dəstəklənməyən sertifikat məqsədi: aralıq CA niyə uğursuz olur

Server sertifikatının məqsədi düzgün görünür, açar uyğundur, tarixlər qaydasındadır, amma bağlantı yenə də unsupported certificate purpose xətası ilə uğursuz olur. Bunu həll edən detal adətən xəta ilə eyni sətirdə olur: zəncirdə daha yuxarıda olan sertifikatı göstərən dərinlik dəyəri və subyekt. İki fərqli test işə salınır və yalnız biri son sertifikata aiddir. Onları müqayisə etmək server sertifikatının dəyişdirilməsinin niyə heç nəyi dəyişmədiyini izah edir.

Yoxlayıcı əslində hansı sertifikatı rədd etdi

Zəncir üç dəfə təkrarlanan bir obyekt deyil. Son sertifikat serverin adını və açarını daşıyır, aralıq sertifikatlar onu köklə birləşdirir və hər birinin öz etibarlılıq müddəti, məhdudiyyətləri və istifadələri var. Xəta dərinlik qeyd etdikdə, bu rəqəm yoxlayıcının qurduğu zəncirdə bir mövqeni göstərir; server gözlənilməz zəncir göndərirsə, bu, gözlədiyiniz mövqe olmaya bilər.

Həmin dərinlikdəki sertifikatın sahələrini oxuyun, günahkar saydığınız sertifikatı yox. Hər sahəni tökmək əvəzinə buraxılışı məhdudlaşdıran iki uzantını soruşun, çünki cavab demək olar ki, həmişə onlardan birindədir. Uzantı çıxışını paylaşmaq təhlükəsizdir; şəxsi açarları heç vaxt.

openssl x509 -in issuing-ca.pem -noout -subject -issuer -ext basicConstraints -ext extendedKeyUsage

Adı çəkilən sertifikat aralıq sertifikatdırsa və genişləndirilmiş açar istifadəsi TLS server autentifikasiyası ilə əlaqəsiz bir şey qeyd edirsə, qalan uğursuzluq mexaniki olaraq gəlir. Zəncir OpenVPN istədiyi məqsəd üçün istifadə edilə bilməz.

Son sertifikatın məqsədi və zəncir siyasəti iki testdir

Son sertifikat testi dar bir sual verir: bu son obyekt sertifikatı bu ad üçün server autentifikasiyasına icazə verirmi? Zəncir testi daha geniş sual verir: yoldakı hər sertifikat bu məqsədə xidmət edə bilərmi? Yalnız müştəri sertifikatları buraxmağa icazəsi olan sertifikat orqanı öz imza yoxlamalarından keçəcək və yenə də ikinci testdə uğursuz olacaq, çünki icazə verdiyi yol tətbiqin ehtiyac duyduğu məqsədi əhatə etmir. İki test eyni sözlərlə uğursuz olur və tamamilə fərqli düzəlişlərə malikdir.

Buna görə hər görünən sahədə düzgün olan yeni buraxılmış son sertifikat dərhal uğursuz ola bilər. Buna görə də düzəliş adətən VPN konfiqurasiyasına deyil, buraxan orqanın profilinin içinə aiddir.

Olmayan EKU məhdudlaşdırıcı EKU deyil

RFC 5280 genişləndirilmiş açar istifadəsi uzantısını istəyə bağlı edir və o olduqda məhdudlaşdırıcıdır. Buna görə uzantısı olmayan CA sertifikatı server autentifikasiyasına «yox» deməmişdir, yalnız əlaqəsiz bir məqsəd sadalayan sertifikat isə çox konkret bir şey demişdir. Bu iki vəziyyəti ekvivalent saymaq yanlış diaqnoz və daha pisi, yanlış düzəliş verir. Fərq həmçinin konsolda oxşar görünən iki orqanın zəncirdə niyə tamamilə fərqli davrandığını izah edir.

Kitabxana davranışı burada da vahid deyil. OpenSSL-in yoxlama seçimləri sənədi CA sertifikatlarındaki məqsəd yoxlamalarına öz münasibətini təsvir edir və bu münasibət hər TLS steqi tərəfindən eyni cür izlənən qayda deyil, tətbiq siyasətidir. Yoxlayıcınızın nə etdiyini təsvir edin, sonra bunu həqiqətən işlətdiyiniz versiya ilə təsdiqləyin.

Yenidən buraxmadan əvvəl uğursuzluğu oflayn təkrarlayın

Oflayn yoxlama tətbiqi tənlikdən çıxarır. Zəncir eyni məqsəd altında eyni şəkildə uğursuz olursa, problem sertifikatdadır və heç bir server konfiqurasiyası bunu gizlədə bilməz. Zəncir oflayn keçirsə, xidmət yenə imtina edirsə, tətbiq fərqli məqsəd istəyir və ya sınaqdan keçirdiyinizdən fərqli zəncir istifadə edir.

openssl verify -purpose sslserver -show_chain -CAfile root-ca.pem -untrusted issuing-ca.pem vpn-server.pem

-show_chain vacibdir, çünki alətin qurduğu yolu çap edir və bu, çox vaxt təqdim etdiyiniz fayl sırası deyil. Bu çıxış ikinci bir aralıq sertifikatın etibarlılıq anbarından çəkildiyini, serverin nəzərdə tutmadığınız çarpaz imzalanmış variantı göndərdiyini və ya dərslikdən kopyaladığınız məqsəd bayrağının xidmət edilən roldan fərqli bir rola aid olduğunu kəşf etməyin ən sürətli yoludur.

Yoxlama çağırışını deyil, buraxılış siyasətini düzəldin

Davamlı düzəliş, xidmət etməli olduğu məqsədlərə icazə verən siyasət altında buraxılmış aralıq sertifikatdır və məhdudiyyət yazılı şəkildə saxlanılıb nəzərdən keçirilməlidir. Hər orqana hər məqsədi əlavə etmək siyasət deyil; bu, uzantını mənalı edən məhdudiyyəti aradan qaldırır və adətən onu doğuran hadisədən daha uzun yaşayır. Profildə orqanın hansı rolları təsdiqləyə biləcəyini təsvir edən qısa qeyd növbəti buraxılışın eyni mübahisəni təkrarlamasının qarşısını alır.

Yoxlamanı söndürmək digər cəlbedici qısa yoldur və o, sertifikat problemini etimad probleminə çevirir. Məqsəd yoxlamasını yerində saxlayın, zənciri düzəldin və xidmətə yenidən toxunmadan əvvəl yolun indi nəzərdə tutulan rola xidmət etdiyini təsdiqləmək üçün eyni oflayn yoxlamanı yenidən işlədin.