Ṣé o fagilé ìwé-ẹ̀rí VPN tí kò tọ́? Àwọn àṣàyàn ìmúpadà àti ààlà

Ẹnìkan fagilé ìwé-ẹ̀rí kan nínú kọ́nsólù CA, àti nísinsìnyí olùlò kan kò lè sopọ̀. Ìfẹ́ àkọ́kọ́ ni láti wá ìfagilé, àti nínú ọ̀pọ̀ PKI kò sí irú rẹ̀: ìfagilé jẹ́ òtítọ́ tí a sọ nípa nọ́mbà ìtẹ̀lentẹ̀le, àti ọ̀nà ìpadà tí a ṣe àtìlẹ́yìn fún ni ìwé-ẹ̀rí tuntun, kì í ṣe àkọsílẹ̀ tí a yí padà. Ṣe àwọn àyẹ̀wò tí ó wà nísàlẹ̀ ní ìtẹ̀lentẹ̀le, nítorí pé irú àtúnṣe tí a gbà ọ́ láàyè láti lò dá lórí kóòdù ìdí àti bóyá a ti fi kọ́kọ́rọ́ hàn rí.

Dámọ̀ ìwé-ẹ̀rí náà, kì í ṣe ènìyàn

Àwọn orúkọ tí ó wọ́pọ̀ ń túnra wá. Olùlò tí ó forúkọ sílẹ̀ lẹ́ẹ̀kan sí i ní ìdámẹ́rìn-ín tó kọjá lè ní ìwé-ẹ̀rí méjì pẹ̀lú CN kan náà àti nọ́mbà ìtẹ̀lentẹ̀le ọ̀tọ̀ọ̀tọ̀, àti pé fífagilé ọ̀kan ń jẹ́ kí èkejì ṣiṣẹ́. Kọ́kọ́ dá ohun tí ó péye mọ̀:

openssl x509 -in client.crt -noout -serial -issuer -subject -dates
openssl crl -in ca.crl -noout -text | head -40

Kọ nọ́mbà ìtẹ̀lentẹ̀le, olùgbéjáde, ọjọ́ ìfagilé àti ìdí tí a kọ sínú CRL sílẹ̀. Lẹ́yìn náà jẹ́rìí àwọn ẹ̀rọ tí ó ń fi nọ́mbà ìtẹ̀lentẹ̀le yẹn hàn, nítorí pé ìwé-ẹ̀rí tí a fagilé lè wà níbẹ̀ lórí kọ̀mpútà àgbékalẹ̀, fọ́nù àti rúta àfikún, àti pé àyípò tí ó dé ọ̀kan nínú wọn nìkan ń mú ìṣẹ̀lẹ̀ kejì wá.

Àyẹ̀wò ìhùwàsí kíákíá ń jẹ́rìí ipò náà láìyí ohunkóhun padà:

openssl verify -crl_check -CAfile ca.crt -CRLfile ca.crl client.crt

Bí ó bá sọ pé a fagilé ìwé-ẹ̀rí náà, CRL àti alábàáṣiṣẹ́pọ̀ gbà; bí ó bá yẹ̀wò mọ́, alábàáṣiṣẹ́pọ̀ tí ó wà ní ọwọ́ rẹ kì í ṣe èyí tí a fagilé, àti wíwá ń tẹ̀síwájú.

Ṣàyẹ̀wò bóyá CA lo ìdádúró tàbí ìfagilé ayérayé

RFC 5280 ń ṣàlàyé certificateHold gẹ́gẹ́ bí ipò ìgbà díẹ̀, àti removeFromCRL gẹ́gẹ́ bí àmì tí ó ń tú u sílẹ̀. Ìgbésí ayé yẹn jẹ́ òtítọ́, ṣùgbọ́n kì í ṣe bọ́tìnnì ìfagilé gbogbogbò. Kíkà kóòdù ìdí ń sọ fún ọ bóyá olùgbéjáde ti ní èrò láti ṣe àtìlẹ́yìn fún ìtúsílẹ̀.

