తప్పు VPN సర్టిఫికెట్ను రద్దు చేశారా? రికవరీ ఎంపికలు మరియు పరిమితులు

ఎవరో CA కన్సోల్లో ఒక సర్టిఫికెట్ను రద్దు చేశారు మరియు ఇప్పుడు వినియోగదారు కనెక్ట్ కాలేరు. మొదటి ప్రవృత్తి రద్దును వెతకడం, మరియు చాలా PKIలలో అది ఉండదు: రద్దు అనేది సీరియల్ నంబర్ గురించి ప్రకటించిన వాస్తవం, మరియు మద్దతు ఉన్న తిరిగి వెళ్లే మార్గం కొత్త సర్టిఫికెట్, తలకిందులైన రికార్డు కాదు. క్రింది తనిఖీలను క్రమంగా చేయండి, ఎందుకంటే ఏ మరమ్మతు అనుమతించబడింది అనేది కారణ కోడ్ మరియు కీ ఎప్పుడైనా బహిర్గతమైందా అనే దానిపై ఆధారపడి ఉంటుంది.

సర్టిఫికెట్ను గుర్తించండి, వ్యక్తిని కాదు

సాధారణ పేర్లు పునరావృతమవుతాయి. గత త్రైమాసికంలో తిరిగి నమోదు చేసుకున్న వినియోగదారు ఒకే CN మరియు వేర్వేరు సీరియల్ నంబర్లతో రెండు సర్టిఫికెట్లను కలిగి ఉండవచ్చు, ఒకటి రద్దు చేయడం మరొకటి పని చేస్తూనే ఉంటుంది. మొదట ఖచ్చితమైన వస్తువును నిర్ణయించండి:

openssl x509 -in client.crt -noout -serial -issuer -subject -dates
openssl crl -in ca.crl -noout -text | head -40

సీరియల్ నంబర్, జారీచేసేవారు, రద్దు తేదీ మరియు CRLలో నమోదైన కారణాన్ని రాయండి. తర్వాత ఆ సీరియల్ నంబర్ను ప్రదర్శించే పరికరాలను నిర్ధారించండి, ఎందుకంటే రద్దు చేసిన సర్టిఫికెట్ ఇంకా ల్యాప్టాప్, ఫోన్ మరియు అదనపు రౌటర్లో ఇన్స్టాల్ చేయబడి ఉండవచ్చు, వాటిలో ఒకదానికి మాత్రమే చేరే ప్రత్యామ్నాయం రెండవ సంఘటనను సృష్టిస్తుంది.

వేగవంతమైన ప్రవర్తన తనిఖీ ఏమీ మార్చకుండా స్థితిని నిర్ధారిస్తుంది:

openssl verify -crl_check -CAfile ca.crt -CRLfile ca.crl client.crt

అది సర్టిఫికెట్ను రద్దు చేయబడినట్లు నివేదిస్తే, CRL మరియు క్లయింట్ అంగీకరిస్తాయి; అది శుభ్రంగా ధృవీకరించబడితే, మీ చేతిలో ఉన్న క్లయింట్ రద్దు చేయబడినది కాదు, మరియు శోధన కొనసాగుతుంది.

CA నిలిపివేత లేదా శాశ్వత రద్దును ఉపయోగించిందా అని తనిఖీ చేయండి

RFC 5280 certificateHold ను తాత్కాలిక స్థితిగా మరియు removeFromCRL ను దానిని విడుదల చేసే సంకేతంగా నిర్వచిస్తుంది. ఆ జీవితచక్రం నిజమైనది, కానీ అది సాధారణ రద్దు బటన్ కాదు. కారణ కోడ్ చదవడం జారీచేసేవారు ఎప్పుడైనా విడుదలకు మద్దతు ఇవ్వాలని భావించారా అని చెబుతుంది.

