openssl ca: index.txt fitxategiko iraungitze-data baliogabea eta nola konpondu

Jaulkipen bat gelditu egiten da entry 22: invalid expiry date mezuarekin, eta aurrez aurre duzun eskaera erabat zuzena da. Kexa CAren datu-basearen analizatzailetik dator, ez CSRtik eta ez ziurtagiria aurkeztuko duen VPN bezeroarengandik. Bereizketa horrek geroztik guztia erabakitzen du: erregistro bat gaizki osatuta dago, beraz konponketa CAren egoeran dagokio, ez eskaeran ez parearen konfigurazioan. Zenbakitutako erregistroa honela irakurri: index.txt fitxategiko lerro bat, eta arazoa erantzun egiaztagarria duen datu-galdera mugatu batera txikitzen da.

Irakurri errorea datu-basearen kexa gisa

Dei openssl ca bakoitzak bere testu-datu-basea zeharkatzen du ezer sinatu aurretik. Lerro bakoitzak egoera-hizki bat, iraungitze-data-marka bat, hautazko errebokazio-marka bat, serie-zenbakia hamaseitarrean, fitxategi-izena eta subjektua gordetzen ditu. Eremu bat analizatu ezin denean, komandoak lerro-zenbakia jakinarazten du eta gelditu egiten da erregistroaren gainerakoa asmatu beharrean.

Gelditze hori babeskoa da, ez pedantea. Tresnak irakurri ezin duen erregistro batek ezin du erabaki eskatutako subjektua badagoen, serie-zenbaki bat eman den edo hurrengo CRLak zer izan behar duen. Lerro txar bat gainditzeak hilabete geroago agertzen den isilko koherentzia-eza sortuko luke, normalean inork azaldu ezin duen errebokazio batean. Irakurri mezua datuen kexa gisa, eta ikerketa CAren direktorioaren barruan geratuko da.

Kopiatu CAren egoera ezer ukitu aurretik

Atera argazkia CAren direktorio osoari, ez datu-basearen fitxategiari bakarrik. Indizeak, haren atributu-fitxategiak, serie-zenbakiaren eta CRL zenbakiaren fitxategiek, gako pribatuak eta jaulkitako ziurtagiriek denek parte hartzen dute geroagoko eragiketetan, eta bat leheneratu eta besteak ahazten dituen konponketa batek bigarren gertaera sortzen du. Erabili CAren beraren babeskopia-errutina dagoenean, eta geldiarazi programatutako jaulkipena lanak dirauen bitartean.

Idatzi huts egin zuen komandoak benetan kargatu zituen OpenSSL build-a eta konfigurazio-fitxategia. Instalazioek sarritan CA direktorio bat baino gehiago gordetzen dute, eta erroreak hautatutako konfigurazioak izendatzen duen datu-basearen aurrean bakarrik du esanahia.

Aurkitu erregistroa eta deskodetu haren data-eremua

Jakinarazitako lerro-zenbakia lehen erregistrotik zenbatzen da, beraz sed -n '22p' index.txt lerro arazoarekin topo egiten du gainetik lerro hutsik edo iruzkinik ez dagoela egiaztatu ondoren. Inprimatu lerro hori bereizle ikusgarriekin, tabuladoreak eta amaierako zuriuneak ohikoak baitira eta editore-leiho arrunt batean ikusezinak.

Iraungitze-eremua urtearen araberako zabalera duen denbora-marka da. 2049 arteko balioak UTCTime formatuan idazten dira, era honetara: YYMMDDHHMMSSZ, eta geroagoko balioak lau digituko urtea duen GeneralizedTime formatura igarotzen dira. Bi formak nahasten dituen erregistro batek, edo analizatzaileak orain lau espero dituen tokian bi digituko urtea daramanak, puntu honetan bertan huts egiten du. Idazketa eten baten ondorioz geratutako eremu moztuak ere bai.

Konparatu erregistroa erreferentzia egiten dion ziurtagiriarekin, ez beste CA baten fitxategiarekin. Sinatutako ziurtagiria da baliozkotasunak zer esan behar duen adierazteko autoritatea, eta jadanik badago objektu analizagarri gisa.

Konpondu erregistroa sinatutako ziurtagiriaren arabera

Irakurri benetako datak honekin: openssl x509 -in issued.pem -noout -dates -serial -subject. Bihurtu notAfter zure build-ak urte horretarako idazten duen markaren zabalerara, eta egiaztatu serie-zenbakia editatzera zoazen erregistroarekin bat datorrela, karaktere bat aldatu aurretik.

Editatu eremu hautsi bakarra, mantendu egoera-hizkia eta serie-zenbakia, eta utzi lerroaren gainerakoa bakean. Erregistroa sinatutako ziurtagiriren batekin bateratu ezin bada, erregistro galdu gisa hartu eta CAren errebokazio-bide propioaren bidez erretiratu, lerroa eskuz ezabatu ordez.

Ez konpondu data moztuz, urteari buruzko susmo batera egokitzeko. Bi karaktereko ebaki bat ez da build-en artean eramangarria, eta isilka aldatzen du datu-baseak etorkizuneko subjektu bikoitzaren eta CRLaren egiaztapenei jakinarazten dien baliozkotasuna. Jatorrizko balioa berreskuraezina denean, jaulki berriro serie-zenbaki berri batekin eta idatzi zergatik utzi zen zaharra. Auditoretza-arrastoa konponketaren parte da, ez haren inguruko papera.

Egiaztatu jaulkipena eta CRL sorrera joan aurretik

Exekutatu jaulkipen bat konfigurazio berarekin eta egiaztatu lerro-zenbakiaren kexarik gabe amaitzen dela. Gero sortu CRL bat honekin: openssl ca -gencrl -config openssl.cnf eta egiaztatu analizatzen dela, erregistro hondatua sarritan han agertzen baita, sinadura garaian ez ezik.

Aztertu ziurtagiri berria honekin: openssl x509 -noout -dates -serial eta konparatu CAk orain idatzi duen lerroarekin. Egiaztatu egoera-hizkia eta iraungitze-data ziurtagiriarekin bat datozela, eta egiaztatu openssl verify -CAfile ca.pem issued.pem errorerik gabe itzultzen dela. Gero berrezarri programatutako jaulkipena eta begiratu lehen exekuzioa, bigarren lerro gaizki osatu batek berehala iragarriko baitu.