VPN sertifikatlari ro'yxati: CA reyestri nimani isbotlay oladi
Serverdagi jild, CA reyestri, bekor qilish ro'yxati va sessiyalar jadvali turli savollarga javob beradi. VPN identifikatorlarini ro'yxatga olayotganda ularni alohida saqlang.
Sizning shlyuzingiz hech qachon ko'rmagan mijoz sertifikatini qabul qiladi, chunki u sozlangan narsa ishonchli chiqaruvchidir va sertifikat qo'l siqish paytida keladi. Protokol shunday ishlashi kerak va aynan shu sababli serverdagi jild ro'yxati yomon ro'yxatdir. Chiqaruvchi nima yaratganini biladi, server nima ulanganini biladi, bekor qilish holati esa nima qaytarib olinganini biladi. Bu uch yozuvni aralashtirgan ro'yxat oxir-oqibat hech biri aytmagan narsani da'vo qiladi.
Shlyuz fayllar ro'yxatiga emas, chiqaruvchiga ishonadi
Tekshiruv taqdim etilgan sertifikatni ishonch bog'ichi bilan solishtiradi, shuning uchun o'sha chiqaruvchi kecha yaratgan identifikator server diskida hech qachon mavjud bo'lmasa ham ulanadi. Buning uchun hech narsa nusxalanishi shart emas va hech kim uni qo'lda tasdiqlamaydi. Shuning uchun serverning o'z yozuvlari kelishlarni tasvirlaydi, kela oladigan identifikatorlar to'plamini emas.
Qarama-qarshi bo'shliq ham shunchalik noqulay. Jildda muddati o'tgan sertifikatlar, bekor qilinganlar va hech qachon joylashtirilmagan qurilmalar uchun chiqarilgan identifikatorlar bo'lishi mumkin. Fayllarni sanash qancha fayl borligini javob beradi, bu esa hech kim so'ramagan savol. Buning o'rniga ma'no beruvchi yozuvlardan boshlang.
To'rt savol, to'rt xil yozuv
Har bir yozuv turi bitta savolga yaxshi, qolganlariga yomon javob beradi, shu sababli ularni birlashtirgan hisobot to'liq ko'rinadi, ammo ma'lum bir jihatdan xato. Quyidagi jadval ularni ishlab chiqaradigan tizim bo'yicha emas, hal qiladigan savoli bo'yicha tartiblaydi.
| Question you are answering | Where the answer lives | How quickly it changes | What it will never show |
|---|---|---|---|
| Was this identity ever created? | The issuer's issuance database | Only when something is issued | Whether the device still exists |
| Is a copy sitting on this host? | The paths you actually inspected | Whenever anyone copies files | Certificates that were never copied here |
| Has the issuer withdrawn it? | Published revocation state | When the issuer next publishes | Withdrawals that are not published yet |
| Is it connected right now? | The live session table | Continuously | Anything about past or future sessions |
Ochiq sertifikatlar arxivi sir emas, chunki unda xususiy kalitlar yo'q, lekin uni ulashish ham mumkin emas. Subyektlar va qurilma nomlari operatsion tafsilotlarni ochib beradi, hisobot esa unga muhtoj auditoriyada qolishi kerak. Xususiy kalitlar ro'yxatdan butunlay tashqarida qoladi, chunki ro'yxatga ishonchnomalar emas, metadata kerak.
Chiqaruvchi va seriya raqami yagona barqaror kalitdir
Subyektlar qayta ishlanadi va fayl nomlari qayta ishlatiladi, shuning uchun o'tgan yil bitta qurilmani belgilagan nom endi boshqasini belgilashi mumkin. Hech biri kalit emas va ularning birortasiga asoslangan hisobot oxir-oqibat ikki identifikatorni bitta satrda birlashtiradi.
Chiqaruvchi va seriya raqami juftligi sertifikatni yagona tarzda aniqlaydi va ikkala maydon ham sertifikatning o'zidan olinadi. Ularni subyekt, amal qilish sanalari, nusxa kelgan manba va mas'ul shaxs yoki qurilma bilan birga yozib qo'ying. Bekor qilish va joylashtirish holatini o'z kuzatuv vaqtlariga ega alohida maydonlar sifatida qo'shing, chunki amal qilish oynasi ichidagi sertifikat avtomatik ravishda vakolatli emas. Bu ikki fakt turli tizimlarda yashaydi va ularni birlashtirish identifikator bekor qilingan, fayli esa hali ham yangi ko'rinadigan holatni yashiradi.
Sertifikatlarni birma-bir o'qing
Jild bo'ylab tarqaladigan joker belgi ommaviy interfeys emas va qaysi fayl qaysi chiqishni berganini yashiradi. Metadatalarni har bir sertifikat bo'yicha o'qing, bekor qilish tomonini esa uning o'z artefaktidan o'qing. OpenSSL x509 ma'lumotnomasi bu parametrlar chop etadigan maydonlarni sanab o'tadi.
openssl x509 -in <cert>.pem -noout -issuer -serial -subject -dates -fingerprint -sha256
openssl crl -in <issuer>.crl -noout -text | head -n 40Boshqariladigan Easy-RSA PKI uchun chiqarish ma'lumotlar bazasiga asbob qo'llab-quvvatlaydigan ish jarayoni orqali murojaat qiling jild tuzilishini taxmin qilish o'rniga va ro'yxat yig'ilayotganda asl nusxalarni faqat o'qish uchun saqlang. Reyestr formati yetarlicha muntazam, shuning uchun ma'lumotlar bazasini qo'lda ochmasdan amaldagi yozuvlarni sanash va qaytarib olinganlarni ro'yxatga olish mumkin.
grep -c '^V' pki/index.txt
grep '^R' pki/index.txt | cut -f4,5Keyingi chiqarishdan ham omon qoladigan ro'yxat
Jildning bir martalik ko'chirilishi keyingi sertifikat chiqarilgan paytda eskiradi, shuning uchun hisobotni chiqarish ish jarayonidan quring va odatdagi faoliyatning bir qismi sifatida yangilanib turishiga ruxsat bering. Bu hisobotni qayta ishlab chiqarish mumkin bo'lgan holga keltiradi, bu esa ikki kishi nima chiqarilgani borasida kelishmasa muhim.
Natijani elektron jadval mashqi sifatida emas, yangilash va foydalanishdan chiqarish qarorlari uchun ishlating. Mahalliy nusxani o'chirish allaqachon mavjud masofaviy nusxalarni bekor qilmaydi. Identifikatorni sozlangan bekor qilish va avtorizatsiya ish jarayoni orqali qaytarib oling, so'ng qaytarib olishni sanasi bilan yozib qo'ying. Serverdan yo'qolgan, ammo chiqaruvchi hali ishonadigan identifikator foydalanishdan chiqarilmagan va aynan shu farq aniq ro'yxatni faqat taskin beruvchi ro'yxatdan ajratadi.