Hosto-ziurtagiria baliozkoa, katea iraungita: irakurri sakonera

Zerbitzariaren ziurtagiria egiaztatzen duzu, erlojuan hilabeteak geratzen direla ikusten duzu, eta bezeroak oraindik ukatzen du konexioa iraungitze-mezuarekin. Irakurtzen duzun data hostoarena da, eta kexa bidearen zerbait sakonagoari buruzkoa izan daiteke. Egiaztapenak kate bat zeharkatzen du, eta ibilbide honek aukeratzen duen edozein ziurtagirik bere baliozkotasun-leihoan huts egin dezake. Irakurri zein huts egin zuen ezer berritu aurretik.

Sakonera huts egin zuen ziurtagiriari dagokio

OpenSSL diagnostikoan, 0 sakonera helburuko ziurtagiria da eta 1 sakonera sinatu zuen jaulkitzailea, zenbaki handiagoek konfiantza-aingurabidea jarraitzen dutelarik. 1 sakoneran jakinarazitako iraungitze bat ez da hostoan dagoen uneko notAfter batek gezurtatzen, beraz ziurtagiri ikusgaiaren berrikuspenak ez du inoiz errorea azalduko.

Erregistratu huts egin zuen ziurtagiriaren hatz-marka bere subjektuarekin batera, ziurtagiri desberdinek CA izen bera izan dezaketelako. Gurutze-sinadurak egoera hori sortzen du: agintaritza bera behin baino gehiagotan agertzen da, baliozkotasun-data desberdinekin, eta egiaztatzaileak espero ez zenuena aukeratu zuen. Etiketa ezaguna ez da identifikatzaile bat, eta hatz-marka da izen bera partekatzen duten bi objektu bereizten dituena.

Ziurtagiri-rol bat baino gehiago duten produktuei ere erreparatu. OpenVPN Access Server-en, web interfazeak babesten dituzten ziurtagiriak VPN konexioetarako erabiltzen direnetatik bereizita daude, beraz admin orria irekitzen duen nabigatzaileak ez du tunelaren bideari buruz ezer frogatzen.

Konfiantza-sarrerak ez dira katearen hautagai berak

Eman egiaztatzaileari bi sarrerak bereizita eta esplizituki. Konfiantza-fitxategiak onartzen dituzun aingurak gordetzen ditu; konfiantza gabeko sortak bidea eraikitzeko eskainitako tarteko ziurtagiriak gordetzen ditu. Hauek nahastea da jendeak nahi gabe tarteko bat errotik sustatu eta gero zergatik errore bera makinen artean jarraitzen dien galdetzea.

$ openssl verify -verbose -show_chain -purpose sslserver \
    -CAfile trusted-roots.pem -no-CApath -no-CAstore \
    -untrusted intermediates.pem server.pem

Bide eta biltegi lehenetsiak -no-CApath -no-CAstore erabiliz desgaitzeak proba zintzo mantentzen du: emaitza orduan izendatu dituzun fitxategien araberakoa da, lan-estazioak kasualitatez sinesten duenaren arabera beharrean. OpenSSL egiaztapen-erreferentziak dokumentatzen ditu aukera horiek eta sortzen duten diagnostikoa.

-show_chain eraikitako katea inprimatzen du egiaztapenak arrakasta duenean, eta hori erabilgarria da bidea nahi zenuena zela baieztatzeko. Huts egiten duenean, gorde jakinarazitako sakonera eta subjektua; bi eremu horiek hurrengo irakurleari esaten diote zein ziurtagiri ikuskatu.

Honek egiten ez duena bezero bakoitzaren politika erreproduzitzea da. Pin bat, helburu-murrizketa bat edo bezeroaren berariazko identitate-egiaztapen bat bezeroan bizi da, ez komando honetan. Horiek dira zerbitzarian egiaztapenak gainditzen duenean eta konexioak huts egiten jarraitzen duenean ikuskatzeko ezarpenak. Eutsi bi diagnostikoei bereizita, bestela ziurtagiri osasuntsu bat berrituko duzu pinning-errore baten atzetik.

Zer frogatzen duen egiaztapenak eta zer uzten duen kanpoan

Hau bide eta helburu egiaztapen bat da zuk eman duzun konfiantza-fitxategi baten aurka. HTTPS izen-egiaztapenerako, gehitu espero den ostalari-izena aukera egokiaren bidez; VPN konexiorako, eutsi bezeroaren konfiguratutako identitate-egiaztapenei eta erabili bezero horrek benetan irakurtzen duen konfiantza-materiala.

Zerbitzariak bidaltzen duena hautagaien multzo bat da, ez zure bezeroak azkenean eraikiko duen bidea. Tokiko konfiantzak eta liburutegiaren eraikuntza-arauak biak eratzen dute emaitza, horregatik erantzun bera makin batean egiaztatu eta bestean huts egin dezake. Alderatu huts egiten duen bezeroaren mantendutako konfiantza-biltegia eta TLS inplementazioa lanean ari den bezero batenekin, ebaluazio berbera suposatu aurretik. Hanako aldea „gailu eramangarri honek soilik huts egiten du“ motako txosten asko azaltzen ditu.

Ziurtagiri bakoitzaren leihoa banan-banan beharrean multzo gisa ikusteko, inprimatu hauek:

$ openssl x509 -in server.pem -noout -subject -dates
$ openssl crl2pkcs7 -nocrl -certfile intermediates.pem \
    | openssl pkcs7 -print_certs -noout

Bigarren komandoak subjektuak eta jaulkitzaileak zerrendatzen ditu fitxategi bakoitza eskuz deskodetzerik gabe, horrela data igaro zaion tarteko ziurtagiria antzematen duzu hostoa oraindik ondo dagoela dirudienean.

Konpondu bidea egiaztapena ahuldu gabe

Iraungitako tarteko bat edo gurutze-sinatutako ziurtagiri zaharkitu bat ematen denean, lortu jaulkitzailearen gaur egun onartutako katea eta zabaldu ezazu zerbitzuaren dokumentatutako ziurtagiri-fluxuaren bidez. Bezeroari aurreikusitako mantendutako aingura falta bazaio, eguneratu bere konfiantza-konfigurazio kudeatua edo bezeroaren softwarea. Egin aurre mezuari isiltzeko sortako ziurtagiri guztiak errotzat markatzeko lasterbideari.

Erroaren tratamenduak ohar bat merezi du, laburpenek sarritan handitu egiten baitute. RFC 5280-k aingura etorkizuneko bidetik kanpo dagoen sarrera gisa tratatzen du, OpenSSL-k bere erro CA ziurtagiria barne hartzen duten baliozkotasun-egiaztapenak dokumentatzen dituen bitartean. Bi baieztapenak egia dira beren sistema propioetarako; liburutegi baten erro-iraungitze portaera bezero guztiei orokortzeak seguru okerreko erantzunak sortzen ditu.

Aldaketaren ondoren, behartu autentikazio berri bat eragindako bezeroan eta egiaztatu iraungitze-mezu zehatza desagertu dela. Berritu hostoa hostoa bera desegokia bada soilik. Denbora-egiaztapenak desgaitzeak edo gurutze-ziurtagiri historiko bat berrezartzeak ez du uneko bide baliozkorik sortzen; hurrengo hutsegitea atzeratzen du soilik.