Pàkúté náà ni láti rò pé èrò ìgbà díẹ̀ túmọ̀ sí àkọsílẹ̀ ìgbà díẹ̀. Bí àkọsílẹ̀ CA bá ní keyCompromise tàbí cessationOfOperation, a ti fagilé ìwé-ẹ̀rí náà títí láé, láìka ohun tí ẹni tí ó tẹ bọ́tìnnì náà ní èrò. Ní ìdàkejì, àkọsílẹ̀ tí a fi certificateHold sàmì sí lórí CA tí kò ṣe ìmúṣẹ ìtúsílẹ̀ ìdádúró jẹ́ ayérayé ní ìṣe, nítorí pé kò sí ohun tí yóò ṣe ìkéde ìtúsílẹ̀ náà.

Àwọn CA tí ó dá lórí OpenSSL ń fi ààlà náà hàn. Pàṣẹ ca ń gba àwọn iye -crl_reason, pẹ̀lú certificateHold àti removeFromCRL, ṣùgbọ́n kò ṣe CRL delta — ìwé àlàyé OpenSSL CA ń dárúkọ ààlà yẹn fún ìjáde CRL rẹ̀. CRL kíkún tí ó kàn ń fi nọ́mbà ìtẹ̀lentẹ̀le sílẹ̀ jẹ́ àwòṣe ìkéde tí ó yàtọ̀ sí delta tí ó sọ "a ti tú àkọsílẹ̀ yìí sílẹ̀", nítorí náà fífi removeFromCRL mọ́ CA VPN tí ó dá lórí OpenSSL kò mú ìtúsílẹ̀ tí àwọn ìlànà ṣàlàyé wá.

Bí kọ́kọ́rọ́ náà bá lè ti hàn, rọ́pò rẹ̀

Ìwé-ẹ̀rí tí a fagilé jẹ́ ìkéde pé kọ́kọ́rọ́ yìí lè máà gbẹ́kẹ̀lé mọ́. Bí ìfagilé náà bá tọ́ ní pàtàkì — kọ̀mpútà àgbékalẹ̀ sọnù, a dà kọ́kọ́rọ́ sínú díísìkì àjọpín, a fi kọ́kọ́rọ́ àdáni mọ́ tíkẹ́ẹ̀tì — ìmúpadà ìwé-ẹ̀rí kan náà ń yí ìpinnu ààbò tí ó ń ṣiṣẹ́ bí a ti pinnu padà.

Gbéjáde kọ́kọ́rọ́ méjì tuntun nípasẹ̀ ìlànà ìforúkọsílẹ̀, pín pípọ́fáìlì tuntun, àti jẹ́ kí nọ́mbà ìtẹ̀lentẹ̀le àtijọ́ wà ní ìfagilé fún gbogbo ìgbésí ayé rẹ̀. Ṣe àtúnṣe ohun gbogbo tí ó ń fi nọ́mbà ìtẹ̀lentẹ̀le tàbí ìtẹ̀ka ika mú ìdánimọ̀, pẹ̀lú àwọn àkójọ ìgbaniwọlé, àkọsílẹ̀ ẹ̀rọ àti àbójútó tí ó ń retí ìwé-ẹ̀rí pàtó kan.

Àríyànjiyàn ìrọ̀rùn fún ìmúpadà èyí àtijọ́ jẹ́ òtítọ́, ṣùgbọ́n a gbọ́dọ̀ dá a lóhùn ní gbangba, kì í ṣe ní ìdákẹ́jẹ́. "Olùlò náà nílò àǹfààní lónìí" jẹ́ ìdí láti yára gbéjáde, kì í ṣe ìdí láti yí ìfagilé kọ́kọ́rọ́ tí o kò lè ṣàlàyé padà.

Bí ó bá jẹ́ àṣìṣe ìṣàkóso, rọ́pò rẹ̀ lábẹ́ ìṣàkóso

Nígbà tí ìfagilé náà kàn jẹ́ aṣìṣe tí a kò sì fi kọ́kọ́rọ́ hàn rí, àtúnṣe náà ṣì jẹ́ àyípò tí a ṣàkóso kì í ṣe àtúnṣe. Lo ìlànà tí a ṣe àtìlẹ́yìn fún ti olùgbéjáde, pa nọ́mbà ìtẹ̀lentẹ̀le àti ìtàn ìgbéjáde mọ́ láìfarapa, kí o sì yẹra fún àwọn ọ̀nà kúkúrú méjì tí ó ń fani mọ́ra: yíyí àmì ipò nínú index.txt padà láti R sí V, àti pípa ìlà ìgbéjáde rẹ̀ nù kí ìwé-ẹ̀rí tuntun lè tún nọ́mbà ìtẹ̀lentẹ̀le lò.

