Bisher konnte ich diese Frage nirgendwo anders finden. Wenn es eine gibt, lassen Sie es mich bitte wissen.
Einer meiner ehemaligen Mitarbeiter hat sich daran gewöhnt, eine von uns generierte PEM-Datei zu verwenden (keine Ahnung, wann), um sich ohne Anmeldeinformationen bei unserem FreeBSD-Server anzumelden. Er hat das Unternehmen verlassen und wir möchten diese PEM-Datei widerrufen, um zu verhindern, dass er sich bei unserem Server anmeldet. Gibt es eine Möglichkeit, die PEM-Datei zu deaktivieren/ungültig zu machen/zu widerrufen?
Danke
Antwort1
Sie müssen den öffentlichen Schlüssel des Benutzers aus der Benutzerdatei authorized_keysauf dem Server entfernen. Der Standardspeicherort hierfür ist das .sshVerzeichnis im Home-Verzeichnis des Benutzers. Zum Beispiel für den Benutzerbloggendie Datei wird sein /home/bloggs/.ssh/authorized_keys.
Die Datei enthält die öffentlichen Schlüssel, die den privaten Schlüsseln entsprechen, die der Benutzerbloggenkönnen Sie verwenden, um sich bei Ihrem Server anzumelden. Wennbloggendas Unternehmen verlassen hat, dann löschen Sie einfach alle Einträge. Noch besser: Löschen Sie sein/ihr Konto.
Wenn es sich um ein gemeinsam genutztes Konto handelt, müssen Sie herausfinden, welche öffentlichen Schlüssel in dieser Datei den privaten Schlüsseln entsprechenbloggennoch Zugriff hat, und entfernen Sie nur diese. Wenn Sie die falschen entfernen, sperren Sie legitime Benutzer aus. Glücklicherweise authorized_keyshaben viele Einträge in der Datei am Ende des Schlüssels einen Kommentar mit den Benutzerdetails. Dies kann Ihnen dabei helfen, die Schlüssel auszusortieren, die Sie entfernen müssen.
Antwort2
Es hängt davon ab, bei welchem Dienst er sich angemeldet hat. Die meisten Anwendungen, die SSL verwenden, verfügen über eine optionale RevokedKeys-Option, die auf eine Datei mit einer Liste widerrufener Schlüssel verweist. Diese Dateien sind im Allgemeinen „CRL“-Dateien – und wenn Sie nach „Schlüsselwiderruf (Dienst)“ googeln, sollten Sie genaue Informationen erhalten.
Der Name der Option variiert je nach Dienst - OpenVPN ruft den Parameter crl-verify auf, Apache-Client-Zertifikate verwenden SSLCARevocationPath, ngix verwendet ssl_crl