Tystysgrif deilen yn ddilys, cadwyn wedi dod i ben: darllenwch y dyfnder

Rydych yn gwirio tystysgrif y gweinydd, yn gweld misoedd yn weddill ar y cloc, ac mae'r cleient yn dal i wrthod y cysylltiad gyda neges dod i ben. Mae'r dyddiad rydych yn ei ddarllen yn perthyn i'r ddeilen, a gall y gŵyn fod am rywbeth dyfnach yn y llwybr. Mae gwirio yn cerdded cadwyn, a gall unrhyw dystysgrif y mae'r daith hon yn ei dewis fethu yn ei ffenestr ddilysrwydd ei hun. Darllenwch pa un a fethodd cyn adnewyddu unrhyw beth.

Mae'r dyfnder yn enwi'r dystysgrif a fethodd

Yn diagnosteg OpenSSL, dyfnder 0 yw'r dystysgrif darged a dyfnder 1 yw'r cyhoeddwr a'i llofnododd, gyda rhifau uwch yn parhau tuag at angor ymddiriedaeth. Nid yw dod i ben a adroddwyd ar ddyfnder 1 yn cael ei wrthbrofi gan notAfter cyfredol ar y ddeilen, felly ni fydd gwirio'r dystysgrif weladwy eto byth yn esbonio'r gwall.

Cofnodwch olion bysedd y dystysgrif a fethodd ynghyd â'i phwnc, oherwydd gall tystysgrifau gwahanol gario'r un enw CA. Mae llofnodi croes yn cynhyrchu'r union sefyllfa hon: mae'r un awdurdod yn ymddangos fwy nag unwaith, gyda dyddiadau dilysrwydd gwahanol, a dewisodd y gwiriedydd yr un nad oeddech yn ei disgwyl. Nid yw label cyfarwydd yn ddynodydd, a gôl bysedd yw'r hyn sy'n gwahaniaethu dau wrthrych sy'n rhannu enw.

Gwyliwch hefyd am gynhyrchion sydd â mwy nag un rôl dystysgrif. Ar OpenVPN Access Server, mae'r tystysgrifau sy'n amddiffyn y rhyngwynebau gwe yn wahanol i'r rhai a ddefnyddir ar gyfer cysylltiadau VPN, felly nid yw porwr sy'n agor y dudalen weinyddol yn profi dim am lwybr y twnnel.

Nid yw mewnbynnau ymddiriedaeth yr un peth â ymgeiswyr cadwyn

Rhowch y ddau fewnbwn i'r gwiriedydd ar wahân ac yn benodol. Mae'r ffeil ymddiriedaeth yn dal yr angorau rydych yn eu derbyn; mae'r bwndel annibynadwy yn dal tystysgrifau canolraddol a gynigir ar gyfer adeiladu'r llwybr. Eu cymysgu yw'r ffordd y mae pobl yn dyrchafu canolraddol yn wreiddyn ar ddamwain ac yna'n rhyfeddu pam mae'r un gwall yn eu dilyn rhwng peiriannau.

$ openssl verify -verbose -show_chain -purpose sslserver \
    -CAfile trusted-roots.pem -no-CApath -no-CAstore \
    -untrusted intermediates.pem server.pem

Mae anablu'r llwybr a'r storfa ragosodedig gyda -no-CApath -no-CAstore yn cadw'r prawf yn onest: mae'r canlyniad wedyn yn dibynnu ar y ffeiliau a enwyd gennych, nid ar beth bynnag y mae'r gweithorsaf yn ei ymddiried ar hap. Mae cyfeirlyfr gwirio OpenSSL yn dogfennu'r opsiynau hyn a'r diagnosteg maen nhw'n ei gynhyrchu.

-show_chain yn argraffu'r gadwyn a adeiladwyd pan fydd gwirio'n llwyddo, sy'n ddefnyddiol i gadarnhau mai'r llwybr yw'r un a fwriadwyd. Pan fydd yn methu, cadwch y dyfnder a'r pwnc a adroddwyd; mae'r dau faes hynny'n dweud wrth y darllenydd nesaf pa dystysgrif i'w harchwilio.

