Ṣé o padanu ẹ̀rí alábáṣiṣẹ́? Fagilé pẹ̀lú nọ́mbà sẹ́ríẹ̀lì, kì í ṣe orúkọ

Fáìlì ẹ̀rí alábáṣiṣẹ́ rẹ ti sọnù, ìdáhùn àkọ́kọ́ ni láti fagilé orúkọ náà kí o sì gbé tuntun jáde. Ìdáhùn yẹn fi ẹ̀rí àkọ́kọ́ sílẹ̀ ní àṣẹ, nítorí ìfagilé ń ṣiṣẹ́ lórí nọ́mbà sẹ́ríẹ̀lì kì í ṣe lórí àmì. CA fẹ́rẹ̀ẹ́ dájú pé ó ṣì ń pa ẹ̀dà ohun tí ó gbé jáde mọ́, wíwá ẹ̀dà yẹn ni gbogbo iṣẹ́.

Pípadanu fáìlì kì í ṣe pípadanu àkọsílẹ̀ CA

Easy-RSA PKI ń pa àwọn ẹ̀rí gbangba tí ó gbé jáde mọ́, àwọn ìtẹ̀jáde tuntun sì tún ń tọ́jú àwọn ẹ̀dà nípa sẹ́ríẹ̀lì nínú àkójọ certs_by_serial PKI. A kò nílò kọ́kọ́rọ́ àdáni láti fagilé ohunkóhun. Ohun pàtàkì ni ẹ̀rí gangan tí CA fi ọwọ́ sí, CA sì ti ní í tẹ́lẹ̀.

Ṣiṣẹ́ lórí ẹ̀dà àpamọ́ ti PKI tó tọ́, pẹ̀lú alábòójútó tí ó ní í. Ìfagilé jẹ́ iṣẹ́ tí a lè yẹ̀wò, kì í ṣe àtúnṣe lórí àkójọpọ̀ dátà ìgbéjáde ní ọ̀gànjọ́.

Ẹ̀dà ẹ̀rí gbangba inú alábáṣiṣẹ́ náà tún ṣiṣẹ́, bí ìmújáde bá pa ọ̀kan mọ́.

Kọ́kọ́ kà olùgbéjáde àti sẹ́ríẹ̀lì

Ṣàyẹ̀wò PEM tí a gbapadà kí o sì kọ olùgbéjáde, nọ́mbà sẹ́ríẹ̀lì, kókó-ọ̀rọ̀ àti àkókò ìwúlò sílẹ̀. Nọ́mbà sẹ́ríẹ̀lì jẹ́ àkànṣe nínú ààlà olùgbéjáde kan, kì í ṣe láàárín gbogbo CA nínú àyíká rẹ, nítorí náà olùgbéjáde jẹ́ apá kan ìdánimọ̀. Bí ọ̀pọ̀ ẹ̀rí bá pín kókó-ọ̀rọ̀ kan, àwọn sẹ́ríẹ̀lì yẹn ni ó yà wọ́n sọ́tọ̀.

Fi àwọn iye wé àwọn àkọsílẹ̀ CA àti ẹ̀rọ tàbí ènìyàn tí o gbà pé ó ní ẹ̀rí náà.

A lè tún orúkọ gbogbogbòò lò, bẹ́ẹ̀ sì ni wọ́n sábà ṣe. Má ṣe pinnu irú ẹ̀rí tí a ó yọ kúrò kí wọ́n tó kọ àwọn sẹ́ríẹ̀lì sílẹ̀.

Ìdí tí ìfagilé ẹ̀rí tuntun kò fi ṣe nǹkan kan

Gbígbé àrọ́po jáde pẹ̀lú orúkọ gbogbogbòò kan náà ń dá ẹ̀rí kejì pẹ̀lú sẹ́ríẹ̀lì mìíràn. Ìfagilé àrọ́po ń yọ tuntun kúrò, ó sì fi àkọ́kọ́ sílẹ̀ ní àṣẹ títí yóò fi parí. Ní ojú CA, àwọn méjèèjì jẹ́ ohun méjì tí ó dá yàtọ̀, CRL sì ṣe àkọsílẹ̀ àwọn sẹ́ríẹ̀lì kì í ṣe orúkọ. Àkójọ CA ń pa ìlà kan mọ́ fún ẹ̀rí kọ̀ọ̀kan tí a gbé jáde nítorí ìdí yẹn gan-an.

Ìdàrúdàpọ̀ kan náà ń dá àṣìṣe òdìkejì: pípa fáìlì alábáṣiṣẹ́ mọ́ àti ríronú pé CA ti gbàgbé rẹ̀. Pípa mọ́ lórí alábáṣiṣẹ́ kì í ṣe ìṣẹ̀lẹ̀ ìfagilé, ẹ̀rí sì ń tẹ̀síwájú ṣiṣẹ́ fún ẹnikẹ́ni tí ó ní ẹ̀dà.

Àwọn àṣìṣe méjèèjì wá láti inú kíkà orúkọ sí ìdánimọ̀.

