క్లయింట్ సర్టిఫికెట్ పోయిందా? పేరుతో కాదు, సీరియల్ నంబర్తో రద్దు చేయండి

మీ క్లయింట్ సర్టిఫికెట్ ఫైల్ పోయింది, తక్షణ ప్రతిస్పందన పేరును రద్దు చేసి కొత్తది జారీ చేయడం. ఆ ప్రతిస్పందన అసలు సర్టిఫికెట్ను చెల్లుబాటులో ఉంచుతుంది, ఎందుకంటే రద్దు లేబుల్పై కాదు, సీరియల్ నంబర్పై పనిచేస్తుంది. CA తాను జారీ చేసిన దాని నకలును దాదాపు ఖచ్చితంగా ఇంకా ఉంచుకుంటుంది, ఆ నకలును కనుగొనడమే మొత్తం పని.

ఫైల్ పోవడం CA రికార్డు పోవడం కాదు

Easy-RSA PKI తాను జారీ చేసిన పబ్లిక్ సర్టిఫికెట్లను ఉంచుతుంది, ప్రస్తుత విడుదలలు PKI యొక్క certs_by_serial డైరెక్టరీలో సీరియల్ ప్రకారం నకళ్లను కూడా ఆర్కైవ్ చేస్తాయి. ఏదైనా రద్దు చేయడానికి ప్రైవేట్ కీ అవసరం లేదు. ముఖ్యమైనది CA సంతకం చేసిన ఖచ్చితమైన సర్టిఫికెట్, అది CA వద్ద ఇప్పటికే ఉంది.

సరైన PKI యొక్క బ్యాకప్ కాపీపై, దాని యజమాని అయిన నిర్వాహకుడితో కలిసి పని చేయండి. రద్దు అనేది ఆడిట్ చేయగల చర్య, అర్ధరాత్రి ఉత్పత్తి డేటాబేస్పై చేసే మరమ్మతు కాదు.

క్లయింట్ యొక్క ఇన్లైన్ పబ్లిక్ సర్టిఫికెట్ నకలు కూడా పనిచేస్తుంది, అమలు ఒకటి ఉంచి ఉంటే.

మొదట జారీచేసినవారు మరియు సీరియల్ చదవండి

పునరుద్ధరించిన PEMని పరిశీలించి జారీచేసినవారు, సీరియల్ నంబర్, విషయం మరియు చెల్లుబాటు కాలాన్ని రాయండి. సీరియల్ నంబర్ ఒక జారీచేసినవారి పరిధిలో ప్రత్యేకం, మీ వాతావరణంలోని అన్ని CAలలో కాదు, కాబట్టి జారీచేసినవారు గుర్తింపులో భాగం. అనేక సర్టిఫికెట్లు ఒకే విషయాన్ని పంచుకుంటే, వాటిని వేరు చేసేది ఆ సీరియల్లే.

విలువలను CA రికార్డులతో, సర్టిఫికెట్ ఉందని మీరు నమ్మే పరికరం లేదా వ్యక్తితో సరిపోల్చండి.

సాధారణ పేరును మళ్లీ ఉపయోగించవచ్చు, సాధారణంగా అలాగే చేస్తారు. సీరియల్లు రాసే వరకు ఏ సర్టిఫికెట్లను ఉపసంహరించాలో నిర్ణయించవద్దు.

కొత్త సర్టిఫికెట్ను రద్దు చేస్తే ఎందుకు ఏమీ జరగదు

అదే సాధారణ పేరుతో ప్రత్యామ్నాయం జారీ చేస్తే వేరే సీరియల్తో రెండవ సర్టిఫికెట్ ఏర్పడుతుంది. ప్రత్యామ్నాయాన్ని రద్దు చేస్తే కొత్తది ఉపసంహరించబడుతుంది, అసలుది గడువు ముగిసే వరకు చెల్లుబాటులో ఉంటుంది. CA దృష్టిలో ఇవి రెండు స్వతంత్ర వస్తువులు, CRL పేర్లను కాదు, సీరియల్లను జాబితా చేస్తుంది. CA ఇండెక్స్ ప్రతి జారీ చేసిన సర్టిఫికెట్కు ఒక వరుస ఉంచడం అదే కారణం.

అదే గందరగోళం వ్యతిరేక పొరపాటును సృష్టిస్తుంది: క్లయింట్ ఫైల్ను తొలగించి CA మరచిపోయిందని భావించడం. క్లయింట్లో తొలగించడం రద్దు సంఘటన కాదు, నకలు ఉన్న ఎవరికైనా సర్టిఫికెట్ పని చేస్తూనే ఉంటుంది.

రెండు పొరపాట్లు పేరును గుర్తింపుగా పరిగణించడం నుండి వస్తాయి.

