Mijoz sertifikati yo'qoldimi? Ism bilan emas, seriya raqami bilan bekor qiling

Mijozingizning sertifikat fayli yo'qoldi va birinchi reaksiya ismni bekor qilib, yangisini berishdir. Bu reaksiya asl sertifikatni amalda qoldiradi, chunki bekor qilish yorliq bo'yicha emas, seriya raqami bo'yicha ishlaydi. CA o'zi bergan narsaning nusxasini deyarli aniq saqlaydi va o'sha nusxani topish butun ishdir.

Faylni yo'qotish CA yozuvini yo'qotish emas

Easy-RSA PKI o'zi bergan ochiq sertifikatlarni saqlaydi, joriy versiyalar esa seriya bo'yicha nusxalarni PKI ichidagi certs_by_serial katalogida arxivlaydi. Bekor qilish uchun shaxsiy kalit kerak emas. Muhimi CA imzolagan aniq sertifikat va u CA da allaqachon bor.

To'g'ri PKI ning zaxira nusxasida, unga egalik qiluvchi administrator bilan ishlang. Bekor qilish tekshiriladigan amal, yarim tunda ishlab chiqarish bazasida qilinadigan ta'mirlash emas.

Mijozning ichki ochiq sertifikati nusxasi ham yaraydi, agar joylashtirish bittasini saqlagan bo'lsa.

Avval beruvchi va seriyani o'qing

Tiklangan PEM ni ko'rib chiqing va beruvchi, seriya raqami, subyekt va amal qilish muddatini yozib qo'ying. Seriya raqami bitta beruvchi doirasida noyob, muhitingizdagi barcha CA bo'ylab emas, shuning uchun beruvchi identifikatsiyaning bir qismi. Agar bir nechta sertifikat bitta subyektni bo'lishsa, ularni aynan o'sha seriyalar ajratadi.

Qiymatlarni CA yozuvlari va sertifikat bor deb hisoblagan qurilma yoki shaxs bilan solishtiring.

Umumiy nom qayta ishlatilishi mumkin va odatda shunday qilinadi. Seriyalar yozilmaguncha qaysi sertifikatlarni qaytarib olishni hal qilmang.

Yangi sertifikatni bekor qilish nima uchun hech narsa qilmaydi

Xuddi shu umumiy nom bilan o'rinbosar berish boshqa seriyali ikkinchi sertifikat yaratadi. O'rinbosarni bekor qilish yangisini qaytarib oladi va aslini muddati tugaguncha amalda qoldiradi. CA nuqtai nazaridan bular ikki mustaqil obyekt va CRL nomlarni emas, seriyalarni sanaydi. CA indeksi har bir berilgan sertifikat uchun bitta satr saqlaydi, aynan shu sababdan.

Xuddi shu chalkashlik teskari xatoni keltiradi: mijoz faylini o'chirib, CA uni unutdi deb o'ylash. Mijozda o'chirish bekor qilish hodisasi emas va nusxasi bor har bir kishi uchun sertifikat ishlashda davom etadi.

Ikkala xato ham ismni identifikatsiya deb qabul qilishdan kelib chiqadi.

Seriya nomlagan sertifikatni bekor qiling

CA ga tegishdan oldin obyektni aniqlang: openssl x509 -in recovered-client.pem -noout -issuer -serial -subject -dates to'rt qiymatni bitta o'tishda chiqaradi va CA arxivi bilan siz solishtiradigan narsa seriyadir. Easy-RSA bu arxivni pki/certs_by_serial ostida saqlaydi, har bir seriya nomida bitta fayl. Bekor qilish buyrug'i seriyani emas, umumiy nomni oladi, shuning uchun arxivlangan faylni pki/issued/<common-name>.crt manziliga nusxalang va nom siz aniqlagan obyektga ishora qilsin. PKI katalogidan easyrsa revoke <common-name> ni ishga tushiring, so'ng index.txt dagi tegishli satr R ga o'zgarganini tekshiring. Seriya obyektni tanlash usuli, buyruq qabul qiladigan argument emas.

openssl x509 -in recovered-client.pem -noout -issuer -serial -subject -dates
cp pki/certs_by_serial/A1B2C3D4.pem pki/issued/client-01.crt
./easyrsa revoke client-01
grep -n client-01 pki/index.txt
./easyrsa gen-crl

Agar index.txt R ni ko'rsatmasa, to'xtang va CRL yaratishdan oldin xatoni o'qing, chunki hali amaldagi yozuvdan qurilgan CRL hech narsani qaytarib olmaydi. Satr o'zgargandan keyingina easyrsa gen-crl ni ishga tushirib, faylni tarqatishga o'tasiz.

CRL ni haqiqatda qo'llaniladigan joyda e'lon qiling

PKI ning qo'llab-quvvatlanadigan ish oqimi orqali yangi CRL yarating, so'ng uni ushbu beruvchining bekor qilishlarini qo'llaydigan har bir tekshiruvchida e'lon qiling.

CA da yotgan yangilangan fayl hech narsani o'zgartirmaydi, chunki VPN qarorni o'z tekshiruvchisida yakunlaydi. CRL ning beruvchisini, amal qilish muddatini va bekor qilingan seriyalarni tekshiring, xizmat faylni qayta yuklashini, avvalgisini keshlamesligini tasdiqlang. Egalik va yo'l mazmun kabi muhim: demon o'qiy olmaydigan CRL hech qanday CRL yo'qligidan farq qilmaydi. OpenVPN ning crl-verify opsiyasi demon o'qiydigan faylni nomlaydi, shuning uchun server konfiguratsiyasida o'sha yo'lni va fayl egaligini tekshiring.

Fayl vaqt belgisi bilan emas, haqiqiy ulanish urinishi bilan tekshiring.

CRL qachon noto'g'ri vosita ekanini biling

Agar beruvchining shaxsiy kalitiga endi ishonch yo'q bo'lsa, ma'lum seriyalarni qaytarib olish ruxsatsiz egasini yangi sertifikatlar imzolashdan to'xtata olmaydi. Bu beruvchi ishonchining o'tishi, ya'ni yangi CA va tarqatish rejasi, CRL ga yana bir yozuv emas. Sobiq administratorning ruxsati bo'lgani kalit suiiste'mol qilinganiga o'z-o'zidan dalil emas, shuning uchun ishonchni qayta qurishdan oldin faktlarni oling.

Holat harfini aylantirish uchun berish bazasini qo'lda tahrirlash imzolangan bekor qilishning o'rnini bosmaydi va CRL ni yozuvlar bilan nomuvofiq qoldiradi.

Seriya, CRL va tarqatish bosqichini bitta yozuvda saqlang, keyingi audit o'qish mashqiga aylanadi. Easy-RSA loyihasi o'rnatgan versiyangiz uchun qo'llab-quvvatlanadigan buyruqlarni hujjatlashtiradi va bu rioya qilishga arziydigan yagona interfeys.