Fagilé ẹ̀rí tí sẹ́ríẹ̀lì dárúkọ

Dá ohun náà mọ̀ kí o tó fi ọwọ́ kan CA: openssl x509 -in recovered-client.pem -noout -issuer -serial -subject -dates ń tẹ àwọn iye mẹ́rin jáde ní ìgbà kan, sẹ́ríẹ̀lì sì ni ohun tí o fi wé àpamọ́ CA. Easy-RSA ń pa àpamọ́ yẹn mọ́ lábẹ́ pki/certs_by_serial, pẹ̀lú fáìlì kan fún sẹ́ríẹ̀lì kọ̀ọ̀kan. Àṣẹ ìfagilé gba orúkọ gbogbogbòò kì í ṣe sẹ́ríẹ̀lì, nítorí náà dà ẹ̀dà fáìlì tí a pa mọ́ sínú pki/issued/<common-name>.crt kí orúkọ náà sì tọ́ka sí ohun tí o dá mọ̀. Ṣe easyrsa revoke <common-name> láti inú àkójọ PKI, lẹ́yìn náà ṣàyẹ̀wò bóyá ìlà tí ó bá a mu nínú index.txt ti yí padà sí R. Sẹ́ríẹ̀lì ni ọ̀nà tí o fi yan ohun náà, kì í ṣe àríyànjiyàn tí àṣẹ gbà.

openssl x509 -in recovered-client.pem -noout -issuer -serial -subject -dates
cp pki/certs_by_serial/A1B2C3D4.pem pki/issued/client-01.crt
./easyrsa revoke client-01
grep -n client-01 pki/index.txt
./easyrsa gen-crl

Bí index.txt kò bá fi R hàn, dúró kí o sì ka àṣìṣe náà kí o tó dá CRL, nítorí CRL tí a kọ́ láti inú àkọsílẹ̀ tí ó ṣì wà ní àṣẹ kò yọ ohunkóhun kúrò. Lẹ́yìn tí ìlà náà bá yí padà ni o tó ṣe easyrsa gen-crl kí o sì tẹ̀síwájú sí pínpín fáìlì náà.

Tẹ̀jáde CRL níbi tí a ti ń fi ipá mú un gan-an

Dá CRL tuntun nípasẹ̀ ìlànà iṣẹ́ tí PKI ń ṣe àtìlẹ́yìn fún, lẹ́yìn náà tẹ̀jáde rẹ̀ sí gbogbo olùṣàyẹ̀wò tí ń fi àwọn ìfagilé olùgbéjáde yìí mú.

Fáìlì tí a ṣe àtúnṣe tí ó wà lórí CA kò yí ohunkóhun padà, nítorí VPN ń parí ìpinnu ní olùṣàyẹ̀wò tirẹ̀. Ṣàyẹ̀wò olùgbéjáde CRL, àkókò ìwúlò rẹ̀ àti àwọn sẹ́ríẹ̀lì tí a fagilé, kí o sì jẹ́rìí pé iṣẹ́ náà ń gbé fáìlì náà jáde lẹ́ẹ̀kan sí i tí kì í fi èyí tí ó ṣáájú pamọ́. Níní àti ọ̀nà ṣe pàtàkì bíi àkóónú: CRL tí daemon kò lè kà kò yàtọ̀ sí kíkùnà CRL pátápátá. Àṣàyàn crl-verify ti OpenVPN ń dárúkọ fáìlì tí daemon ń kà, nítorí náà ṣàyẹ̀wò ọ̀nà yẹn àti níní fáìlì nínú ìṣètò sáfà.

Jẹ́rìí pẹ̀lú ìgbìyànjú ìsopọ̀ gidi, kì í ṣe pẹ̀lú àmì àkókò fáìlì.

Mọ ìgbà tí CRL jẹ́ irinṣẹ́ tí kò tọ́

Bí a kò bá ní ìgbẹ́kẹ̀lé nínú kọ́kọ́rọ́ àdáni olùgbéjáde mọ́, yíyọ àwọn sẹ́ríẹ̀lì tí a mọ̀ kúrò kò lè dá ẹnikẹ́ni tí kò ní àṣẹ lẹ́kun láti fi ọwọ́ sí àwọn ẹ̀rí tuntun. Ìyẹn ni ìyípadà ìgbẹ́kẹ̀lé olùgbéjáde, ìyẹn CA tuntun àti ètò pínpín, kì í ṣe àkọsílẹ̀ mìíràn nínú CRL. Jíjẹ́ pé alábòójútó àtijọ́ ní àǹfààní kì í ṣe ẹ̀rí ìlòmìsí kọ́kọ́rọ́ fúnra rẹ̀, nítorí náà gba àwọn òtítọ́ kí o tó tún ìgbẹ́kẹ̀lé kọ́.

Ṣíṣàtúnṣe àkójọpọ̀ dátà ìgbéjáde pẹ̀lú ọwọ́ láti yí lẹ́tà ipò padà kì í ṣe àrọ́po fún ìfagilé tí a fi ọwọ́ sí, ó sì fi CRL sílẹ̀ ní àìbámu pẹ̀lú àwọn àkọsílẹ̀.

Pa sẹ́ríẹ̀lì, CRL àti ìgbésẹ̀ pínpín mọ́ nínú àkọsílẹ̀ kan, àyẹ̀wò tó kàn yóò di kíkà. Iṣẹ́ àkànṣe Easy-RSA ń ṣàkọsílẹ̀ àwọn àṣẹ tí a ń ṣe àtìlẹ́yìn fún ìtẹ̀jáde tí o fi sórí ẹ̀rọ, ìyẹn sì ni ojú-ìwé kan ṣoṣo tí ó yẹ kí a tẹ̀lé.