دليل عدم الثقة في Cisco IOS XE و GuestShell CA Trust Media

الغرض

يوفر هذا المستند إرشادات ل Cisco IOS® XE لفقدان الثقة في حالات الطوارئ لسلطات الشهادات الوسيطة والجذور الإلكترونية.    

أستخدم هذا الدليل لمراجعة ثقة CA وإدارتها للخدمات التي يسمح تكوينها بالتدرجات الهرمية المتأثرة. يتم تحديد إمكانية تطبيق المنتج والمعالجة المطلوبة في معلومات Cisco. تحقق من دعم الأمر وتأثير الخدمة لإصدار Cisco IOS XE الخاص بك قبل تغيير الثقة.

معلومات Cisco: cisco-sa-emudhra-info-scS22A1r

شهادات التوثيق (CA) المتأثرة: الأصل والتوقيع المتبادل

تم التحقق من المخزون في 29 أكتوبر 2026. وتتأثر ثمانية مفاتيح CA التي تصدرها eMUDHRA بما يلي: ست من أجل TLS واثنتان من أجل توقيع الرمز. يظهر كل مفتاح في شهادة مرجع مصدق أصلية صادرة عن مصنف emSign وشهادة مرجع مصدق موقع تبادلي من Sectigo. وبالتالي، يحتوي المخزون على 16 شهادة: 12 ترخيص TLS و 4 شهادات توقيع كود.

ولكل زوج أصلي/مشترك الموقع نفس الموضوع والمفتاح العام، ولكن له مصدر مختلف ورقم تسلسلي وبصمة شهادة SHA-256. ويوفر النمطان مسارات اعتماد بديلة ويجب تضمين كلا النمطين في مراجعة الحسابات.

ألف - الجهات المصدرة والشهادات المتأثرة

المصدر A — شهادات TLS الأصلية: CN=emSign Root TLS CA - G3، O=eMudhra Technologies Limited، C=in.

المصدر ب — شهادات توقيع الكود الأصلية: CN=emSign Root CS CA - G3، O=eMudhra Technologies Limited، C=IN.

المصدر C — جميع الشهادات الموقعة: CN=AAA Certificate Services، o=Comodo CA Limited، l=Salford، st=Greater Manchester، c=GB (Sectigo).

مواضيع G3B: O=Edhra BV، C=NL. مواضيع G3C: O=Edhra Inc، C=US. وتسرد كل خلية مختلفة مراجع مصدرها، والمسلسل السداسي العشري، وبصمة الأصبع SHA-256 (سطران). لا يغير الحد الصفري البادئة قيمة تسلسلية.

باء - مسارات الشهادات للتمييز

مسار TLS الأصلي

emSign ECC Root CA - G3
  +-- emSign Root TLS CA - G3 (issued by emSign ECC Root CA - G3)
       +-- Original EM DV/OV/EV TLS CA - G3B or G3C
            +-- TLS identity certificate

مسار توقيع الرمز الأصلي (عنصر التحكم الجذر موثوق به مباشرة)

emSign Root CS CA - G3
  +-- Original EM OV CS CA - G3B or G3C
       +-- Code-signing identity certificate

مسار التوقيع المتقاطع Sectigo (TLS وتوقيع الرمز)

AAA Certificate Services
  +-- One of the eight cross-signed CAs listed above
       +-- TLS or code-signing identity certificate

يمكن أيضا إنهاء مسار TLS عند CA ل TLS الخاص بتوقيع الجذر - G3 عندما يكون CA هذا موثوقا به مباشرة. تظهر الرسوم البيانية علاقات المصدر ذات الصلة؛ يعتمد المسار المقبول على نقاط الربط الثقة وسياسة التحقق من الصحة للخدمة المستهلكة.

يوفر المرجع المصدق الأصل/الجذر الموضح مثال سياق السلسلة ولا يتم حسابه بين مفاتيح الإصدار الثمانية التي تم إختراقها. يكون القرار الخاص بإزالة أحد الوالدين/الجذر أو عدم الثقة فيه منفصلا عن تحديد مفتاح وسيط تم تعريفه للخطر.

للتعريف، أستخدم مصدر الشهادة والرقم التسلسلي مع بصمة الإصبع SHA-256. اسم الموضوع وحده غير كاف. تحدد بصمة الشهادة متغير شهادة واحد؛ تحدد تجزئة SPKI SHA-256 المفتاح العام المشترك بواسطة النماذج الأصلية والموقعة. لا تمنع إزالة الوسيط المخزن مؤقتا فقط النظير من تقديمه عبر مسار موثوق به متبقي.

المصادر وتاريخ التحقق

تم التحقق من هوية الشهادة مقابل مرفقات الأحداث العامة في 29 أكتوبر 2026. يحتوي كل زوج أصلي/متبادل التوقيع على نفس المفتاح العام. أستخدم المعلومات المباشرة من Cisco لتطبيق المنتج وحالة المعالجة.

