Imbentaryo ng mga sertipiko ng VPN: ano ang kayang patunayan ng ledger ng CA
Isang folder sa server, isang ledger ng CA, isang listahan ng pagpapawalang-bisa at isang talahanayan ng sesyon ang sumasagot sa magkakaibang tanong. Paghiwalayin ang mga ito kapag nag-iimbentaryo ng mga pagkakakilanlang VPN.
Tumatanggap ang iyong gateway ng sertipiko ng kliyente na hindi pa nito nakita, dahil ang naka-configure dito ay isang pinagkakatiwalaang tagapaglabas, at dumarating ang sertipiko sa panahon ng handshake. Ganyan dapat gumana ang protocol, at iyon din ang dahilan kung bakit mahinang imbentaryo ang listahan ng direktoryo sa server. Alam ng tagapaglabas kung ano ang nilikha nito, alam ng server kung ano ang kumonekta, at alam ng estado ng pagpapawalang-bisa kung ano ang binawi. Ang imbentaryong naghahalo sa tatlong tala na iyon ay nag-aangkin sa huli ng isang bagay na walang sinabi sa kanila.
Nagtiwala ang gateway sa isang tagapaglabas, hindi sa listahan ng file
Inihahambing ng pagpapatunay ang isinumiteng sertipiko sa isang anchor ng pagtitiwala, kaya ang pagkakakilanlang nilikha kahapon ng parehong tagapaglabas ay kumokonekta nang hindi kailanman umiral sa disk ng server. Wala ring kailangang kopyahin para mangyari iyon, at walang kailangang mag-apruba nito nang manwal. Kaya inilalarawan ng sariling mga tala ng server ang mga pagdating, hindi ang populasyon ng mga pagkakakilanlang maaaring dumating.
Kasing-istorbo rin ang kabaligtarang puwang. Maaaring may mga sertipikong nag-expire na sa folder, mga binawi, at mga pagkakakilanlang inilabas para sa mga device na hindi kailanman na-deploy. Ang pagbilang ng file ay sumasagot kung ilang file ang naroon, na isang tanong na walang nagtanong. Magsimula na lang sa mga talang may kahulugan.
Apat na tanong, apat na magkakaibang tala
Ang bawat uri ng tala ay sumasagot nang maayos sa isang tanong at nang mahina sa iba, kaya ang ulat na nagsasama sa kanila ay mukhang kumpleto habang mali sa isang partikular na paraan. Inaayos sila ng talahanayan sa ibaba ayon sa tanong na nilulutas nila, hindi ayon sa sistemang gumagawa sa kanila.
| Question you are answering | Where the answer lives | How quickly it changes | What it will never show |
|---|---|---|---|
| Was this identity ever created? | The issuer's issuance database | Only when something is issued | Whether the device still exists |
| Is a copy sitting on this host? | The paths you actually inspected | Whenever anyone copies files | Certificates that were never copied here |
| Has the issuer withdrawn it? | Published revocation state | When the issuer next publishes | Withdrawals that are not published yet |
| Is it connected right now? | The live session table | Continuously | Anything about past or future sessions |
Ang archive ng mga pampublikong sertipiko ay hindi lihim, dahil wala itong mga pribadong susi, ngunit hindi rin ito maibabahagi. Ang mga subject at pangalan ng device ay nagbubunyag ng mga detalye ng operasyon, at ang ulat ay dapat manatili sa mga audience na nangangailangan nito. Nananatiling ganap na labas ng imbentaryo ang mga pribadong susi, dahil kailangan ng imbentaryo ng metadata, hindi ng mga kredensyal.
Ang tagapaglabas at serial number ang tanging matatag na susi
Nire-recycle ang mga subject at muling ginagamit ang mga pangalan ng file, kaya ang pangalang tumutukoy sa isang device noong nakaraang taon ay maaaring tumukoy na ngayon sa iba. Wala sa kanila ang susi, at ang ulat na itinayo sa alinman sa kanila ay sa huli ay pagsasamahin ang dalawang pagkakakilanlan sa isang linya.
Ang pares ng tagapaglabas at serial number ay natatanging tumutukoy sa isang sertipiko, at ang dalawang field ay nagmumula sa sertipiko mismo. Itala ang mga ito kasama ng subject, mga petsa ng validity, pinagmulang pinanggalingan ng kopya, at ang taong o device na may pananagutan. Idagdag ang estado ng pagpapawalang-bisa at pag-deploy bilang magkahiwalay na field na may sariling oras ng pagmamasid, dahil ang sertipikong nasa loob ng validity window nito ay hindi awtomatikong awtorisado. Ang dalawang katotohanang ito ay naninirahan sa magkaibang sistema, at ang pagsasama sa kanila ay nagtatago ng kaso kung saan binawi ang isang pagkakakilanlan habang ang file nito ay mukha pa ring bago.
Basahin ang isang sertipiko sa isang pagkakataon
Ang wildcard na lumalabas sa isang folder ay hindi batch interface, at itinatago nito kung aling file ang gumawa ng aling output. Basahin ang metadata sa bawat sertipiko, at basahin ang panig ng pagpapawalang-bisa mula sa sarili nitong artifact. Inililista ng reference ng OpenSSL x509 ang mga field na ipinapalimbag ng mga opsyong iyon.
openssl x509 -in <cert>.pem -noout -issuer -serial -subject -dates -fingerprint -sha256
openssl crl -in <issuer>.crl -noout -text | head -n 40Para sa isang pinamamahalaang PKI ng Easy-RSA, tanungin ang database ng paglabas sa pamamagitan ng workflow na sinusuportahan ng tool sa halip na magpalagay ng layout ng direktoryo, at panatilihing read-only ang mga orihinal habang binubuo ang imbentaryo. Sapat ang pagiging regular ng format ng ledger para bilangin ang mga valid na entry at ilista ang mga binawi nang hindi binubuksan nang manwal ang database.
grep -c '^V' pki/index.txt
grep '^R' pki/index.txt | cut -f4,5Isang imbentaryo na nakakalampas sa susunod na paglabas
Ang isang beses na dump ng isang folder ay nagiging laos sa sandaling mailabas ang susunod na sertipiko, kaya buuin ang ulat mula sa workflow ng paglabas at hayaang mag-update ito bilang bahagi ng normal na operasyon. Ginagawa rin nitong reproducible ang ulat, na mahalaga kapag hindi nagkakasundo ang dalawang tao sa kung ano ang inilabas.
Gamitin ang resulta para sa mga desisyon sa pag-renew at pag-retire at hindi bilang pagsasanay sa spreadsheet. Ang pagbura ng lokal na kopya ay hindi nagpapawalang-bisa sa mga malayuang kopyang umiiral na. Bawiin ang pagkakakilanlan sa pamamagitan ng naka-configure na workflow ng pagpapawalang-bisa at awtorisasyon, pagkatapos itala ang pagbawi kasama ang petsa nito. Ang pagkakakilanlang nawala sa server ngunit pinagkakatiwalaan pa rin ng tagapaglabas ay hindi pa na-retire, at ang pagkakaibang iyon ang naghihiwalay sa tumpak na imbentaryo mula sa isa na nagpapatahimik lamang.