Noto'g'ri VPN sertifikatini bekor qildingizmi? Tiklash variantlari va cheklovlar

Kimdir CA konsolida sertifikatni bekor qildi va endi foydalanuvchi ulana olmaydi. Birinchi instinkt bekor qilishni qidirishdir, va ko'pchilik PKI-larda u yo'q: bekor qilish seriya raqami haqida e'lon qilingan fakt, va qo'llab-quvvatlanadigan qaytish yo'li yangi sertifikat, teskari yozuv emas. Quyidagi tekshiruvlarni tartib bilan bajaring, chunki qaysi tuzatishga ruxsat berilgani sabab kodi va kalit hech qachon oshkor qilingan-qilinmaganiga bog'liq.

Sertifikatni aniqlang, shaxsni emas

Umumiy nomlar takrorlanadi. O'tgan chorakda qayta ro'yxatdan o'tgan foydalanuvchida bir xil CN va turli seriya raqamlariga ega ikkita sertifikat bo'lishi mumkin, va bittasini bekor qilish ikkinchisini ishlashda qoldiradi. Avval aniq ob'ektni belgilang:

openssl x509 -in client.crt -noout -serial -issuer -subject -dates
openssl crl -in ca.crl -noout -text | head -40

Seriya raqamini, beruvchini, bekor qilingan sanani va CRLda yozilgan sababni yozib qo'ying. Keyin o'sha seriya raqamini taqdim etadigan qurilmalarni aniqlang, chunki bekor qilingan sertifikat hali ham noutbukda, telefonda va zaxira routerda o'rnatilgan bo'lishi mumkin, va ulardan faqat bittasiga yetadigan almashtirish ikkinchi hodisani keltirib chiqaradi.

Tezkor xatti-harakat tekshiruvi hech narsani o'zgartirmasdan holatni tasdiqlaydi:

openssl verify -crl_check -CAfile ca.crt -CRLfile ca.crl client.crt

Agar u sertifikatni bekor qilingan deb xabar qilsa, CRL va mijoz rozidir; agar u toza tekshirilsa, siz ushlab turgan mijoz bekor qilingan emas, va qidiruv davom etadi.

CA ushlab turish yoki doimiy bekor qilishdan foydalanganini tekshiring

RFC 5280 certificateHold-ni vaqtinchalik holat, removeFromCRL-ni esa uni ozod qiluvchi signal deb belgilaydi. Bu hayot tsikli haqiqiy, lekin bu umumiy bekor qilish tugmasi emas. Sabab kodini o'qish beruvchi ozod qilishni qo'llab-quvvatlashni niyat qilgan-qilmaganini aytadi.

Tuzoq — vaqtinchalik niyat vaqtinchalik yozuvni bildiradi deb o'ylash. Agar CA yozuvida keyCompromise yoki cessationOfOperation bo'lsa, tugmani bosgan odamning niyati qanday bo'lishidan qat'i nazar sertifikat doimiy bekor qilingan. Aksincha, ushlab turish ozod qilishini joriy qilmaydigan CAda certificateHold bilan belgilangan yozuv amalda doimiydir, chunki hech narsa ozod qilishni hech qachon e'lon qilmaydi.

OpenSSL asosidagi CA-lar cheklovni ko'rsatadi. ca buyrug'i -crl_reason qiymatlarini, jumladan certificateHold va removeFromCRL-ni qabul qiladi, lekin delta CRL yaratmaydi — OpenSSL CA hujjatlari o'zining CRL chiqishi uchun bu cheklovni qayd etadi. Seriya raqamini shunchaki qoldirib ketadigan to'liq CRL "bu yozuv ozod qilindi" deydigan deltadan boshqa e'lon modeli, shuning uchun OpenSSL asosidagi VPN CAga removeFromCRL yopishtirish standartlarda belgilangan ozod qilishni bermaydi.

Agar kalit oshkor qilingan bo'lishi mumkin bo'lsa, uni almashtiring

Bekor qilingan sertifikat bu kalitga endi ishonib bo'lmaydi degan bayonotdir. Agar bekor qilish mohiyatan to'g'ri bo'lsa — noutbuk yo'qoldi, kalit umumiy diskka ko'chirildi, shaxsiy kalit tikketga yopishtirildi — o'sha sertifikatni tiklash mo'ljallanganidek ishlagan xavfsizlik qarorini teskarisiga aylantiradi.