معلومات Cisco: cisco-sa-emudhra-info-scS22A1r

سجل حوادث موزيلا: تسوية رئيسية متوسطة (2083449)

مرفق شهادة CA الأصلي (9664066)

مرفق شهادة AAA الموقع من خلال المصادقة والتفويض والمحاسبة (9664067)

أبل: مسارات شهادة TLS الأصلية والمسجلة

اعتبارا من 31 أكتوبر 2026، لم يتم تحديد EMsign Root CA - G1 ضمن CAs المعرضة للخطر والمدرجة في هذا الدليل. وتظل الثقة المستمرة بها خاضعة لسياسات مؤسستك والتحديثات الاستشارية اللاحقة.

كيف يدير Cisco IOS XE ثقة الشهادة

تحتفظ نقاط ثقة PKI المكونة ب CA/شهادات الهوية ونهج التحقق من الصحة. يحتوي PKI TrustPool على شهادات CA مضمنة ومنزلة للخدمات التي تستخدمها. تحديد مصدر الثقة والسياسة المستخدمة من قبل كل خدمة ذات صلة؛ لا يحل تغيير تجمع الثقة محل نقاط الثقة التي تم تكوينها بشكل منفصل.

1 - مراجعة الحسابات والإعداد

تحقق من إصدار البرنامج ووقت الجهاز والشهادات المثبتة:

show version show clock show crypto pki trustpoints show running-config | section crypto pki trustpoint show crypto pki certificates verbose show crypto pki trustpool verbose show crypto pki trustpool built-in verbose show crypto pki trustpool policy

قارن مصدر الشهادة الكامل والرقم التسلسلي السداسي العشري مع المخزون، باستخدام الموضوع كسياق داعم. حيث يعرض Cisco IOS XE بصمات الأصابع MD5 و SHA1 فقط، لا يمكن مقارنة بصمات الأصابع SHA-256 للمخزون مباشرة في هذا الإخراج؛ يتم توفيرها للتحقق من ملفات الشهادات خارج الجهاز. يمكن أن تختلف مسافة البادئة 00 في الأرقام التسلسلية. تحدد عمليات البحث عن أسماء الموردين المرشحين فقط. قم بتسجيل الخدمات التي تعتمد على كل نقطة ثقة وتحقق من المسارات الأصلية والموقعة، بما في ذلك الوسائط الموثوق بها مباشرة.

الأمثلة: المرجع المصدق الجذر والنموذج الفرعي المتأثر

يتم عرض أمثلة مختصرة من شهادة السرعة؛ يتم حذف الحقول الأخرى. قارن الموضوع، المصدر والرقم التسلسلي.

مثال المرجع المصدق الجذر: EmSign ECC Root CA - G3

CA Certificate
  Certificate Serial Number (hex): 3CF607A968700EDA8B84
  Issuer:
    cn=emSign ECC Root CA - G3
  Subject:
    cn=emSign ECC Root CA - G3
  Associated Trustpoints: 

مثال SubCA المتأثر: شهادة أصلية صادرة عن emSign

CA Certificate
  Certificate Serial Number (hex): 00A4AEE678F23362B4C0E460B772F214
  Issuer:
    cn=emSign Root TLS CA - G3
  Subject:
    cn=EM DV TLS CA - G3B
  Associated Trustpoints: 

مثال SubCA المتأثر: شهادة SECTIGO ذات التوقيع التبادلي

CA Certificate
  Certificate Serial Number (hex): 00A024FDF4BA665C785CE4A020483858B7
  Issuer:
    cn=AAA Certificate Services
  Subject:
    cn=EM DV TLS CA - G3B
  Associated Trustpoints: 

يحتوي كلا النمطين SubCA على نفس الموضوع ولكن مع أختلاف الإصدارات والمسلسلات. مطابقة المصدر الكامل والمسلسل بالمخزون؛ يمكن أن تختلف المسافة البادئة بين الحروف 00. تسجيل TrustPoints المقترنة لتحديد موقع TrustPoint أو التجمع المالك. الجذر الظاهر هو سياق السلسلة؛ ليس واحدا من ثمانية مفاتيح إصدار إصدار مخالفة.

الاحتفاظ بأسلوب الوصول إلى الاسترداد وتوافر حزمة إستبدال معتمدة. أستخدم إجراء النسخ الاحتياطي للشهادة/المفاتيح المعتمد عند الحاجة. انسخ التكوين إحتياطيا؛ هذه النسخة وحدها ليست نسخة إحتياطية لمفاتيح خاصة:

copy running-config 

استبدل مواضع الأقواس المؤقتة بقيم معتمدة خاصة بالجهاز. أستخدم نظام الملفات الموضح بواسطة أنظمة show file، مثل flash: أو bootflash:.

2. مراجعة مسارات الثقة

إزالة CAs الفرعية المتأثرة الموثوق بها مباشرة

قم بإزالة SubCAs الموثوق بها مباشرة من نقاط الثقة ومجموعات مصادر الثقة التي تم تنزيلها. لا تعتمد على إعدادات الإبطال لتخطي الثقة المباشرة في مرجع مصدق تم إختراقه.