Nínú CA OpenSSL, a pín dátàbésì pẹ̀lú tábì, ó sì rọ̀rùn láti kà á ní àṣìṣe, èyí tí ó mú kí àtúnṣe pẹ̀lú ọwọ́ fani mọ́ra:

awk -F'\t' '$1=="R" {print $4, $3, $6}' index.txt

Kà á, má ṣe kọ ọ́. Àtúnṣe fáìlì ń yí CRL tí ó tẹ̀le padà láìsí àmì àyẹ̀wò kankan, àti pé ẹ̀dà CA kejì tàbí ẹ̀dà àkópamọ́ tí ó ṣì ní ìlà ìpilẹ̀ náà yóò tako rẹ̀ nígbà tí ó tọ́.

Lẹ́yìn gbígbéjáde àyípò náà, ṣe ìkéde CRL tuntun nípasẹ̀ ìlànà déédéé kí o sì jẹ́ kí àwọn alábàáṣiṣẹ́pọ̀ gbà á. Yíyọ CRL kúrò, dídi ìgbésí ayé rẹ̀ kúrú sí asán, tàbí dídi àyẹ̀wò ìfagilé ní pípọ́fáìlì alábàáṣiṣẹ́pọ̀ ń tún olùlò kan ṣe nípasẹ̀ dídígbà gbogbo ìfagilé mìíràn tí CA ti ṣe ìkéde rí lóró.

Jẹ́rìí ìgbaniwọlé tuntun kí o sì pa àkọsílẹ̀ mọ́

Dán wò pẹ̀lú ìsopọ̀ tuntun, kì í ṣe ìpàdé tí ó ti ṣí tẹ́lẹ̀. Túẹ́lì alààyè lè máà tún ṣe àwọn àyẹ̀wò ìgbaniwọlé tí ìfọwọ́sowọ́pọ̀ tuntun ń ṣe, àti pé káṣì CRL túmọ̀ sí pé alábàáṣiṣẹ́pọ̀ lè tẹ̀síwájú ní sísopọ̀ títí yóò fi ṣe àtúnṣe. Gé asopọ̀, tún sopọ̀, kí o sì jẹ́rìí nínú àkọsílẹ̀ sáfà nọ́mbà ìtẹ̀lentẹ̀le tí a gbà.

Kọ ohun tí ó ṣẹlẹ̀ nígbà tí ó ṣì tuntun: nọ́mbà ìtẹ̀lentẹ̀le tí a fagilé, ẹni tí ó ṣe é, ìdí tí ó fi ṣe é, àyípò tí a gbéjáde, àti ìgbà tí a tún CRL ṣe ìkéde. Àkọsílẹ̀ yẹn ni ó ń mú àyẹ̀wò ìfagilé tí ó tẹ̀le ṣeéṣe, ó sì tún jẹ́ ẹ̀rí pé a tójú àṣìṣe náà, kì í ṣe pé a fi pamọ́.

Fún àwọn ìdádúró kúkúrú ní ọjọ́ iwájú, lo ìlànà ìdádúró ìgbaniwọlé bí ìmúṣẹ náà bá ní irú rẹ̀ — àkọsílẹ̀ tí a pa ní ẹ̀ka ìdánimọ̀, ẹ̀gbẹ́ ẹgbẹ́ tí a yọ kúrò, pípọ́fáìlì alábàáṣiṣẹ́pọ̀ tí a dá dúró. Ìyẹn ń ya ìpinnu ìlànà ìgbà díẹ̀ sọ́tọ̀ kúrò nínú ìbéèrè bóyá ìwé-ẹ̀rí tí a gbéjáde ṣì yẹ fún ìgbẹ́kẹ̀lé, àti pé ìyàtọ̀ yẹn gan-an ni ó sọnù ní ìgbà àkọ́kọ́.