ఉచ్చు ఏమిటంటే తాత్కాలిక ఉద్దేశం తాత్కాలిక రికార్డును సూచిస్తుందని భావించడం. CA నమోదులో keyCompromise లేదా cessationOfOperation ఉంటే, బటన్ నొక్కిన వ్యక్తి ఉద్దేశం ఏమైనా సర్టిఫికెట్ శాశ్వతంగా రద్దు చేయబడింది. దీనికి విరుద్ధంగా, నిలిపివేత విడుదలను అమలు చేయని CAలో certificateHold అని గుర్తించిన నమోదు ఆచరణలో శాశ్వతం, ఎందుకంటే విడుదల ఎప్పటికీ ప్రచురించబడదు.

OpenSSL ఆధారిత CAలు పరిమితిని వివరిస్తాయి. ca ఆదేశం -crl_reason విలువలను అంగీకరిస్తుంది, వాటిలో certificateHold మరియు removeFromCRL ఉన్నాయి, కానీ డెల్టా CRLలను ఉత్పత్తి చేయదు — OpenSSL CA పత్రాలు తమ CRL అవుట్పుట్కు ఈ పరిమితిని పేర్కొంటాయి. సీరియల్ నంబర్ను కేవలం విడిచిపెట్టే పూర్తి CRL "ఈ నమోదు విడుదల చేయబడింది" అనే డెల్టా కంటే భిన్నమైన ప్రచురణ నమూనా, కాబట్టి OpenSSL ఆధారిత VPN CAలో removeFromCRL అతికించడం ప్రమాణాల ద్వారా నిర్వచించిన విడుదలను ఇవ్వదు.

కీ బహిర్గతమై ఉండవచ్చు అని అనుకుంటే, దాన్ని భర్తీ చేయండి

రద్దు చేసిన సర్టిఫికెట్ ఈ కీని ఇకపై విశ్వసించలేము అనే ప్రకటన. రద్దు సారాంశంలో సరైనది అయితే — ల్యాప్టాప్ పోయింది, కీ పంచుకున్న డిస్క్కు కాపీ అయింది, ప్రైవేట్ కీ టికెట్లో అతికించబడింది — అదే సర్టిఫికెట్ను పునరుద్ధరించడం ఉద్దేశించిన విధంగా పని చేస్తున్న భద్రతా నిర్ణయాన్ని తిరగరాస్తుంది.

నమోదు ప్రక్రియ ద్వారా కొత్త కీ జంటను జారీ చేయండి, కొత్త ప్రొఫైల్ను పంపిణీ చేయండి, మరియు పాత సీరియల్ నంబర్ను దాని మొత్తం జీవితకాలంలో రద్దు చేయబడినట్లుగా ఉంచండి. సీరియల్ నంబర్ లేదా వేలిముద్ర ద్వారా గుర్తింపును పిన్ చేసే ప్రతిదాన్ని నవీకరించండి, వాటిలో ప్రవేశ జాబితాలు, పరికర ఇన్వెంటరీలు మరియు నిర్దిష్ట సర్టిఫికెట్ను ఆశించే పర్యవేక్షణ ఉన్నాయి.

పాతదాన్ని పునరుద్ధరించే సౌలభ్య వాదన నిజమైనది, కానీ దానికి స్పష్టంగా సమాధానం ఇవ్వాలి, నిశ్శబ్దంగా కాదు. "వినియోగదారుకు ఈరోజు ప్రవేశం కావాలి" అనేది జారీని వేగవంతం చేయడానికి కారణం, మీరు లెక్క చెప్పలేని కీ రద్దును ఉపసంహరించడానికి కారణం కాదు.

అది పరిపాలనా పొరపాటు అయితే, నియంత్రణలో భర్తీ చేయండి

రద్దు కేవలం తప్పు అయి మరియు కీ ఎప్పుడూ బహిర్గతం కాకపోతే, మరమ్మతు ఇంకా సవరణ కాదు, నియంత్రిత భర్తీ. జారీచేసేవారి మద్దతు ఉన్న ప్రక్రియను ఉపయోగించండి, సీరియల్ నంబర్ మరియు జారీ చరిత్రను చెక్కుచెదరకుండా ఉంచండి, మరియు రెండు ఆకర్షణీయ షార్ట్కట్లను నివారించండి: index.txt లో స్థితి అక్షరాన్ని R నుండి తిరిగి V కి మార్చడం, మరియు కొత్త సర్టిఫికెట్ సీరియల్ నంబర్ను తిరిగి ఉపయోగించగలిగేలా జారీ వరుసను తొలగించడం.