إزالة المرجع المصدق الجذر الاختياري

تعد إزالة المرجع المصدق الجذري بمثابة توصية إختيارية لتوفير حماية إضافية. يمكن أن يبقى الجذر المطلوب موثوقا به عندما تحصل عمليات فحص الخدمة الفعلية CRL/OCSP على الحالة الحالية، وتقيم SubCA المتأثرة تحت أصل موثوق به، وترفض السلاسل الأصلية المتأثرة، والموقعة التبادلية، والسلاسل الأطول القابلة للتطبيق، والتحقق من الفشل إذا لم توفر أي من الطريقتين المكونتين حالة قابلة للاستخدام. في ظل هذه الشروط التي تم التحقق منها، يوفر التحقق من الإبطال الحماية من المصدرين الذين تم تحديدهم المعرضين للخطر دون حذف الجذر.

فكر في إزالة نقاط الربط غير الضرورية بين الجذر/الثقة لتقليل الاعتماد على خدمات إلغاء المستخدم. تقييم تبعيات الخدمة أولا: يمكن أن تؤدي إزالة خدمات شهادات AAA إلى مقاطعة السلاسل الشرعية غير المرتبطة. قم بتغطية كلا من مساري eModhra و AAA. لا يؤدي حذف SubCA المخزن مؤقتا فقط إلى حظر نسخة مقدمة من قبل نظير من خلال أصل موثوق به باق.

إزالة نقطة موثوق بها محددة

بالنسبة لنقطة الثقة التي قام المسؤول بتكوينها والتي تم تحديدها لإزالتها:

configure terminal no crypto pki trustpoint  end

مراجعة التأكيد قبل القبول. تؤدي إزالة TrustPoint إلى تدمير الشهادات المقترنة بها. إذا كانت هوية الجهاز بحاجة إلى إستبدال، فاحصل على شهادة إستبدال مطابقة لمفتاح الأجهزة وقم بتحديث ربط الخدمة الخاص به باستخدام إجراء تسجيل الخدمة. لا يؤدي تثبيت شهادة مرجع مصدق جديدة وحدها إلى إستبدال هوية الجهاز.

لإدخالات تجمع الثقة التي تم تنزيلها، أستخدم إجراء إستبدال الحزمة. تتطلب نقاط الربط المدمجة أو المدارة عبر الميزات تحديث المنتج المدعوم أو توجيه TAC من Cisco.

3. تحديث TrustPool الذي تم تنزيله، إذا لزم الأمر

أستخدم هذه الخطوات عندما تتطلب الحزمة التي تم تنزيلها استبدالا. يمكن أن يظل الأصل/الجذر المطلوب موثوقا به بموجب شروط إبطال تم التحقق منها في الخطوة 2.

3.1 تحقق مما إذا تم تثبيت حزمة تم تنزيلها واستخدامها

show running-config | section crypto pki certificate pool show crypto pki trustpool verbose show crypto pki trustpool policy

ابحث عن إدخالات الكبلات تحت تجمع شهادات PKI المشفر وسجلات CA التي تم وضع علامة TrustPool عليها: تم التنزيل. يمكن أن تختلف أسماء ملفات الحزمة عن ios.p7b أو ios_core.p7b. لا يثبت الملف المخزن أو عنوان URL الخاص بالتحديث الذي تم تكوينه فقط أن شهاداته مثبتة أو مستخدمة بواسطة خدمة. قم بتأكيد الخدمة باستخدام تجمع الثقة وقارن سجلات CA الخاصة بها بالمخزون المتأثر. إذا لم يتم تثبيت أي مرجع مصدق تم تنزيله، فقم بتخطي التنظيف والاستبدال؛ لا يزال يقيم مصادر الثقة الأخرى.

3.2 تنظيف تجمع الثقة الذي تم تنزيله

الاحتفاظ بالوصول إلى الاسترداد ومجموعة إسترداد معتمدة قبل التنظيف. قد يفشل التنزيل بعد ذلك إذا كان النقل يعتمد على إزالة الثقة. التخطيط لتعطيل الخدمات التابعة.

configure terminal crypto pki trustpool clean end
show crypto pki trustpool verbose

تأكيد فقدان سجلات CA التي تم تنزيلها. يزيل التنظيف كل شهادات TrustPool التي تم تنزيلها وملفات الحزمة المدارة الخاصة بها؛ وتظل بطاقات الائتمان المتكاملة المتكاملة ونقاط الثقة المنفصلة قائمة. لا تقم بالحفظ حتى تنجح عمليات التحقق من الاستبدال والخدمات.

