İstemci sertifikası kayboldu mu? Ada göre değil, seri numarasına göre iptal edin

İstemcinizin sertifika dosyası kayboldu ve refleks, adı iptal edip yenisini vermektir. Bu refleks orijinal sertifikayı geçerli bırakır, çünkü iptal bir etiket üzerinde değil seri numarası üzerinde çalışır. CA neredeyse kesinlikle verdiğinin bir kopyasını hâlâ tutar ve o kopyayı bulmak işin tamamıdır.

Dosya kaybetmek, CA kaydını kaybetmek değildir

Easy-RSA PKI verdiği genel sertifikaları saklar ve güncel sürümler seriye göre kopyaları PKI'nin certs_by_serial dizininde arşivler. İptal için özel anahtar gerekmez. Önemli olan CA'nın imzaladığı tam sertifikadır ve CA bunu zaten elinde tutar.

Doğru PKI'nin yedek kopyası üzerinde, ona sahip yöneticiyle birlikte çalışın. İptal denetlenebilir bir işlemdir, gece yarısı üretim veritabanında yapılan bir onarım değildir.

İstemcinin gömülü genel sertifikasının bir kopyası da işe yarar, konuşlandırma bir tane sakladıysa.

Önce veren kurumu ve seriyi okuyun

Kurtarılan PEM'i inceleyin ve veren kurumu, seri numarasını, konuyu ve geçerlilik aralığını yazın. Seri numarası tek bir verenin kapsamında benzersizdir, ortamınızdaki tüm CA'lar arasında değil, bu yüzden veren kurum kimliğin parçasıdır. Birden çok sertifika aynı konuyu paylaşıyorsa onları ayıran tam da o serilerdir.

Değerleri CA kayıtlarıyla ve sertifikayı elinde tuttuğunu düşündüğünüz cihaz veya kişiyle karşılaştırın.

Ortak ad yeniden kullanılabilir ve genellikle de kullanılır. Seriler yazılmadan hangi sertifikaların geri çekileceğine karar vermeyin.

Yeni sertifikayı iptal etmek neden hiçbir şey yapmaz

Aynı ortak adla yeni bir sertifika vermek, farklı seriye sahip ikinci bir sertifika oluşturur. Yeniyi iptal etmek yenisini geri alır ve orijinali süresi dolana kadar geçerli bırakır. CA açısından bunlar iki bağımsız nesnedir ve CRL adları değil serileri listeler. CA dizini tam bu nedenle verilen her sertifika için bir satır tutar.

Aynı karışıklık ters hatayı doğurur: istemcinin dosyasını silip CA'nın onu unuttuğunu varsaymak. İstemcide silme bir iptal olayı değildir ve kopyası olan herkes için sertifika çalışmaya devam eder.

Her iki hata da adı kimlik olarak görmekten kaynaklanır.

Serinin adlandırdığı sertifikayı iptal edin

CA'ya dokunmadan önce nesneyi tanımlayın: openssl x509 -in recovered-client.pem -noout -issuer -serial -subject -dates dört değeri tek geçişte yazdırır ve CA arşiviyle eşleştirdiğiniz şey seridir. Easy-RSA bu arşivi pki/certs_by_serial altında tutar, her seri için bir dosya. İptal komutu seri değil ortak ad alır, bu yüzden arşivlenen dosyayı pki/issued/<common-name>.crt konumuna kopyalayın ve adın tanımladığınız nesneyi göstermesini sağlayın. easyrsa revoke <common-name> komutunu PKI dizininden çalıştırın, ardından index.txt içindeki ilgili satırın R değerine döndüğünü kontrol edin. Seri, nesneyi seçme biçiminizdir, komutun kabul ettiği bir argüman değildir.

openssl x509 -in recovered-client.pem -noout -issuer -serial -subject -dates
cp pki/certs_by_serial/A1B2C3D4.pem pki/issued/client-01.crt
./easyrsa revoke client-01
grep -n client-01 pki/index.txt
./easyrsa gen-crl

index.txt R göstermiyorsa durun ve CRL oluşturmadan önce hatayı okuyun, çünkü hâlâ geçerli bir kayıttan oluşturulan CRL hiçbir şeyi geri almaz. Ancak satır değiştikten sonra easyrsa gen-crl komutunu çalıştırıp dosyanın dağıtımına geçersiniz.

CRL'yi gerçekten uygulandığı yerde yayımlayın

PKI'nin desteklenen iş akışıyla yeni bir CRL oluşturun, ardından bu verenin iptallerini uygulayan her doğrulayıcıda yayımlayın.

CA üzerinde duran güncellenmiş bir dosya hiçbir şeyi değiştirmez, çünkü VPN kararı kendi doğrulayıcısında tamamlar. CRL'nin verenini, geçerlilik süresini ve iptal edilen serileri kontrol edin ve hizmetin dosyayı yeniden yüklediğini, öncekini önbelleğe almadığını doğrulayın. Sahiplik ve yol içerik kadar önemlidir: arka plan hizmetinin okuyamadığı bir CRL, hiç CRL olmamasından ayırt edilemez. OpenVPN'in crl-verify seçeneği arka plan hizmetinin okuduğu dosyayı adlandırır, bu yüzden sunucu yapılandırmasında o yolu ve dosyanın sahipliğini kontrol edin.

Dosyanın zaman damgasıyla değil, gerçek bir bağlantı denemesiyle doğrulayın.

CRL'nin ne zaman yanlış araç olduğunu bilin

Verenin özel anahtarına artık güvenilmiyorsa, bilinen serileri geri almak yetkisiz bir sahibin yeni sertifika imzalamasını engelleyemez. Bu, veren güveninin geçişidir, yani yeni bir CA ve dağıtım planı, CRL'ye bir kayıt daha değil. Eski bir yöneticinin erişimi olması tek başına anahtarın kötüye kullanıldığının kanıtı değildir, bu yüzden güveni yeniden kurmadan önce gerçekleri toplayın.

Bir durum harfini çevirmek için verme veritabanını elle düzenlemek imzalı iptalin yerini tutmaz ve CRL'yi kayıtlarla tutarsız bırakır.

Seriyi, CRL'yi ve dağıtım adımını tek bir notta tutun, sonraki denetim bir okuma alıştırmasına dönüşsün. Easy-RSA projesi kurduğunuz sürüm için desteklenen komutları belgeler ve izlenmeye değer tek arayüz budur.