Nawala ang sertipiko ng kliyente? I-revoke ayon sa serial number, hindi sa pangalan

Nawala ang file ng sertipiko ng iyong kliyente, at ang reaksiyon ay i-revoke ang pangalan at maglabas ng bago. Iniwan ng reaksiyong iyon na valid ang orihinal na sertipiko, dahil gumagana ang revoke sa serial number at hindi sa label. Halos tiyak na may hawak pa ring kopya ang CA ng inilabas nito, at ang paghahanap sa kopyang iyon ang buong gawain.

Ang pagkawala ng file ay hindi pagkawala ng tala ng CA

Ang Easy-RSA PKI ay nag-iingat ng mga pampublikong sertipikong inilabas nito, at ang mga kasalukuyang release ay nag-archive din ng mga kopya ayon sa serial sa certs_by_serial na direktoryo ng PKI. Hindi kailangan ang private key para mag-revoke ng anuman. Ang mahalaga ay ang eksaktong sertipikong pinirmahan ng CA, at hawak na ito ng CA.

Magtrabaho sa backup na kopya ng tamang PKI, kasama ang administrator na nagmamay-ari nito. Ang revoke ay isang operasyong naa-audit, hindi reparasyon sa production database sa hatinggabi.

Gumagana rin ang kopya ng inline na pampublikong sertipiko ng kliyente, kung may itinago ang deployment.

Basahin muna ang issuer at serial

Suriin ang na-recover na PEM at isulat ang issuer, serial number, subject at validity window. Ang serial number ay natatangi sa saklaw ng isang issuer, hindi sa lahat ng CA sa iyong kapaligiran, kaya bahagi ng pagkakakilanlan ang issuer. Kung maraming sertipiko ang nagbabahagi ng subject, ang mga serial na iyon ang nagtatangi sa kanila.

Itugma ang mga halaga sa mga tala ng CA at sa device o taong pinaniniwalaan mong may hawak ng sertipiko.

Maaaring gamitin muli ang karaniwang pangalan, at kadalasan ay ginagawa ito. Huwag magpasya kung aling mga sertipiko ang aalisin bago maisulat ang mga serial.

Bakit walang nagagawa ang pag-revoke sa bagong sertipiko

Ang paglabas ng kapalit na may parehong karaniwang pangalan ay lumilikha ng pangalawang sertipiko na may ibang serial. Ang pag-revoke sa kapalit ay nag-aalis ng bago at iniiwan na valid ang orihinal hanggang sa mag-expire ito. Mula sa pananaw ng CA ito ay dalawang malayang object, at ang CRL ay naglilista ng serial at hindi pangalan. Ang index ng CA ay may isang hilera para sa bawat inilabas na sertipiko dahil mismo doon.

Ang parehong kalituhan ay lumilikha ng kabaligtarang pagkakamali: tanggalin ang file ng kliyente at ipalagay na nakalimutan ito ng CA. Ang pagtanggal sa kliyente ay hindi kaganapan ng revoke, at patuloy na gumagana ang sertipiko para sa sinumang may kopya.

Ang dalawang pagkakamali ay nagmumula sa pagtrato sa pangalan bilang pagkakakilanlan.

I-revoke ang sertipikong tinutukoy ng serial

Tukuyin ang object bago hawakan ang CA: openssl x509 -in recovered-client.pem -noout -issuer -serial -subject -dates ay nagpi-print ng apat na halaga sa isang pass, at ang serial ang itinutugma mo sa archive ng CA. Iniingatan ng Easy-RSA ang archive na iyon sa ilalim ng pki/certs_by_serial, na may isang file bawat serial. Tumatanggap ang revoke command ng karaniwang pangalan at hindi serial, kaya kopyahin ang naka-archive na file sa pki/issued/<common-name>.crt at hayaan ang pangalan na tumuro sa object na tinukoy mo. Patakbuhin ang easyrsa revoke <common-name> mula sa PKI directory, pagkatapos ay tingnan kung ang tugmang hilera sa index.txt ay naging R. Ang serial ang paraan ng pagpili mo ng object, hindi argumento na tinatanggap ng command.

openssl x509 -in recovered-client.pem -noout -issuer -serial -subject -dates
cp pki/certs_by_serial/A1B2C3D4.pem pki/issued/client-01.crt
./easyrsa revoke client-01
grep -n client-01 pki/index.txt
./easyrsa gen-crl

Kung hindi ipinapakita ng index.txt ang R, huminto at basahin ang error bago bumuo ng CRL, dahil ang CRL na binuo mula sa tala na valid pa ay walang inaalis. Pagkatapos lamang magbago ang hilera mo patatakbuhin ang easyrsa gen-crl at magpapatuloy sa pamamahagi ng file.

Ilathala ang CRL kung saan ito aktwal na ipinapatupad

Bumuo ng bagong CRL sa pamamagitan ng sinusuportahang workflow ng PKI, pagkatapos ay ilathala ito sa bawat verifier na nagpapatupad ng mga revoke ng issuer na ito.

Ang na-update na file na nakaupo sa CA ay walang binabago, dahil tinatapos ng VPN ang desisyon sa sarili nitong verifier. Suriin ang issuer ng CRL, ang validity period at ang mga na-revoke na serial, at kumpirmahin na muling naglo-load ang serbisyo ng file sa halip na i-cache ang nauna. Mahalaga ang pagmamay-ari at path gaya ng nilalaman: ang CRL na hindi mabasa ng daemon ay walang pagkakaiba sa walang CRL. Ang opsyon na crl-verify ng OpenVPN ay nagpangalan ng file na binabasa ng daemon, kaya suriin ang path na iyon at ang pagmamay-ari ng file sa configuration ng server.

I-verify gamit ang tunay na pagtatangkang kumonekta, hindi gamit ang timestamp ng file.

Alamin kung kailan mali ang CRL bilang kasangkapan

Kung hindi na pinagkakatiwalaan ang private key ng issuer, ang pag-alis ng mga kilalang serial ay hindi makakapigil sa isang hindi awtorisadong may hawak na pumirma ng mga bagong sertipiko. Iyon ay paglipat ng tiwala sa issuer, ibig sabihin ay bagong CA at plano sa pamamahagi, hindi isa pang entry sa CRL. Ang pagkakaroon ng access ng dating administrator ay hindi sa sarili nito patunay ng pag-abuso sa key, kaya kunin ang mga katotohanan bago muling itayo ang tiwala.

Ang manu-manong pag-edit sa issuance database para baligtarin ang isang titik ng status ay hindi kapalit ng pinirmahang revoke, at iniiwan nitong hindi tugma ang CRL sa mga tala.

Itago ang serial, ang CRL at ang hakbang sa pamamahagi sa isang tala, at ang susunod na audit ay magiging pagsasanay sa pagbasa. Ang proyektong Easy-RSA ay nagdodokumento ng mga sinusuportahang command para sa release na inilagay mo, at iyon lang ang interface na dapat sundin.