3.3 الحصول على حزمة الاستبدال المعتمدة وتثبيتها

الحصول على حزمة موقعة من Cisco معتمدة. حدد IOS.p7b أو ios_core.p7b للخدمات المطلوبة وتأكد من أنه يستثني الشهادات المتأثرة ومراسي الثقة غير المرغوب فيها المحددة أعلاه. تحتوي الحزم القديمة التي تم فحصها في 31 أكتوبر 2026 على CA - G1 في ios.p7b، ولكن لا تحتوي على eMudhra أو AAA Certificate Services CA في ios_core.p7b. يحتوي Core على مجموعة ثقة أصغر: تحقق من تبعيات الخدمة قبل التحويل، وتحقق من محتويات الحزمة التي تقوم بتثبيتها. قم بتشغيله خارج تخزين TrustPool المدار باستخدام نقل HTTPS أو SCP المعتمد.

حزمة CA الكاملة من Cisco: ios.p7b

حزمة CA الأساسية من Cisco: ios_core.p7b

show file systems copy   configure terminal crypto pki trustpool import url  end show crypto pki trustpool verbose

على سبيل المثال، يمكن أن يكون URL المرحلي flash:approved-ios.p7b. إذا فشل الاستيراد، قم باستعادة حزمة معتمدة قبل الحفظ. تحقق من CAs المقصودة والاتصالات المطلوبة. التنظيف ليس قائمة فارغة للشهادة: تأكيد النقاط الموثوق بها المتبقية، رفض قوائم التحكم بالوصول (CA) المدمجة والمسارات البديلة السلاسل المتأثرة من خلال الإبطال القسري أو إزالة مسار الثقة.

4. تكوين نهج التحديث والتحقق من الصحة

قبل إجراء التغييرات، قم بتسجيل نهج تجمع الثقة الموجود، ونهج TrustPoint المتأثرة، وارتباطات تعيين الشهادات، وعناوين URL للتحديث حتى يمكن استعادتها عند الحاجة.

لنقاط الثقة ذات الصلة التي تم تكوينها:

configure terminal crypto pki trustpoint  revocation-check crl ocsp exit end

بالنسبة للخدمات التي تستخدم سياسة تجمع الثقة:

configure terminal crypto pki trustpool policy chain-validation revocation-check crl ocsp exit end show crypto pki trustpool policy

تحقق من إستمرار التحقق من صحة نهج TrustPool المعروض إلى عنوان OCSP الخاص بالسرد والجذر. يحاول الجهاز CRL أولا ويحاول OCSP عندما يكون إسترداد CRL غير متوفر. يفشل التحقق من صحة النتيجة الملغاة عند تقييم الشهادة المتأثرة. لا تقم بإضافة لا شيء عندما يكون التحقق من الإبطال الناجح مطلوبا.

تحقق من الوقت الصحيح ونقاط النهاية للحالة التي تم نشرها بواسطة CA والتي يمكن الوصول إليها، وتنسيقات الاستجابة المقبولة، وعدم وجود إستثناءات إلغاء قابلة للتطبيق. يجب تقييم حالة SubCAs المتأثرة تحت أصل موثوق به. يمكن للثقة المباشرة في SubCA إيقاف التحقق قبل التحقق من أصلها. تحقق من حصول الخدمة الفعلية على الحالة الحالية القابلة للاستخدام ورفض السلاسل المتأثرة. إذا تعذر التحقق من صحة سلوك الوصول إلى خادم الحالة ورفضه، فلا تعامل التكوين وحده على أنه حماية مؤكدة؛ قم بإزالة مسارات الثقة ذات الصلة حيثما تطلب ذلك خطة التخفيف الخاصة بك. لا تقم بإضافة لا شيء لتجاوز حالة عدم التوفر.

تحديث قوائم التحكم في الوصول إلى CRL المخزنة مؤقتا قبل التحقق من الحماية

يمكن إعادة إستخدام قائمة التحكم في الوصول (CRL) القابلة للاستخدام بالفعل في ذاكرة التخزين المؤقت/قاعدة البيانات المحلية حتى بعد أن يقوم CA بنشر قائمة تحكم في الوصول (CRL) أحدث. تحقق من إمكانية الوصول إلى خادم الحالة، ثم قم بمسح قوائم التحكم في الوصول (CRL) القديمة قبل التحقق من الحماية:

show crypto pki crls clear crypto pki crl show crypto pki crls

يقوم الأمر clear بإزالة قوائم التحكم في الوصول (CRL) المحلية لكافة نقاط الثقة؛ لا يقوم بنفسه بتنزيل البدائل. تأكد من انتهاء الإدخالات القديمة، ثم ابدأ توصيل جديد أو تحقق من صحة الشهادة في الخدمة المتأثرة. قم بتشغيل show crls crypto pki مرة أخرى وتحقق من كل مصدر ذي صلة و LastUpdate و NextUpdate ونقطة التوزيع مقابل المنشور الحالي ل CAs. قم بتضمين CRL المصدر الأصلي الذي يغطي SubCA المتأثر، وليس فقط CRL مصدر شهادات المعرف. تأكيد رفض السلاسل المتأثرة. قد يؤثر المسح بشكل مؤقت على الاتصالات الجديدة أثناء إحضار بيانات الحالة؛ الاحتفاظ بالتحقق من صحة الفشل.

