Nag-revoke ka ba ng maling VPN certificate? Mga opsyon sa pagbawi at limitasyon

May nag-revoke ng certificate sa CA console at ngayon hindi makakonekta ang isang user. Ang unang instinct ay hanapin ang undo, at para sa karamihan ng PKI wala ito: ang revoke ay isang idineklarang katotohanan tungkol sa serial number, at ang sinusuportahang daan pabalik ay isang bagong certificate, hindi isang baligtad na record. Sundan ang mga tseke sa ibaba sa ayos, dahil nakadepende sa reason code at sa kung ang key ay na-expose kung aling pag-aayos ang pinapayagan.

Tukuyin ang certificate, hindi ang tao

Nag-uulit ang mga common name. Ang user na nag-enroll muli noong nakaraang quarter ay maaaring may dalawang certificate na may parehong CN at magkaibang serial number, at kapag ni-revoke ang isa, gumagana pa rin ang isa. Itatag muna ang eksaktong object:

openssl x509 -in client.crt -noout -serial -issuer -subject -dates
openssl crl -in ca.crl -noout -text | head -40

Isulat ang serial number, issuer, petsa ng revoke at reason na nakatala sa CRL. Pagkatapos, kumpirmahin kung aling mga device ang nagpapakita ng serial number na iyon, dahil ang na-revoke na certificate ay maaaring naka-install pa sa laptop, telepono at spare router, at ang kapalit na nakakarating lamang sa isa sa mga ito ay gumagawa ng pangalawang insidente.

Ang mabilis na behaviour check ay nagpapatunay ng estado nang walang binabago:

openssl verify -crl_check -CAfile ca.crt -CRLfile ca.crl client.crt

Kung iniulat nito ang certificate bilang revoked, nagkakasundo ang CRL at client; kung malinis itong nag-verify, ang client na hawak mo ay hindi ang na-revoke, at nagpapatuloy ang paghahanap.

Tingnan kung hold o permanenteng revoke ang ginamit ng CA

Tinutukoy ng RFC 5280 ang certificateHold bilang pansamantalang estado, at ang removeFromCRL bilang signal na nagpapalaya nito. Totoo ang lifecycle na iyon, ngunit hindi ito pangkalahatang undo button. Ang pagbasa ng reason code ay nagsasabi kung balak ng issuer na suportahan ang pagpapalaya.

Ang patibong ay ang ipagpalagay na ang pansamantalang intensyon ay nangangahulugang pansamantalang record. Kung ang entry sa CA ay may keyCompromise o cessationOfOperation, permanenteng revoked ang certificate, anuman ang intensyon ng taong pumindot ng button. Sa kabaligtaran, ang entry na minarkahan ng certificateHold sa CA na hindi nagpapatupad ng hold release ay permanente sa practice, dahil walang kailanman maglalathala ng release.

Ang mga CA na nakabatay sa OpenSSL ay naglalarawan ng limitasyon. Tumatanggap ang ca command ng -crl_reason values, kabilang ang certificateHold at removeFromCRL, ngunit hindi ito gumagawa ng delta CRL — itinutukoy ng OpenSSL CA documentation ang limitasyong iyon para sa CRL output nito. Ang buong CRL na basta inaalis ang serial number ay ibang publication model kaysa sa delta na nagsasabing "released ang entry na ito", kaya ang pag-paste ng removeFromCRL sa OpenSSL-based VPN CA ay hindi gumagawa ng release na tinukoy ng standards.

Kung maaaring na-expose ang key, palitan ito

Ang na-revoke na certificate ay isang pahayag na ang key na ito ay maaaring hindi na mapagkakatiwalaan. Kung tama ang revoke sa esensya — nawala ang laptop, nakopya ang key sa shared drive, na-paste ang private key sa ticket — binabaligtad ng pag-restore ng parehong certificate ang desisyong pangseguridad na gumagana ayon sa layunin.

Mag-isyu ng bagong key pair sa pamamagitan ng enrollment process, ipamahagi ang bagong profile, at iwanang revoked ang lumang serial number sa buong buhay nito. I-update ang lahat ng nagpupin ng identity sa serial number o fingerprint, kabilang ang admission lists, device inventories at monitoring na umaasa sa partikular na certificate.

Ang argumento ng kaginhawahan sa pag-restore ng luma ay totoo, ngunit dapat sagutin nang tahasan, hindi tahimik. Ang "kailangan ng user ng access ngayon" ay dahilan para pabilisin ang pag-isyu, hindi dahilan para iurong ang revoke ng key na hindi mo maipaliwanag.

Kung administratibong pagkakamali ito, palitan nang may kontrol

Kapag mali lamang ang revoke at hindi kailanman na-expose ang key, ang pag-aayos ay kontroladong pagpapalit pa rin at hindi pag-edit. Gamitin ang sinusuportahang proseso ng issuer, panatilihing buo ang serial number at issuance history, at iwasan ang dalawang tuksong shortcut: ang pagbaligtad ng status character sa index.txt mula R pabalik sa V, at ang pagbura ng issuance row para magamit muli ng bagong certificate ang serial number.

Sa OpenSSL CA, ang database ay tab-separated at madaling mabasa nang mali, kaya kaakit-akit ang manual editing:

awk -F'\t' '$1=="R" {print $4, $3, $6}' index.txt

Basahin ito, huwag itong isulat. Ang pag-edit ng file ay nagbabago sa susunod na CRL nang walang anumang audit trail, at ang anumang pangalawang CA instance o backup na mayroon pa ng orihinal na row ay hindi sasang-ayon dito mamaya.

Pagkatapos mag-isyu ng kapalit, ilathala ang bagong CRL sa normal na mekanismo at hayaang kunin ito ng mga client. Ang pag-alis ng CRL, pagpapaikli ng buhay nito hanggang wala, o pag-disable ng revocation check sa client profile ay nag-aayos ng isang user sa pamamagitan ng pagpapahina sa bawat iba pang revoke na nailathala ng CA.

Kumpirmahin ang bagong admission at itago ang record

Subukan gamit ang bagong koneksyon, hindi ang session na bukas na. Maaaring hindi muling isagawa ng live tunnel ang admission checks na ginagawa ng bagong handshake, at ang CRL caches ay nangangahulugang makakapagpatuloy ang client sa pagkonekta hanggang mag-refresh. I-disconnect, kumonekta muli, at kumpirmahin sa server log kung aling serial number ang tinanggap.

Itala ang nangyari habang sariwa pa: aling serial number ang na-revoke, sino, anong reason, anong kapalit ang inisyu, at kailan muling nailathala ang CRL. Ang record na iyon ang nagpapabuti sa susunod na revocation review, at ito rin ang ebidensyang hinawakan ang pagkakamali sa halip na itago.

Para sa maiikling suspension sa hinaharap, gumamit ng admission-pause mechanism kung mayroon ang deployment — account na na-disable sa identity layer, tinanggal na group membership, itinagong client profile. Hinihiwalay nito ang pansamantalang desisyon sa patakaran mula sa tanong kung mapagkakatiwalaan pa ang isyung certificate, at iyon mismong pagkakaiba ang nawala noong unang pagkakataon.