సీరియల్ పేర్కొనే సర్టిఫికెట్ను రద్దు చేయండి

CAని తాకే ముందు వస్తువును గుర్తించండి: openssl x509 -in recovered-client.pem -noout -issuer -serial -subject -dates నాలుగు విలువలను ఒకే పాస్లో ముద్రిస్తుంది, CA ఆర్కైవ్తో మీరు సరిపోల్చేది సీరియల్. Easy-RSA ఆ ఆర్కైవ్ను pki/certs_by_serial కింద ఉంచుతుంది, ప్రతి సీరియల్ పేరుతో ఒక ఫైల్. రద్దు ఆదేశం సీరియల్ కాదు, సాధారణ పేరును తీసుకుంటుంది, కాబట్టి ఆర్కైవ్ చేసిన ఫైల్ను pki/issued/<common-name>.crt అనే మార్గానికి కాపీ చేసి, పేరు మీరు గుర్తించిన వస్తువును సూచించనివ్వండి. PKI డైరెక్టరీ నుండి easyrsa revoke <common-name> ను అమలు చేయండి, తర్వాత index.txt ఫైల్లోని సంబంధిత వరుస R అని మారిందో లేదో తనిఖీ చేయండి. సీరియల్ వస్తువును ఎంచుకునే మార్గం, ఆదేశం అంగీకరించే ఆర్గ్యుమెంట్ కాదు.

openssl x509 -in recovered-client.pem -noout -issuer -serial -subject -dates
cp pki/certs_by_serial/A1B2C3D4.pem pki/issued/client-01.crt
./easyrsa revoke client-01
grep -n client-01 pki/index.txt
./easyrsa gen-crl

index.txt R చూపకపోతే, ఆగి CRL సృష్టించడానికి ముందు లోపాన్ని చదవండి, ఎందుకంటే ఇప్పటికీ చెల్లుబాటు అయ్యే రికార్డు నుండి నిర్మించిన CRL ఏమీ ఉపసంహరించదు. వరుస మారిన తర్వాతే మీరు easyrsa gen-crl అమలు చేసి ఫైల్ పంపిణీకి వెళ్తారు.

CRL నిజంగా అమలయ్యే చోటే ప్రచురించండి

PKI యొక్క మద్దతు ఉన్న వర్క్ఫ్లో ద్వారా కొత్త CRL సృష్టించి, ఈ జారీచేసినవారి రద్దులను అమలు చేసే ప్రతి ధృవీకర్తకు ప్రచురించండి.

CAపై ఉన్న నవీకరించిన ఫైల్ ఏమీ మార్చదు, ఎందుకంటే VPN తన స్వంత ధృవీకర్త వద్ద నిర్ణయాన్ని పూర్తి చేస్తుంది. CRL యొక్క జారీచేసినవారు, చెల్లుబాటు కాలం మరియు రద్దు చేసిన సీరియల్లను తనిఖీ చేసి, సేవ ఫైల్ను మళ్లీ లోడ్ చేస్తుందా, మునుపటిదాన్ని కాష్ చేయదా అని నిర్ధారించండి. యాజమాన్యం మరియు మార్గం కంటెంట్తో సమానంగా ముఖ్యం: డీమన్ చదవలేని CRL ఏ CRL లేనట్టే. OpenVPN యొక్క crl-verify ఎంపిక డీమన్ చదివే ఫైల్ను పేర్కొంటుంది, కాబట్టి సర్వర్ కాన్ఫిగ్లో ఆ మార్గాన్ని, ఫైల్ యాజమాన్యాన్ని తనిఖీ చేయండి.

ఫైల్ టైమ్స్టాంప్తో కాదు, నిజమైన కనెక్షన్ ప్రయత్నంతో ధృవీకరించండి.

CRL ఎప్పుడు తప్పు సాధనమో తెలుసుకోండి

జారీచేసినవారి ప్రైవేట్ కీపై ఇక నమ్మకం లేకపోతే, తెలిసిన సీరియల్లను ఉపసంహరించడం అనధికార కలిగినవారు కొత్త సర్టిఫికెట్లపై సంతకం చేయడాన్ని ఆపలేదు. అది జారీచేసినవారి నమ్మకం మార్పిడి, అంటే కొత్త CA మరియు పంపిణీ ప్రణాళిక, CRLలో మరో ఎంట్రీ కాదు. మాజీ నిర్వాహకుడికి ప్రవేశం ఉండటం అనేది కీ దుర్వినియోగానికి స్వయంగా సాక్ష్యం కాదు, కాబట్టి నమ్మకాన్ని పునర్నిర్మించే ముందు వాస్తవాలను సేకరించండి.

స్థితి అక్షరాన్ని తిప్పడానికి జారీ డేటాబేస్ను చేతితో సవరించడం సంతకం చేసిన రద్దుకు ప్రత్యామ్నాయం కాదు, అది CRLను రికార్డులతో అసంగతంగా ఉంచుతుంది.

సీరియల్, CRL మరియు పంపిణీ దశను ఒకే గమనికలో ఉంచండి, తదుపరి ఆడిట్ చదవడం వ్యాయామంగా మారుతుంది. Easy-RSA ప్రాజెక్ట్ మీరు ఇన్స్టాల్ చేసిన విడుదలకు మద్దతు ఉన్న ఆదేశాలను డాక్యుమెంట్ చేస్తుంది, అనుసరించదగిన ఏకైక ఇంటర్ఫేస్ అదే.