مراجعة مصدر تحديث الحزمة

بالنسبة للأجهزة المتصلة، قم بشكل إختياري بتكوين مصدر تحديث الحزمة المعتمدة على انتهاء الصلاحية:

configure terminal crypto pki trustpool policy cabundle url  exit end show crypto pki trustpool policy

راجع جميع مصادر الحزم التي تم تكوينها. لا يستبدل التحديث المستند إلى انتهاء الصلاحية تحديث أمان فوري ويجب ألا يقوم باستعادة مسار ثقة غير مرغوب فيه.

مرشح تعيين الشهادة الاختياري: التغطية والحد

يتطابق مخطط شهادة Cisco IOS XE (cert-map) مع سمات الشهادة، مثل اسم المصدر. كتدبير إضافي، يمكن أن يساعد المرشح على رفض شهادات المعرف (الورقة) الصادرة مباشرة عن المراجع المصدقة الثمانية المدرجة. راجع نهج شهادات المطابقة الموجودة لنقاط الثقة قبل تطبيقها.

وتم إختبار السلوك في 29 تشرين الأول/أكتوبر 2026 باستخدام هويات مختبرية في إطار EM DV TLS CA - G3B على أجهزة مختبرية تجريبية. في التحقق من صحة شهادة نظير PKI، رفض عامل التصفية هوية تم إصدارها مباشرة ولكنه لم يمنع هوية تم إصدارها من خلال SubCA تابع إضافي؛ تم تمرير مصدر شرعي غير مدرج. أستخدمت التغطية السلوكية مصدرا متأثرا، مع تعطيل الإبطال فقط على نقاط ثقة المعامل المؤقتة لعزل عامل التصفية. لم يتم التحقق من صحة إرشادات التطبيق والإصدارات الأخرى مع عامل التصفية هذا؛ اختبر الخدمة الفعلية قبل الاعتماد عليها.

configure terminal crypto pki certificate map EMSIGN-ISSUER-FILTER 10 issuer-name nc cn=EM DV TLS CA - G3B issuer-name nc cn=EM DV TLS CA - G3C issuer-name nc cn=EM OV TLS CA - G3B issuer-name nc cn=EM OV TLS CA - G3C issuer-name nc cn=EM EV TLS CA - G3B issuer-name nc cn=EM EV TLS CA - G3C issuer-name nc cn=EM OV CS CA - G3B issuer-name nc cn=EM OV CS CA - G3C exit crypto pki trustpoint  match certificate EMSIGN-ISSUER-FILTER exit end

هنا، تعني الشركة "لا تحتوي". الاحتفاظ بجميع الشروط الثمانية السالبة الخاصة باسم المصدر في نفس الإدخال، والتسلسل 10: يجب أن تتطابق كافة الشهادات لتمرير عامل التصفية هذا. يفشل المرشح مصدر مباشر مطابق لأي اسم مدرج.

يمكن أن يعرض Cisco IOS XE الإدخالات العادية، على سبيل المثال، Issuer-name nc cn = em dv tls ca - g3b. كان تنسيق المسافات والمسافات الصغيرة هذا موجودا في الاختبار السلوكي. تأكيد الخريطة وربطها بنقطة الثقة الخاصة بالتحقق من الصحة والتي تستخدمها الخدمة بالفعل:

show running-config | section crypto pki certificate map show running-config | section crypto pki trustpoint

لا يوفر عامل التصفية قائمة أسماء مرجع مصدق (CA) على مستوى السلسلة. على سبيل المثال:

Trusted root CA
  +-- Affected SubCA
       +-- New child SubCA
            +-- ID (leaf) certificate

مصدر شهادات المعرف هو المرجع المصدق الفرعي التابع الجديد، لذلك لا يحدد عامل تصفية اسم المصدر الخاص به المرجع المصدق المتأثر الأعلى في السلسلة. ولا تزال هناك عمليات تحقق أخرى، بما في ذلك القيود المفروضة على قانون المنافسة النزيهة والإبطال. أستخدم عامل التصفية هذا فقط كحماية إضافية إلى جانب التحقق من صحة الإبطال والإجراءات الاختيارية لإزالة الجذر في هذا الدليل. إختبار الشهادات المصدره مباشره، وشهادات الطفل الفرعي، والشهادات المشروعه مع الخدمه الفعليه.

التراجع عن الخطوة 4

إستعادة طرق الإبطال المسجلة، وإعدادات التحقق من صحة السلسلة، وارتباطات خريطة الشهادات. قم بإزالة عناوين URL الخاصة بالتحديث التي تمت إضافتها بواسطة هذا الإجراء، ثم قم باستعادة أي عناوين URL سابقة تم تغييرها. يزيل هذا المثال عنوان URL الخاص بالتحديث الإضافي وربط المرشح فقط؛ لا يقوم باستعادة إعدادات النهج الأخرى:

configure terminal crypto pki trustpool policy no cabundle url  exit
crypto pki trustpoint  no match certificate EMSIGN-ISSUER-FILTER exit end

قم بتشغيل عمليات الإزالة هذه فقط حيث تمت إضافة عنوان URL والربط بواسطة هذا الإجراء. إذا تم إستبدال ربط خريطة شهادة سابق، قم باستعادته. قم بإزالة خريطة تم إنشاؤها حديثا فقط بعد التأكد من عدم وجود أي تكوين آخر يشير إليها.

