Gurutzean sinatutako CA: gakoa bat dator, AKI lotura ez

Bi CA ziurtagirik gako publiko bera eta subjektu bera izan dezakete eta, hala ere, ez dira trukagarriak. Bata auto-sinatuta dago, bestea erro zaharrak gurutzean sinatu zuen, eta haien igorle-izenak, serie-zenbakiak eta sinadurak desberdinak dira. Hosto bat haietako bati lotu dakioke modu espezifikoan bere Authority Key Identifier-aren bidez. Lotura hori ikusezina izaten da bezeroak kate okerra aukeratu eta handshake-ak arrazoi argirik gabe huts egiten duen arte.

Egin bost egiaztapen hauek ordenan: bakoitzak huts egite mota desberdin bat baztertzen du.

1. egiaztapena: marraztu bi kateak txantiloia ukitu aurretik

Idatzi bideak. Populazio zaharrak A Erro zaharrarean fidatzen da, zeinak CA B igorri zuen, eta horrek zerbitzariaren hostoa igorri zuen. Populazio berriak auto-sinatutako CA B-n fidatzen da zuzenean. Bi B ziurtagiriek gako eta subjektu bera daramatzate, eta horrexegatik subjektu-lerro bat irakurtzen duen pertsonak CA bat ikusten du bezeroak bi ikusten dituen tokian.

Gurutzean sinatutako kopiak CA ziurtagiri benetakoa ere izan behar du, basic constraints eta key usage sinatzea ahalbidetzen dutenak.

2. egiaztapena: alderatu AKI eremuak, ez soilik gakoa

Hostoaren igorle-izenak B-ren subjektuarekin bat egin behar du, eta zati hori normalean betetzen da. Authority Key Identifier da bi kopiak banatzen direneko tokia, izan ere gako-identifikatzaile bat, igorle-ziurtagiri bat eta serie-zenbaki bat eraman ditzake. Gako-identifikatzailea bi kopiekin bat dator, gakoa bera baita. Igorle eta serie eremuak bat datoz bakar batekin, eta horregatik auto-sinatutako kopiaren aurka eraikitzen den kateak huts egin dezake gurutzean sinatutakoaren aurka.

Aztertu hostoa asmatu beharrean: openssl x509 -in server.pem -noout -ext authorityKeyIdentifier.

Ondoren alderatu bi hautagaiak openssl x509 -in b-cross.pem -noout -text | grep -A2 "Authority Key Identifier" erabiliz, eta komando bera auto-sinatutako kopiaren aurka.

Hostoak igorlea eta seriea badarama, balio horiek deskribatzen duten ziurtagiriak soilik osatzen du katea, bezeroak zein kopia kargatu zuen ere.

3. egiaztapena: aldatu igorpen-politika, inoiz ez sinatutako byteak

Luzapenak sinaduraren barruan bizi dira. Lehendik dagoen hosto batean bat gehitzea, kentzea edo editatzea ez da konponketa, beste ziurtagiri bat da, eta birsortzea behar du. Aldaketa igorpen-politikari dagokio: authorityKeyIdentifier = keyid,issuer:always -k hosto berriek ziurtagiri-espezifikoa den lotura daramatela egiten du, eta keyid bakarrik forma solteagoa mantentzen du, gurutzean sinatzearen trantsizio deliberatu baterako egokia. Erabaki zein nahi duen zure PKI-k hurrengo sorta sinatu aurretik.

Txantiloi partekatu bat editatzeak etorkizuneko ziurtagiri guztiak ere aldatzen ditu, ez soilik zure aurrean dagoen zerbitzaria.

4. egiaztapena: egiaztatu konfiantza-populazio bakoitza bereizita

Probatu bide zaharra eta bide berria exekuzio bereizi gisa. openssl verify -purpose sslserver -verify_hostname vpn.example -CAfile old-root.pem -untrusted b-cross-signed.pem server.pem -k gurutzean sinatutako ibilbidea lantzen du, eta komando bera erro berriarekin eta untrusted fitxategirik gabe auto-sinatutako ibilbidea lantzen du. Bi erroak sorta bakarrean nahasteak zein kate hautatu zen ezkutatzen du. Errepikatu ondoren benetako bezeroekin, VPN backend batek kate bat lehenetsi dezakeelako edo ziurtagiri bat finkatu openssl-ek egiten ez dituen moduetan.

Eman tarteko ziurtagiria bezeroak benetan irakurtzen duen zerbitzu-konfigurazioaren bidez, ez wiki orrialde baten bidez.

5. egiaztapena: eduki bide zaharra erretiratze-erlojuan

Gurutzean sinatzeak konfiantza-bide zaharra bizirik edukitzen du diseinuz, eta hori da, hain zuzen, asmoa eta arriskua. Ez du konprometitutako erro zaharra konpontzen, eta ez du erro hori inolako bezerotik kentzen. Idatzi bide zaharra noiz utziko dion konfiantza emateari, eta egiaztatu egun hori benetan iristen dela.

Bezero guztiek erro berria hartu baditzakete hostoak mugitu aurretik, konfiantza bikoitzeko hedapen soil bat gurutzean sinatzea baino errazagoa da, eta gutxiago uzten du erretiratzeko.