ca md too weak: ziurtagiria berrargitaratu ala maila jaitsi?

OpenVPN bezeroak joan den hilabetean funtzionatzen zuen eta orain abioan huts egiten du honekin: ca md too weak, eta diskoan dagoen profila funtzionatzen zuenaren bytez byte da. Mezuak ziurtagiri-autoritate baten ziurtagiriko sinaduraz dihardu, ez datuen zifratzeaz, auth laburpenaz edo kontuaren pasahitzaz. Hiru baldintzek erabakitzen dute konponbidea identitate-material berria, kate berria edo politikaren aldaketa deliberatua den. Landu itzazu hurrenez hurren, eta ohiko emaitza saihestuko duzu: tunela hosteko TLS konexio guztiak ahulduz itzultzea.

Zer izendatzen du erroreak benetan

OpenSSLek egiaztatze-errore hau jaurtitzen du katea eraikitzean, CA gisa diharduen ziurtagiriak liburutegiaren segurtasun-mailak jada onartzen ez duen sinadura-laburpena daramanean. MD5 baztertzen da maila lehenetsian, eta SHA-1 maila igotzean. Hosto-ziurtagiriaren laburpenak hemen garrantzi txikiagoa du hura sinatzen duen igorlearen laburpenak baino. Politika berak bazter dezake igorpen-egunean erabat arrunta zen erro bat.

Horregatik auth edo data-ciphers editatzeak ez du ezer egiten hutsegite honetarako. Ezarpen horiek paketeak eskuko keinua pasa ondoren nola babesten diren gobernatzen dute, baztertutako objektua tunela existitu aurretik aztertzen den identitate-dokumentua den bitartean. Ziurtagiri bat eroso egon daiteke bere baliozkotasun-leihoan eta hala ere liburutegiak onartuko ez duen sinadura bat eraman.

Eduki egiaztapenak buruan bereizita eta erroreak misteriotsua izateari uzten dio. Baliozkotasun-datak, gakoaren erabilera eta sinadura-laburpena proba independenteak dira, eta horietako bat bertan behera geratu da.

Lehen baldintza: baztertutako objektua erroa al da?

Inprimatu profileko ziurtagiri bakoitza eta irakurri subject eta issuer eremuak. Auto-sinatutako erro batek balio bera erakusten du bietan, eta haren sinadura-algoritmoa da kate osoa eusten duena. Laburpen ahula han badago, azpiko hosto bakoitzak arazoa heredatzen du. Idatzi algoritmoa subject ondoan, geroagoko alderaketa mekanikoa izan dadin, memoriarena ez.

CA fitxategi bateratuek sarritan hainbat bloke izaten dituzte, beraz identifikatu benetan kargatzen den blokea, lehena dela suposatu beharrean. Komandoak openssl x509 -in ca.pem -noout -subject -issuer -text ziurtagiri bat deskribatzen du aldi berean, hau da, paketea lehenengo zatitu behar da gehiago baditu. Alderatu inprimatutako sinadura-algoritmoa erroa sortu zen garaiko laburpenarekin.

SHA-256rekin sinatutako hosto bat erro ahul baten azpian oraindik huts egiten du, katearen egiaztapena guztiz gora doalako. Hori da hurrengo baldintza garrantzitsua egiten duen ordena.

Bigarren baldintza: igorlea kontrolatzen duzu?

Erroa zure erakundearena bada, konponbide iraunkorra laburpen modernoa duen erro berria eta berrargitaratutako hostoak dira, profileko eguneratze bakar gisa emanda. Horrek mantenimendu-leiho bat eta egun berean eguneratzea hartu ezin duten gailuetarako plan bat kostatzen ditu.

Kate hori hirugarren batek igorri bazuen, konponbidea operadore horri egindako eskaera da, eta tokiko ekintza erabilgarri bakarra material zaharraren mende ez egotea da. PEM testua editatzeak edo fitxategia berriro gordetzeak ez du sinadurak estaltzen duen ezer aldatzen.

Erdiko kasu batek izena merezi du: uneko lehenespenak baino zaharragoa den baina beste sistemek fidatzen duten materiala oraindik sinatzen duen barne-erroa. Hura ordezteak kontsumitzaile bakoitza auditatu behar du, ziurtagiri zaharra hatz-markaz finkatzen duten tresnak barne. Zenbatu kontsumitzaile horiek aldaketa programatu aurretik, erro aldaketa batek, bat ahaztuta, abioko errore bat eten baten truke aldatzen baitu.

Hirugarren baldintza: zer gehiago onartzen du maila jaisteak

Segurtasun-maila jaisteak, edo OpenVPNen ziurtagiri-profil zaharra hautatzeak, bezeroak laburpen zaharra berriro onar dezan egiten du. Liburutegi berean beste egiaztapen batzuk ere lasaitzen ditu, prozesu horrek egiten duen konexio guztietarako.

Hori defendagarria izan daiteke laborategi batean, edo zubi labur gisa ordezko materiala prestatzen ari den bitartean, salbuespena profil bakar batera mugatuta badago eta amaiera-data badarama. Host partekatu batean etengabeko ezarpen gisa, isilean zabaltzen du hango TLS bezero bakoitzak zer fidatuko duen.

Idatzi salbuespena jabearekin eta kentzeko urratsarekin. Dokumentatu gabeko maila-aldaketa ezin da akats batetik bereizi sei hilabete geroago, eta hurrengo ingeniariak ez daki inoiz erabaki bat izan zenik.

Erabakia, arau gisa idatzita

Ordeztu katea igorlea kontrolatzen duzunean eta haren kontsumitzaileak zerrenda ditzakezunean. Eskalatu igorlearenera kontrolatzen ez duzunean. Jaitsi maila data jakin eta mugatutako salbuespen gisa bakarrik, ordezkapena jada programatuta dagoelarik. Beste edozerk ziurtagiri bera lekuan uzten du eta arriskua leku gutxiago ikusgai batera eramaten du.

Ondoren probatu berriro profila bezero garbi batetik, egiaztatu eskuko keinua osatzen dela, eta gorde baztertze-testu zehatza oraindik huts egiten badu. Errore-mezu zehatza hurrengo geruza duenari eman diezaiokezun gauzarik merkeena da.