لا تستخدم أي سياسة تشفير pki trustPool فقط عند إعادة التعيين إلى الإعدادات الافتراضية هي النتيجة المقصودة والموافق عليها. تقوم هذه العملية الواسعة لإعادة الضبط بمسح عناوين URL للتحديث التي تم تكوينها وإعادة تعيين التحقق من الإبطال إلى لا شيء؛ لا يقوم باستعادة النهج المخصص السابق. لا تقوم التراجع عن النهج باستعادة الشهادات المحذوفة أو إرجاع الحزمة المثبتة أو إستعادة قوائم التحكم في الوصول إلى CRL التي تم مسحها. قم بإعادة التحقق من الخدمات المطلوبة ورفض سلسلة التأثير قبل الحفظ.

5. التحقق من الحماية والحفظ

• تأكد من رفض السلاسل الأصلية والموقعة التبادلية المتأثرة، بما في ذلك الوسيط الموفر من قبل النظير. حيثما تكون السلاسل الأطول ذات صلة، تحقق من الرفض عندما يكون المرجع المصدق المتأثر أعلى في السلسلة.
• تأكد من أن الاتصالات الشرعية المطلوبة لا تزال تعمل وأن أي هوية بديلة مرتبطة بالخدمة المقصودة.
• التحقق من السلوك عند عدم توفر بيانات الإبطال. لم يتم التحقق من صحة جلسات عمل TLS/IPsec تلقائيا بواسطة تغيير النهج؛ أستخدم إجراء إعادة الاتصال المعتمد للخدمة عند الحاجة.

بعد نجاح التحققات:

show crypto pki certificates verbose show crypto pki trustpool policy write memory

تحقق من الثبات بعد إعادة التحميل المخططة التالية، حيثما أمكن، على الجهاز الاحتياطي. إن تختلف النتائج من نهج الثقة المتوقع، احتفظ بالسجلات واتصال cisco TAC قبل النظر في تغييرات الثقة التي تم التحقق منها.

قراءة اضافية

إدارة جدير بالثقة ل Cisco IOS XE PKI

Cisco: تكوين الشهادات الموقعة من CA باستخدام Cisco IOS XE PKI

Cisco: التحقق من التخزين المؤقت ل CRL وإبطاله

دليل ثقة Cisco IOS XE GuestShell CA

الخطوة 1: تدقيق حالة نشر GuestShell للجهاز

يجب إجراء المعالجة فقط على أنظمة Cisco IOS XE التي تم تثبيت GuestShell بها وفي حالة التشغيل أو النشر. إذا كان GuestShell في حالة النشر، فيجب تمكينه أولا باستخدام الأمر 'guestshell enable' قبل تنفيذ أوامر الإصلاح. إذا كان إظهار قائمة إستضافة التطبيقات يشير إلى 'لم يتم العثور على تطبيق' (لم يتم نشر GuestShell أو تمكينه)، فلا يتطلب الأمر أي إجراء على GuestShell.

A. GuestShell في حالة النشر (الإجراء المطلوب: يجب التمكين أولا)

عند عرض قائمة إستضافة التطبيقات تقارير GuestShell في حالة النشر، يكون تخزين الحاوية GuestShell موجودا ولكن يتم إيقاف الحاوية. يجب تشغيل 'guestshell enable' قبل إدخال base (و'guestshell disable' إختياريا بعد إكمال المعالجة في حالة العودة إلى حالة الإيقاف):

Router# show app-hosting list
App id                                   State
---------------------------------------------------------
guestshell                               DEPLOYED

ب. GuestShell في حالة التشغيل (الإجراء مطلوب: مباشرة)

عند عرض قائمة إستضافة التطبيقات تقارير GuestShell في حالة التشغيل، يتم تشغيل GuestShell بشكل نشط ويمكنك المتابعة مباشرة إلى وضع BASH:

Router# show app-hosting list
App id                                   State
---------------------------------------------------------
guestshell                               RUNNING

ب. لم يتم تمكين GuestShell / لم يتم نشره (لا يتطلب أي إجراء)

إذا كان إظهار قائمة إستضافة التطبيقات يشير إلى عدم العثور على أي تطبيق، فإن GuestShell غير مثبت أو ممكن على النظام، ولا يتطلب أي إجراء آخر:

