசுழற்சி செய்யப்படுகின்றன, கோப்புப் பெயர்கள் மீண்டும் பயன்படுத்தப்படுகின்றன, எனவே கடந்த ஆண்டு ஒரு சாதனத்தைக் குறித்த பெயர் இப்போது மற்றொன்றைக் குறிக்கலாம். இரண்டும் திறவுகோல் அல்ல, அவற்றில் எதையும் அடிப்படையாகக் கொண்ட அறிக்கை இறுதியில் இரண்டு அடையாளங்களை ஒரே வரியில் இணைக்கும்.
வழங்குநர் மற்றும் வரிசை எண் இணை சான்றிதழைத் தனித்துவமாக அடையாளம் காட்டுகிறது, இரண்டு புலங்களும் சான்றிதழிலிருந்தே வருகின்றன. அவற்றைப் பொருள், செல்லுபடி தேதிகள், நகல் வந்த மூலம் மற்றும் பொறுப்பான நபர் அல்லது சாதனத்துடன் பதிவு செய்யுங்கள். ரத்து மற்றும் பயன்பாட்டு நிலையை அவற்றின் சொந்தக் கண்காணிப்பு நேரங்களுடன் தனிப் புலங்களாகச் சேர்க்கவும், ஏனெனில் செல்லுபடி சாளரத்திற்குள் இருக்கும் சான்றிதழ் தானாகவே அதிகாரம் பெறாது. இந்த இரண்டு உண்மைகளும் வெவ்வேறு அமைப்புகளில் வாழ்கின்றன, அவற்றை இணைப்பது அடையாளம் திரும்பப் பெறப்பட்டும் அதன் கோப்பு இன்னும் புதியதாகத் தெரியும் நிலையை மறைக்கிறது.
ஒரு நேரத்தில் ஒரு சான்றிதழைப் படியுங்கள்
கோப்புறை முழுவதும் பரவும் வைல்ட்கார்டு ஒரு தொகுதி இடைமுகம் அல்ல, எந்தக் கோப்பு எந்த வெளியீட்டைத் தந்தது என்பதை அது மறைக்கிறது. ஒவ்வொரு சான்றிதழுக்கும் மீத்தரவுகளைப் படியுங்கள், ரத்துப் பக்கத்தை அதன் சொந்த ஆவணக்கூறிலிருந்து படியுங்கள். OpenSSL x509 குறிப்பு அந்த விருப்பங்கள் அச்சிடும் புலங்களைப் பட்டியலிடுகிறது.
openssl x509 -in <cert>.pem -noout -issuer -serial -subject -dates -fingerprint -sha256
openssl crl -in <issuer>.crl -noout -text | head -n 40நிர்வகிக்கப்படும் Easy-RSA PKI க்கு, கருவி ஆதரிக்கும் பணிப்பாய்வு வழியாக வழங்கல் தரவுத்தளத்தைக் கேளுங்கள் கோப்புறை அமைப்பை ஊகிப்பதற்குப் பதிலாக, இருப்பு தொகுக்கப்படும் போது மூலங்களைப் படிக்க-மட்டும் வைத்திருங்கள். பேரேட்டின் வடிவம் போதுமான ஒழுங்கானது, எனவே தரவுத்தளத்தைக் கையால் திறக்காமல் செல்லுபடியான பதிவுகளை எண்ணி திரும்பப் பெற்றவற்றைப் பட்டியலிடலாம்.
grep -c '^V' pki/index.txt
grep '^R' pki/index.txt | cut -f4,5அடுத்த வழங்கலையும் தாண்டி நிற்கும் இருப்பு
கோப்புறையின் ஒரு-முறை கொட்டுதல் அடுத்த சான்றிதழ் வழங்கப்படும் தருணத்தில் காலாவதியாகிறது, எனவே வழங்கல் பணிப்பாய்விலிருந்து அறிக்கையை உருவாக்கி சாதாரண செயல்பாட்டின் பகுதியாக அது புதுப்பிக்கப்பட அனுமதியுங்கள். இது அறிக்கையை மீளுருவாக்கம் செய்யக்கூடியதாகவும் ஆக்குகிறது, என்ன வழங்கப்பட்டது என்பதில் இருவர் உடன்படாதபோது இது முக்கியம்.
முடிவை பட்டியல் தாள் பயிற்சியாக அல்ல, புதுப்பித்தல் மற்றும் ஓய்வு முடிவுகளுக்குப் பயன்படுத்துங்கள். உள்ளூர் நகலை நீக்குவது ஏற்கனவே உள்ள தொலை நகல்களை செல்லாததாக்காது. கட்டமைக்கப்பட்ட ரத்து மற்றும் அங்கீகார பணிப்பாய்வு வழியாக அடையாளத்தைத் திரும்பப் பெறுங்கள், பின்னர் திரும்பப் பெறுதலை அதன் தேதியுடன் பதிவு செய்யுங்கள். சேவையகத்திலிருந்து மறைந்தாலும் வழங்குநர் இன்னும் நம்பும் அடையாளம் ஓய்வு பெறவில்லை, அந்த வேறுபாடே துல்லியமான இருப்பை வெறும் ஆறுதலளிக்கும் இருப்பிலிருந்து பிரிக்கிறது.