OpenSSL CAలో డేటాబేస్ ట్యాబ్-వేరుచేయబడి ఉంటుంది మరియు తప్పుగా చదవడం సులభం, ఇది చేతితో సవరించడాన్ని ఆకర్షణీయంగా చేస్తుంది:

awk -F'\t' '$1=="R" {print $4, $3, $6}' index.txt

దాన్ని చదవండి, రాయవద్దు. ఫైల్ను సవరించడం ఎటువంటి ఆడిట్ జాడ లేకుండా తదుపరి CRLను మారుస్తుంది, మరియు అసలు వరుసను ఇంకా కలిగి ఉన్న ఏదైనా రెండవ CA ఇన్స్టాన్స్ లేదా బ్యాకప్ తర్వాత దానితో విభేదిస్తుంది.

భర్తీని జారీ చేసిన తర్వాత, సాధారణ యంత్రాంగం ద్వారా కొత్త CRLను ప్రచురించండి మరియు క్లయింట్లు దాన్ని తీసుకోనివ్వండి. CRLను తొలగించడం, దాని ఆయువును సున్నాకు తగ్గించడం లేదా క్లయింట్ ప్రొఫైల్లో రద్దు తనిఖీని నిలిపివేయడం CA ఎప్పుడైనా ప్రచురించిన ప్రతి ఇతర రద్దును బలహీనపరచి ఒక వినియోగదారును సరిచేస్తుంది.

కొత్త ప్రవేశాన్ని నిర్ధారించండి మరియు రికార్డును ఉంచండి

ఇప్పటికే తెరిచిన సెషన్తో కాదు, కొత్త కనెక్షన్తో పరీక్షించండి. సజీవ సొరంగం కొత్త హ్యాండ్షేక్ చేసే ప్రవేశ తనిఖీలను తిరిగి అమలు చేయకపోవచ్చు, మరియు CRL కాష్లు క్లయింట్ రిఫ్రెష్ అయ్యే వరకు కనెక్ట్ అవుతూనే ఉండవచ్చు అని అర్థం. డిస్కనెక్ట్ చేయండి, తిరిగి కనెక్ట్ చేయండి, మరియు సర్వర్ లాగ్లో ఏ సీరియల్ నంబర్ అంగీకరించబడిందో నిర్ధారించండి.

ఏం జరిగిందో ఇంకా తాజాగా ఉన్నప్పుడే నమోదు చేయండి: ఏ సీరియల్ నంబర్ రద్దు చేయబడింది, ఎవరు, ఏ కారణంతో, ఏ భర్తీ జారీ చేయబడింది, మరియు CRL ఎప్పుడు తిరిగి ప్రచురించబడింది. ఆ రికార్డే తదుపరి రద్దు సమీక్షను సాధ్యం చేస్తుంది, మరియు తప్పు దాచబడకుండా నిర్వహించబడిందని రుజువు కూడా.

భవిష్యత్తులో చిన్న నిలిపివేతలకు, అమరికలో ఉంటే ప్రవేశ-విరామ యంత్రాంగాన్ని ఉపయోగించండి — గుర్తింపు పొరలో నిష్క్రియం చేసిన ఖాతా, తొలగించిన సమూహ సభ్యత్వం, నిలిపి ఉంచిన క్లయింట్ ప్రొఫైల్. ఇది తాత్కాలిక విధాన నిర్ణయాన్ని జారీ చేసిన సర్టిఫికెట్ ఇంకా విశ్వసనీయమా అనే ప్రశ్న నుండి వేరు చేస్తుంది, మొదటిసారి కోల్పోయిన భేదం అదే.