Router# show app-hosting list
No App found

الخطوة 2: الوصول إلى GuestShell وتطبيق عدم ثقة المرجع المصدق

قم بتنفيذ هذه الأوامر من موجه أمر EXEC ذي الامتيازات ('enable') ل Cisco IOS XE. إذا كان GuestShell في حالة النشر، فقم بتمكينه أولا. ثم أدخل "طبقة الأساس"، وقم بالتصعيد إلى الجذر، ثم قم بتكوين قائمة حظر CA باستخدام تحديد المجلد الديناميكي لضمان التوافق عبر جميع إصدارات Cisco IOS XE:

! 1. If GuestShell is in DEPLOYED state, enable it first:
Router# guestshell enable

! 2. Enter GuestShell bash shell:
Router# guestshell run bash

! 3. Escalate to root user inside GuestShell:
[guestshell@guestshell ~]$ sudo -s

! 4. Prepare the ca-trust blocklist directory (compatible with 17.15.x and 17.18.x):
d=/etc/pki/ca-trust/source/blocklist
[ -d "$d" ] || d=/etc/pki/ca-trust/source/blacklist
mkdir -p "$d"

التشكيك في شهادات eMudhra

قم بتنفيذ أوامر إستخراج الثقة لاستخراج كل شهادة eMohra تم إختراقها مباشرة إلى دليل حظر قائمة التحكم ل CA-Trust، ثم أعقب ذلك إعادة بناء مخزن ثقة النظام:

trust extract --overwrite --format=pem-bundle \
  --filter='pkcs11:object=emSign%20ECC%20Root%20CA%20-%20G3;type=cert' \
  "$d/emSign_ECC_Root_CA_-_G3.pem"

trust extract --overwrite --format=pem-bundle \
  --filter='pkcs11:object=Comodo%20AAA%20Services%20root;type=cert' \
  "$d/Comodo_AAA_Services_root.pem"

trust extract --overwrite --format=pem-bundle \
  --filter='pkcs11:object=emSign%20ECC%20Root%20CA%20-%20C3;type=cert' \
  "$d/emSign_ECC_Root_CA_-_C3.pem"

trust extract --overwrite --format=pem-bundle \
  --filter='pkcs11:object=emSign%20Root%20CA%20-%20C1;type=cert' \
  "$d/emSign_Root_CA_-_C1.pem"

update-ca-trust extract

الخطوة 3: التحقق من الشهادات التي لم يتم توزيعها في GuestShell

تحقق من ظهور الشهادات الأربع المستخرجة في نهج عدم ثقة/حظر النظام واستبعادها من نقاط ربط الثقة النشطة باستخدام أمر التحقق أدناه. يؤكد الأمر أن الشهادات مسجلة في نهج قائمة الحظر.

###Verify with below command
[guestshell@guestshell ~]$ trust list --filter=trust-policy --purpose=server-auth | grep -E -A3 'emSign|AAA'
    label: AAA Certificate Services
    trust: distrusted
    category: authority

--
    label: emSign ECC Root CA - C3
    trust: distrusted
    category: authority

--
    label: emSign ECC Root CA - G3
    trust: distrusted
    category: authority

--
    label: emSign Root CA - C1
    trust: distrusted
    category: authority

--
    label: emSign Root CA - G1
    trust: anchor
    category: authority
   
Output will vary based on CentOS Stream version
###Verify CentOS Stream Version
[guestshell@guestshell ~]$ cat /etc/redhat-release
CentOS Stream release 8

OS                           CentOS Stream 8       CentOS Stream 9
Directory                    blacklist only        blocklist
Result shown                  trust: blacklisted    trust: distrusted

الخطوة 4: إستمرارية الحالة ودورة حياة الحاوية

ملاحظة حول إستمرارية الحاوية: تستمر تعديلات عدم ثقة الشهادة هذه عبر عمليتي 'guestshell enable' و'guestshell disable' وإعادة تمهيد الجهاز لأن /etc/pki/ca-trust موجودة على التخزين الثابت للحاوية.

العودة إلى الدولة المنشورة (إن أمكن): إذا كان GuestShell موجودا في الحالة المنشورة في الأصل وتم تمكينه فقط لتنفيذ إجراء عدم الثقة هذا، فعليك إرجاع GuestShell إلى حالته السابقة التي تم إيقافها عن طريق الخروج من BaseH وتشغيل "Guestshell disable" من مطالبة EXEC للمستوى المتميز IOS:

[root@guestshell ~]# exit
[guestshell@guestshell ~]$ exit
Router# guestshell disable

إعتبار مهم لدورة الحياة: إذا تم تدمير GuestShell بالكامل باستخدام 'Guestshell Destroy'، فسيتم إزالة نظام ملفات الحاوية. إذا تم إعادة تمكين GuestShell فيما بعد، تتم إعادة إنشاء الحاوية من صورة النظام الأساسي ويجب إعادة تطبيق خطوات إصلاح عدم الثقة هذه.

