การเพิกถอนใบรับรองล้มเหลว: โฮสต์ใดเข้าถึงอะไรไม่ได้

ใบรับรองอาจอยู่ในช่วงอายุการใช้งานได้ ขณะที่ VPN ยัง รายงานความล้มเหลวในการพิสูจน์ตัวตน และมีคนสรุปว่าใบรับรองถูกเพิกถอน นั่นคือข้อเท็จจริงที่แตกต่างกันสามข้อ ข้อมูลการเพิกถอนต้องถูกดึงโดยอุปกรณ์ที่ทำการตรวจสอบ จากจุดเผยแพร่ที่ระบุไว้ในใบรับรองเอง เมื่ออุปกรณ์นั้นเข้าถึงจุดดังกล่าวไม่ได้ การตรวจสอบก็ล้มเหลวด้วยเหตุผลที่ไม่เกี่ยวกับสถานะของใบรับรอง

ผู้ตรวจสอบเป็นเจ้าของเส้นทางการดึงข้อมูล

เริ่มด้วยการระบุผู้ตรวจสอบ เมื่อแล็ปท็อปตรวจสอบใบรับรองของเกตเวย์ แล็ปท็อปเป็นผู้ดึงข้อมูล เมื่อเกตเวย์ตรวจสอบใบรับรองของไคลเอนต์ เกตเวย์เป็นผู้ทำ บริการพิสูจน์ตัวตนที่อยู่เบื้องหลังอาจเพิ่มผู้ตรวจสอบรายที่สามซึ่งมีตำแหน่งในเครือข่ายของตนเอง แต่ละรายมีเส้นทางสู่อินเทอร์เน็ตและการตั้งค่าพร็อกซีที่ต่างกัน หลักฐานที่เก็บจากเวิร์กสเตชันของผู้ดูแลระบบไม่ได้บอกอะไรเกี่ยวกับเซิร์ฟเวอร์ภายใน DMZ

จดบันทึกใบรับรอง ผู้ตรวจสอบ เวลาที่พยายาม และรหัสสถานะที่แน่นอนก่อนจะเปลี่ยนแปลงสิ่งใด

อ่านจุดเผยแพร่จากใบรับรอง

ใบรับรองระบุว่าสถานะของตนอยู่ที่ใด อ่านฟิลด์เหล่านั้นแทนการเดาที่อยู่ของ CA

openssl x509 -in gateway.cer -noout -text | grep -A3 "CRL Distribution Points"
openssl x509 -in gateway.cer -noout -text | grep -A2 "Authority Information Access"

ส่วนขยายแรกแสดงรายการจุดเผยแพร่ CRL และส่วนที่สองแสดงวิธีการเข้าถึงข้อมูลผู้ออก ซึ่งอาจครอบคลุมสถานะ OCSP และการดึงใบรับรองของผู้ออก สิ่งเหล่านี้เป็นกลไกที่แตกต่างกัน และตัวตอบสนอง OCSP ไม่ใช่ไฟล์ CRL โฮสต์ที่เผยแพร่มักเป็นเว็บเซิร์ฟเวอร์ธรรมดา ไม่ใช่เครื่อง CA เพราะผู้ออกที่ออฟไลน์สามารถลงนาม CRL ที่เซิร์ฟเวอร์อื่นเผยแพร่ได้ กฎไฟร์วอลล์ที่อธิบายว่าเป็นการเข้าถึง CA จึงกว้างเกินกว่าจะนำไปใช้หรือตรวจทาน

ทดสอบการดึงข้อมูลจากอุปกรณ์ที่ตรวจสอบ

รันการทดสอบการดึงข้อมูลในสภาพแวดล้อมที่ทำการตรวจสอบจริง ด้วยวัสดุใบรับรองที่ได้รับอนุมัติและไม่มีคีย์ส่วนตัว

certutil -urlfetch -verify .\client-test.cer
curl -sS -o /dev/null -w "%{http_code}\n" http://crl.example.com/ca.crl

การรัน certutil ตรวจสอบห่วงโซ่และรายงานว่าการดึง URL ใดสำเร็จหรือล้มเหลว ส่วนการเรียก curl ทดสอบที่อยู่เผยแพร่หนึ่งแห่งจากโฮสต์เดียวกันและคืนค่าเพียงรหัสสถานะ การดึงล้มเหลวจากที่อยู่ที่เข้าถึงได้ชี้ไปที่ปัญหาด้านเนื้อหาหรือลายเซ็น ส่วนข้อผิดพลาดในการเชื่อมต่อชี้ไปที่การกำหนดเส้นทาง DNS หรือพร็อกซี เก็บผลลัพธ์ทั้งสองไว้ เพราะการดึงสำเร็จเพียงครั้งเดียวไม่ได้พิสูจน์ว่าห่วงโซ่ทั้งหมดใช้งานได้ เปลี่ยนโฮสต์และพาธตัวอย่างเป็นจุดเผยแพร่ที่พบในใบรับรอง

แยกข้อมูลที่ขาดหายออกจากสถานะถูกเพิกถอน

ผลลัพธ์สี่แบบดูคล้ายกันจากภายนอก: จุดนั้นเข้าถึงไม่ได้ รายการล้าสมัย รายการลงนามโดยผู้ออกที่ไม่ถูกต้อง หรือใบรับรองถูกเพิกถอนจริง ๆ เฉพาะแบบสุดท้ายเท่านั้นที่เป็นผลของสถานะ และเฉพาะแบบนั้นที่ทำให้การถอนสิทธิ์เข้าถึงสมเหตุสมผล แคชทำให้ภาพซับซ้อนยิ่งขึ้น เพราะข้อมูลที่ดึงมาก่อนอาจซ่อนเส้นทางการเผยแพร่ที่เสียหายจนกว่าจะรีเฟรชครั้งถัดไป การปิดการตรวจสอบการเพิกถอน การลบใบรับรองที่ไม่เกี่ยวข้อง หรือการรีบูตเกตเวย์ ล้วนแทนที่การวินิจฉัยด้วยกิจกรรม

หลังการแก้ไข ให้บังคับการพิสูจน์ตัวตนใหม่และยืนยันว่าการดึงสถานะตามที่ตั้งใจสำเร็จ ในกรณีที่มีตัวตนทดสอบที่ควบคุมได้ ให้ยืนยันว่ายังคงถูกปฏิเสธ เพราะความพร้อมใช้งานที่ลบการตรวจสอบออกไม่ใช่การซ่อมแซม