VPN sertifikası envanteri: CA defterinin kanıtlayabilecekleri
Sunucudaki bir klasör, bir CA defteri, bir iptal listesi ve bir oturum tablosu farklı soruları yanıtlar. VPN kimliklerini envanterlerken bunları ayrı tutun.
Ağ geçidiniz hiç görmediği bir istemci sertifikasını kabul eder, çünkü yapılandırıldığı şey güvenilir bir vericidir ve sertifika el sıkışma sırasında gelir. Protokolün çalışması gereken yol budur ve bu yüzden sunucudaki bir klasör listesi kötü bir envanterdir. Verici ne oluşturduğunu bilir, sunucu neyin bağlandığını bilir ve iptal durumu neyin geri çekildiğini bilir. Bu üç kaydı birleştiren bir envanter, sonunda hiçbirinin söylemediği bir şeyi iddia eder.
Ağ geçidi bir dosya listesine değil, bir vericiye güvenir
Doğrulama, sunulan sertifikayı bir güven çapasıyla karşılaştırır, böylece aynı vericinin dün oluşturduğu bir kimlik, sunucunun diskinde hiç var olmadan bağlanır. Bunun olması için hiçbir şeyin kopyalanması gerekmez ve kimsenin elle onaylaması gerekmez. Bu nedenle sunucunun kendi kayıtları gelişleri tarif eder, gelebilecek kimliklerin nüfusunu değil.
Ters boşluk da aynı derecede can sıkıcıdır. Bir klasörde süresi dolmuş sertifikalar, iptal edilmiş olanlar ve hiç dağıtılmamış cihazlar için verilmiş kimlikler bulunabilir. Dosya saymak kaç dosya olduğunu yanıtlar ki bu kimsenin sormadığı bir sorudur. Bunun yerine anlam taşıyan kayıtlardan başlayın.
Dört soru, dört farklı kayıt
Her kayıt türü bir soruyu iyi, diğerlerini kötü yanıtlar, bu yüzden onları birleştiren bir rapor eksiksiz görünürken belirli bir biçimde yanlıştır. Aşağıdaki tablo onları üreten sisteme göre değil, çözdükleri soruya göre sıralar.
| Question you are answering | Where the answer lives | How quickly it changes | What it will never show |
|---|---|---|---|
| Was this identity ever created? | The issuer's issuance database | Only when something is issued | Whether the device still exists |
| Is a copy sitting on this host? | The paths you actually inspected | Whenever anyone copies files | Certificates that were never copied here |
| Has the issuer withdrawn it? | Published revocation state | When the issuer next publishes | Withdrawals that are not published yet |
| Is it connected right now? | The live session table | Continuously | Anything about past or future sessions |
Genel sertifikalardan oluşan bir arşiv sır değildir, çünkü özel anahtar içermez, ama paylaşılabilir de değildir. Özneler ve cihaz adları operasyonel ayrıntıları açığa çıkarır ve rapor ona ihtiyaç duyan kitleyle kalmalıdır. Özel anahtarlar envanterin tamamen dışında kalır, çünkü envanterin ihtiyacı kimlik bilgileri değil üst verilerdir.
Verici ve seri numarası tek kararlı anahtardır
Özneler geri dönüştürülür ve dosya adları yeniden kullanılır, bu yüzden geçen yıl bir cihazı tanımlayan bir ad şimdi başka birini tanımlayabilir. İkisi de anahtar değildir ve herhangi birine dayanan bir rapor sonunda iki kimliği tek satırda birleştirir.
Verici ve seri numarası çifti bir sertifikayı benzersiz biçimde tanımlar ve iki alan da sertifikanın kendisinden gelir. Bunları özne, geçerlilik tarihleri, kopyanın geldiği kaynak ve sorumlu kişi veya cihazla birlikte kaydedin. İptal ve dağıtım durumunu, kendi gözlem zamanlarına sahip ayrı alanlar olarak ekleyin, çünkü geçerlilik penceresi içindeki bir sertifika otomatik olarak yetkilendirilmiş değildir. Bu iki olgu farklı sistemlerde yaşar ve bunları birleştirmek, kimliğin geri çekildiği ama dosyasının hâlâ güncel göründüğü durumu gizler.
Sertifikaları tek tek okuyun
Bir klasör boyunca genişleyen joker karakter bir toplu arayüz değildir ve hangi dosyanın hangi çıktıyı verdiğini gizler. Üst verileri her sertifika için okuyun ve iptal tarafını kendi eserinden okuyun. OpenSSL x509 başvurusu bu seçeneklerin yazdırdığı alanları listeler.
openssl x509 -in <cert>.pem -noout -issuer -serial -subject -dates -fingerprint -sha256
openssl crl -in <issuer>.crl -noout -text | head -n 40Yönetilen bir Easy-RSA PKI için verme veritabanını, aracın desteklediği iş akışı üzerinden sorgulayın klasör düzenini varsaymak yerine ve envanter oluşturulurken asılları salt okunur tutun. Defter biçimi, veritabanını elle açmadan geçerli girişleri sayacak ve geri çekilenleri listeleyecek kadar düzenlidir.
grep -c '^V' pki/index.txt
grep '^R' pki/index.txt | cut -f4,5Bir sonraki vermeyi de atlatan envanter
Bir klasörün tek seferlik dökümü, bir sonraki sertifika verildiği anda bayatlar, bu yüzden raporu verme iş akışından oluşturun ve normal işleyişin bir parçası olarak güncellenmesine izin verin. Bu ayrıca raporu yeniden üretilebilir kılar ki iki kişi neyin verildiği konusunda anlaşamadığında bu önemlidir.
Sonucu yenileme ve kullanımdan kaldırma kararları için kullanın, bir elektronik tablo alıştırması olarak değil. Yerel bir kopyayı silmek, zaten var olan uzak kopyaları geçersiz kılmaz. Kimliği yapılandırılmış iptal ve yetkilendirme iş akışıyla geri çekin, ardından geri çekmeyi tarihiyle birlikte kaydedin. Sunucudan kaybolan ama vericinin hâlâ güvendiği bir kimlik kullanımdan kaldırılmamıştır ve bu fark, doğru bir envanteri yalnızca rahatlatıcı olandan ayırır.