الخطوة 5: إجراء التراجع (إستعادة ثقة CA)

لعكس تكوين عدم الثقة واستعادة ثقة CA الافتراضية عبر أي إصدار من Cisco IOS XE، حدد دليل قائمة المنع النشطة ($d) بشكل ديناميكي، وقم بإزالة ملفات الشهادات الأربعة التي تمت إضافتها بواسطة هذا الإجراء (بما في ذلك جذر خدمات Comodo AAA)، وأعد إنشاء مخزن الثقة:

! Escalate to root user inside GuestShell:
[guestshell@guestshell ~]$ sudo -s

d=/etc/pki/ca-trust/source/blocklist
[ -d "$d" ] || d=/etc/pki/ca-trust/source/blacklist

! Remove only the four certificate files added during remediation:
rm -f "$d/emSign_ECC_Root_CA_-_G3.pem" "$d/Comodo_AAA_Services_root.pem" \
      "$d/emSign_ECC_Root_CA_-_C3.pem" "$d/emSign_Root_CA_-_C1.pem"

! Rebuild the system CA trust store:
update-ca-trust extract

تحقق من عدم إحتواء دليل قائمة الحظر على الملفات التي تمت إزالتها:

[root@guestshell ~]# ls -l "$d"/
total 0

تأكيد إستعادة ثقة المرجع المصدق: تحقق من أن الشهادات الخمس قد تم إرجاعها إلى نقاط الربط الموثوق بها النشطة عن طريق إعادة تشغيل أمر التحقق من الخطوة 3 (جميع الإدخالات تبلغ عن الثقة: المذيع):

[root@guestshell ~]# trust list --filter=trust-policy --purpose=server-auth | grep -E -A3 'emSign|AAA'
    trust: anchor
    trust: anchor
    trust: anchor
    trust: anchor
    trust: anchor

مثال محضر التنفيذ من نهاية إلى نهاية

يوضح النص جلسة تدقيق ومعالجة والتحقق ل GuestShell ناجحة وكاملة على جهاز Cisco IOS XE:

Router# guestshell run bash
[guestshell@guestshell ~]$ sudo -s
bash-4.4# d=/etc/pki/ca-trust/source/blocklist
bash-4.4# [ -d "$d" ] || d=/etc/pki/ca-trust/source/blacklist
bash-4.4# mkdir -p "$d"
bash-4.4# trust extract --overwrite --format=pem-bundle \ >   --filter='pkcs11:object=emSign%20ECC%20Root%20CA%20-%20G3;type=cert' \ >   "$d/emSign_ECC_Root_CA_-_G3.pem"
bash-4.4# trust extract --overwrite --format=pem-bundle \ >   --filter='pkcs11:object=Comodo%20AAA%20Services%20root;type=cert' \ >   "$d/Comodo_AAA_Services_root.pem"
bash-4.4# trust extract --overwrite --format=pem-bundle \ >   --filter='pkcs11:object=emSign%20ECC%20Root%20CA%20-%20C3;type=cert' \ >   "$d/emSign_ECC_Root_CA_-_C3.pem"
bash-4.4# trust extract --overwrite --format=pem-bundle \ >   --filter='pkcs11:object=emSign%20Root%20CA%20-%20C1;type=cert' \ >   "$d/emSign_Root_CA_-_C1.pem"
bash-4.4# update-ca-trust extract
bash-4.4# trust list --filter=trust-policy --purpose=server-auth | grep -E -A3 'emSign|AAA'
    label: emSign ECC Root CA - G3
    trust: blacklisted
    category: authority

--
    label: AAA Certificate Services
    trust: blacklisted
    category: authority

--
    label: emSign ECC Root CA - C3
    trust: blacklisted
    category: authority

--
    label: emSign Root CA - C1
    trust: blacklisted
    category: authority

--
    label: emSign Root CA - G1
    trust: anchor
    category: authority

bash-4.4# cat /etc/redhat-release
CentOS Stream release 8
bash-4.4# d=/etc/pki/ca-trust/source/blocklist
bash-4.4# [ -d "$d" ] || d=/etc/pki/ca-trust/source/blacklist
bash-4.4# rm -f "$d/emSign_ECC_Root_CA_-_G3.pem" "$d/Comodo_AAA_Services_root.pem" \ >       "$d/emSign_ECC_Root_CA_-_C3.pem" "$d/emSign_Root_CA_-_C1.pem"
bash-4.4#
bash-4.4# update-ca-trust extract
bash-4.4# ls -l "$d"/
total 0

مصفوفة ملخص الأوامر

show app-hosting list

guestshell enable

guestshell run bash

sudo -s

d=/etc/pki/ca-trust/source/blocklist; [ -d "$d" ] || d=/etc/pki/ca-trust/source/blacklist; mkdir -p "$d"

trust extract --overwrite --format=pem-bundle ... (x4 CAs)

update-ca-trust extract

trust list --filter=trust-policy --purpose=server-auth

guestshell disable

rm -f "$d/emSign_ECC_Root_CA_-_G3.pem" "$d/Comodo_AAA_Services_root.pem" "$d/emSign_ECC_Root_CA_-_C3.pem" "$d/emSign_Root_CA_-_C1.pem" && update-ca-trust extract (set $d as in Step 2 first)