pwrpas tystysgrif heb ei gefnogi: pam y mae'r CA canolradd yn methu

Mae pwrpas tystysgrif y gweinydd yn edrych yn iawn, mae'r allwedd yn cyfateb, mae'r dyddiadau'n iawn, ac eto mae'r cysylltiad yn methu â unsupported certificate purpose. Mae'r manylion sy'n datrys hyn fel arfer ar yr un llinell â'r gwall: gwerth dyfnder a phwnc sy'n enwi tystysgrif yn uwch yn y gadwyn. Mae dau brawf gwahanol yn cael eu rhedeg, a dim ond un ohonynt sy'n ymwneud â'r ddalen. Mae cymharu'r ddau yn egluro pam nad yw ailosod tystysgrif y gweinydd yn newid dim.

Pa dystysgrif y gwrthododd y gwiriwr hi mewn gwirionedd

Nid yw cadwyn yn un gwrthrych a ailadroddir deirgwaith. Mae'r ddalen yn cario enw ac allwedd y gweinydd, mae'r rhai canolradd yn ei chysylltu â gwraidd, ac mae gan bob un ei chyfnod dilysrwydd, ei chyfyngiadau a'i defnydd ei hun. Pan fydd y gwall yn enwi dyfnder, mae'r rhif hwnnw'n nodi safle yn y gadwyn a adeiladodd y gwiriwr, ac efallai nad dyma'r safle rydych yn ei ddisgwyl os yw'r gweinydd yn anfon cadwyn annisgwyl.

Darllenwch feysydd y dystysgrif ar y dyfnder hwnnw, nid y dystysgrif roeddech yn tybio oedd ar fai. Gofynnwch am y ddau estyniad sy'n cyfyngu ar gyhoeddi yn lle dympio pob maes, oherwydd mae'r ateb bron bob amser yn un ohonynt. Mae allbwn estyniadau'n ddiogel i'w rannu; allweddi preifat byth.

openssl x509 -in issuing-ca.pem -noout -subject -issuer -ext basicConstraints -ext extendedKeyUsage

Os yw'r dystysgrif a enwir yn un ganolradd y mae ei defnydd estynedig o allwedd yn sôn am rywbeth nad yw'n gysylltiedig â dilysu gweinydd TLS, mae gweddill y methiant yn dilyn yn fecanyddol. Ni ellir defnyddio'r gadwyn at y pwrpas a ofynnodd OpenVPN amdano.

Pwrpas y ddalen a pholisi'r gadwyn yw dau brawf

Mae prawf y ddalen yn gofyn cwestiwn cul: a yw'r dystysgrif endid terfynol hon yn caniatáu dilysu gweinydd ar gyfer yr enw hwn? Mae prawf y gadwyn yn gofyn un changach: a gaiff pob tystysgrif yn y llwybr wasanaethu'r pwrpas hwnnw? Bydd awdurdod tystysgrifau a ganiateir i gyhoeddi tystysgrifau cleient yn unig yn pasio ei wiriadau llofnod ei hun ac yn dal i fethu'r ail brawf, oherwydd nid yw'r llwybr y mae'n ei awdurdodi yn cynnwys y pwrpas y mae'r cymhwysiad ei angen. Mae'r ddau brawf yn methu â'r un geiriau ac mae ganddynt atgyweiriadau hollol wahanol.

Dyna pam y gall dalen sydd newydd ei chyhoeddi, yn gywir ym mhob maes gweladwy, fethu ar unwaith. Dyna hefyd pam mae'r cywiriad fel arfer yn perthyn i broffil yr awdurdod sy'n cyhoeddi yn hytrach nag i ffurfweddiad y VPN.