Yr hyn nad yw hyn yn ei wneud yw atgynhyrchu polisi pob cleient. Mae pin, cyfyngiad pwrpas neu wiriad hunaniaeth sy'n benodol i gleient yn byw yn y cleient, nid yn y gorchymyn hwn. Y gosodiadau hynny sydd i'w harchwilio pan fydd gwirio'n llwyddo ar y gweinydd a'r cysylltiad yn dal i fethu. Cadwch y ddau ddiagnosis ar wahân, neu byddwch yn adnewyddu tystysgrif iach wrth hela gwall pinio.

Beth mae'r gwiriad yn ei brofi a beth mae'n ei adael allan

Mae hwn yn wiriad llwybr a phwrpas yn erbyn ffeil ymddiriedaeth a gyflenwyd gennych. Ar gyfer gwiriad enw HTTPS, ychwanegwch yr enw gwesteiwr disgwyliedig drwy'r opsiwn priodol; ar gyfer cysylltiad VPN, cadwch wiriadau hunaniaeth cyfluniad y cleient a defnyddiwch y deunydd ymddiriedaeth y mae'r cleient hwnnw'n ei ddarllen mewn gwirionedd.

Yr hyn y mae gweinydd yn ei anfon yw set o ymgeiswyr, nid y llwybr y bydd eich cleient yn ei adeiladu yn y pen draw. Mae ymddiriedaeth leol a rheolau adeiladu'r llyfrgell ill dau yn siapio'r canlyniad, a dyna pam y gall yr un ymateb wirio ar un peiriant a methu ar un arall. Cymharwch storfa ymddiriedaeth a chynhalir y cleient sy'n methu a'i weithrediad TLS â rhai cleient sy'n gweithio cyn tybio gwerthusiad unfath. Mae gwahaniaeth yno'n esbonio llawer o adroddiadau „dim ond y gliniadur hwn sy'n methu”.

I weld ffenestr pob tystysgrif yn hytrach nag un ar y tro, argraffwch nhw fel set:

$ openssl x509 -in server.pem -noout -subject -dates
$ openssl crl2pkcs7 -nocrl -certfile intermediates.pem \
    | openssl pkcs7 -print_certs -noout

Mae'r ail orchymyn yn rhestru pynciau a chyhoeddwyr heb ddatgodio pob ffeil â llaw, a dyna sut rydych yn sylwi ar ganoloesol y mae ei ddyddiad wedi pasio tra mae'r ddeilen yn dal i edrych yn iawn.

Trwsiwch y llwybr heb wanhau'r gwirio

Pan fydd canoloesol wedi dod i ben neu dystysgrif groes-lofnodwyd wedi dyddio yn cael ei chyflenwi, cewch gadwyn a gefnogir ar hyn o bryd y cyhoeddwr a'i defnyddio drwy weithrediad tystysgrif dogfennol y gwasanaeth. Pan fydd y cleient yn brin o'r angor cynhaliol arfaethedig, diweddarwch ei ffurfweddiad ymddiriedaeth a reolir neu feddalwedd y cleient. Gwrthwynebwch y llwybr byr o farcio pob tystysgrif yn y bwndel fel gwraidd dim ond i dawelu'r neges.

Mae trin gwraidd yn haeddu nodyn, oherwydd mae crynodebau'n aml yn gorliwio hyn. Mae RFC 5280 yn trin yr angor fel mewnbwn sy'n sefyll y tu allan i'r llwybr arfaethedig, tra mae OpenSSL yn dogfennu gwiriadau dilysrwydd sy'n cynnwys ei dystysgrif CA gwraidd. Mae'r ddau ddatganiad yn wir am eu systemau eu hunain; mae cyffredinoli ymddygiad dod-i-ben gwraidd un llyfrgell i bob cleient yn cynhyrchu atebion anghywir hyderus.

Ar ôl y newid, gorfodwch uwchadnewyddu ar y cleient yr effeithiwyd arno a chadarnhewch fod y neges dod i ben benodol wedi diflannu. Adnewyddwch y ddeilen yn unig os yw'r ddeilen ei hun yn anaddas. Nid yw anablu gwiriadau amser, na chadw tystysgrif groes hanesyddol, yn cynhyrchu llwybr cyfredol dilys; mae'n gohirio'r methiant nesaf yn unig.