Ro'yxatdan o'tish jarayoni orqali yangi kalit juftini chiqaring, yangi profilni tarqating va eski seriya raqamini butun umri davomida bekor qilingan holda qoldiring. Seriya raqami yoki barmoq izi bilan shaxsni mahkamlaydigan hamma narsani yangilang, jumladan kirish ro'yxatlari, qurilmalar inventari va ma'lum sertifikatni kutadigan monitoring.

Eskisini tiklashning qulaylik dalili haqiqiy, lekin unga ochiq javob berish kerak, jim emas. "Foydalanuvchiga bugun kirish kerak" — chiqarishni tezlashtirish uchun sabab, hisobini bera olmaydigan kalitning bekor qilinishini qaytarish uchun sabab emas.

Agar bu ma'muriy xato bo'lsa, nazorat ostida almashtiring

Bekor qilish shunchaki noto'g'ri bo'lgan va kalit hech qachon oshkor qilinmagan bo'lsa, tuzatish hali ham tahrirlash emas, balki nazorat qilinadigan almashtirishdir. Beruvchining qo'llab-quvvatlanadigan jarayonidan foydalaning, seriya raqami va chiqarish tarixini buzilmagan holda saqlang, va ikkita vasvasali qisqa yo'ldan qoching: index.txt ichidagi holat belgisini R-dan qayta V-ga aylantirish, va yangi sertifikat seriya raqamini qayta ishlata olishi uchun chiqarish qatorini o'chirish.

OpenSSL CA-da ma'lumotlar bazasi tab bilan ajratilgan va uni noto'g'ri o'qish oson, bu qo'lda tahrirlashni jozibali qiladi:

awk -F'\t' '$1=="R" {print $4, $3, $6}' index.txt

Uni o'qing, yozmang. Faylni tahrirlash keyingi CRLni hech qanday audit izisiz o'zgartiradi, va asl qatorni hali saqlayotgan har qanday ikkinchi CA nusxasi yoki zaxira keyinchalik u bilan ziddiyatga tushadi.

Almashtirishni chiqargandan so'ng, odatiy mexanizm orqali yangi CRL e'lon qiling va mijozlar uni olishiga ruxsat bering. CRLni olib tashlash, uning umrini nolga qisqartirish yoki mijoz profilida bekor qilish tekshiruvini o'chirish CA hech qachon e'lon qilgan har bir boshqa bekor qilishni zaiflashtirib, bitta foydalanuvchini tuzatadi.

Yangi kirishni tasdiqlang va yozuvni saqlang

Allaqachon ochilgan sessiya bilan emas, yangi ulanish bilan sinab ko'ring. Jonli tunnel yangi qo'l berish bajaradigan kirish tekshiruvlarini qayta ishga tushirmasligi mumkin, va CRL keshlari mijoz yangilanmaguncha ulanishda davom etishi mumkinligini bildiradi. Uzing, qayta ulaning va server jurnalida qaysi seriya raqami qabul qilinganini tasdiqlang.

Nima bo'lganini hali yangi bo'lganda yozib qo'ying: qaysi seriya raqami bekor qilindi, kim, qanday sabab bilan, qanday almashtirish chiqarildi va CRL qachon qayta e'lon qilindi. O'sha yozuv keyingi bekor qilish ko'rib chiqishini mumkin qiladi va xato yashirilmagan, balki hal qilinganining dalilidir.

Kelajakda qisqa to'xtatishlar uchun, joylashtirishda mavjud bo'lsa, kirishni pauza qilish mexanizmidan foydalaning — identifikatsiya qatlamida o'chirilgan hisob, olib tashlangan guruh a'zoligi, ushlab turilgan mijoz profili. Bu vaqtinchalik siyosat qarorini chiqarilgan sertifikat hali ishonchlimi degan savoldan ajratadi, va birinchi marta yo'qolgan farq aynan shu edi.