Nid yw EKU absennol yn EKU cyfyngol

Mae RFC 5280 yn gwneud estyniad defnydd estynedig o allwedd yn ddewisol ac, pan fo'n bresennol, yn gyfyngol. Felly nid yw tystysgrif CA heb yr estyniad wedi dweud «na» wrth ddilysu gweinydd, tra bod un sy'n rhestru pwrpas digyswllt yn unig wedi dweud rhywbeth penodol iawn. Mae trin y ddau gyflwr hynny fel rhai cyfystyr yn cynhyrchu diagnosis anghywir ac, yn waeth, atgyweiriad anghywir. Mae'r gwahaniaeth hefyd yn egluro pam mae dau awdurdod sy'n edrych yn debyg mewn consol yn ymddwyn yn hollol wahanol mewn cadwyn.

Nid yw ymddygiad llyfrgelloedd yn unffurf yma chwaith. Mae dogfen OpenSSL ar opsiynau gwirio yn disgrifio ei driniaeth ei hun o wiriadau pwrpas ar dystysgrifau CA, ac mae'r driniaeth honno'n bolisi gweithredu yn hytrach na rheol y mae pob stac TLS yn ei dilyn yn union yr un fath. Disgrifiwch beth mae eich gwiriwr yn ei wneud, yna cadarnhewch hynny yn erbyn y fersiwn rydych yn ei redeg mewn gwirionedd.

Atgynhyrchwch y methiant all-lein cyn ailosod

Mae gwiriad all-lein yn tynnu'r cymhwysiad o'r cwestiwn. Os yw'r gadwyn yn methu yr un ffordd o dan yr un pwrpas, y dystysgrif yw'r broblem ac ni fydd unrhyw ffurfweddiad gweinydd yn ei chuddio. Os yw'r gadwyn yn pasio all-lein tra bod y gwasanaeth yn dal i wrthod, mae'r cymhwysiad yn gofyn am bwrpas gwahanol neu'n defnyddio cadwyn wahanol i'r un a brofwyd gennych.

openssl verify -purpose sslserver -show_chain -CAfile root-ca.pem -untrusted issuing-ca.pem vpn-server.pem

-show_chain yn bwysig oherwydd ei fod yn argraffu'r llwybr a adeiladodd yr offeryn, nad yw'n aml yn drefn y ffeiliau a roesoch. Yr allbwn hwnnw yw'r ffordd gyflymaf o ddarganfod bod ail dystysgrif ganolradd yn cael ei thynnu o storfa ymddiriedaeth, bod y gweinydd yn anfon amrywiolyn croes-lofnodwyd na fwriadwyd gennych, neu fod y baner pwrpas a gopïwyd gennych o diwtorial yn perthyn i rôl wahanol i'r un sy'n cael ei gwasanaethu.

Trwsiwch y polisi cyhoeddi, nid y galwad gwiro

Yr atgyweiriad parhaol yw tystysgrif ganolradd a gyhoeddwyd o dan bolisi sy'n caniatáu'r pwrpasau y mae'n rhaid iddi eu gwasanaethu, gyda'r cyfyngiad wedi'i ysgrifennu a'i adolygu. Nid yw ychwanegu pob pwrpas at bob awdurdod yn bolisi; mae'n tynnu'r cyfyngiad a roddodd ystyr i'r estyniad yn y lle cyntaf, ac fel arfer mae'n byw'n hwy na'r digwyddiad a'i sbardunodd. Mae nodyn byr yn y proffil yn disgrifio pa rolau y caiff yr awdurdod eu hardystio yn atal yr ailosodiad nesaf rhag ailadrodd yr un ddadl.

Mae diffodd y gwiriad yn y llwybr byr arall sy'n demtasiwn, ac mae'n troi problem tystysgrif yn broblem ymddiriedaeth. Cadwch y gwiriad pwrpas yn ei le, cywiriwch y gadwyn, ac ail-redegwch yr un gwiriad all-lein i gadarnhau bod y llwybr bellach yn gwasanaethu'r rôl a fwriadwyd cyn cyffwrdd â'r gwasanaeth eto.