ca.crt fitxategi-izen bera, ziurtagiri ezberdina: zer alderatu

Bi profilek ca.crt izeneko fitxategia dakarte, tunel bat igotzen da eta besteak kate-errore batekin huts egiten du. Bi fitxategiak elkarren ondoan irekitzeak gutxitan konpontzen du, eta egiaztapena desaktibatzeak norabide okerrean konpontzen du. Erroreak benetan egiten duen galdera estuagoa da: zein ziurtagiri kargatzen duen prozesu bakoitzak bere konfiantza-ankla gisa, eta biak objektu bera al dira? Erantzun horri lehenengo eta diagnosiaren gainerakoak norabidea izango du. Fitxategi-izena ontziratze-etiketa da, eta profilean idatzitako bidea ere ez da autoritatezkoa, beraz guztia prozesuak benetan irakurtzen duenaren mende dago.

Aurkitu bezeroak benetan kargatzen duen ziurtagiria

OpenVPN autoritatea bi formatutan onartzen du, eta formatuak erabakitzen du zein byte diren garrantzitsuak. Profil batek kanpoko fitxategi bat adieraz dezake ca bidez, edo ziurtagiria profilean bertan <ca> bloke baten barruan txerta dezake. Biak daudenean, txertatutako blokeak irabazten du eta profiletik ondoan dagoen fitxategia ez da inoiz irekitzen.

Irakurri huts egiten duen profila eta jakin ezazu zein formatu erabiltzen duen edozer alderatu aurretik. Alboko direktorio batetik edo beste profila etorri zen paketetik hartutako kopia batek ez dizu ezer esaten prozesu honek zer konfiantza duen. Gauza bera gertatzen da konfigurazioko bidearekin: bezeroa abiarazi zen tokiarekiko ebazten da, eta hori ez da beti begiratzen ari zaren direktorioa. Irakurri profila, ez karpeta.

Ziurtagiriak beren edukiaren arabera identifikatzen dira: gako publikoa, subjektua eta igorlea, baliozkotasun-leihoa eta horren guztiaren gaineko sinadura. Byte berdinak dituzten bi fitxategi ziurtagiri bera dira, edozein izen dutela ere, eta izen bera duten bi fitxategi erlaziorik gabeko autoritateak izan daitezke. Izena ontziratze-etiketa da, ez identitatea.

Grabatu bi kopien hatza openssl-rekin

Hatza ziurtagiriaren DER kodeketaren gaineko hash bat da, sinadurak estaltzen duen formatua, beraz lerro-amaierek eta goiburu-testuak ezin dute eragin. Kalkulatu fitxategi bakoitzerako eta bi puntuz bereizitako bi kate hexadezimal dituzu, bat datozen edo ez. Ez dago ziurtagirian beste ezer irakurri beharrik konparazio-galderari erantzuteko.

openssl x509 -in /etc/openvpn/office/ca.crt -noout -fingerprint -sha256
openssl x509 -in ~/profiles/lab-ca.pem -noout -fingerprint -sha256

Tentagarria da openssl profilera bertara zuzentzea, baina fitxategian lehenengo agertzen den ziurtagiri-blokea irakurtzen du, eta profilek normalean <cert> eramaten dute <ca> aurretik. Atera autoritatearen blokea, eta gero grabatu ateratako fitxategiaren hatza, bezeroak benetan erabiliko duen kopia hori delako.

sed -n '/^<ca>$/,/^<\/ca>$/p' office.ovpn | sed '1d;$d' > /tmp/office-ca.pem
openssl x509 -in /tmp/office-ca.pem -noout -fingerprint -sha256

Hat berdinak esan nahi du konfiantza-materiala bera dela eta kate-erroreak beste kausa bat duela, eta hori beste ikerketa bat da. Hat ezberdinek ziurtagiri ezberdinak esan nahi dituzte, eta hor hasten da hurrengo atala.

Irakurri desadostasun bat erasoa suposatu aurretik

Hat ezberdinek ziurtagiri ezberdinak esan nahi dituzte eta besterik ez. Berrargitalpen batek, errotazio batek, izena aldatu zaion autoritate batek edo pakete zaharkitu batek historia guztiz legitimoak dituzten fitxategi ezberdinak sortzen dituzte. Zein den hedapenarena galdera bat da operadorearentzat edo hedapen-erregistroarentzat, ez fitxategiaren aldaketa-orduarentzat. Artxiboek denbora-zigiluak kopiatzen dituzte, beraz fitxategi berriagoa ez da automatikoki ankla zuzena.

Bere burua sinatzen duen erro bat normala da, beraz bat aurkitzea ez da arazo baten froga. Egiaztatzailearen lana zerbitzariaren ziurtagiritik eman zaion anklara arteko bide bat eraikitzea da, eta kate-erroreak normalean esan nahi du bide hori ezin izan zela osatu.

Egiaztatu huts egiten duen profilaren ankla hedapenak oraindik igortzen duen autoritate bat den. Hatza hedapen-erregistroan ezerrekin bat ez badator, profila zaharkituta dago besterik gabe, eta bezeroaren aldeko doikuntza batek ere ez du konponduko.

Konpondu konfiantza egiaztapena desaktibatu gabe

Epe laburreko konponbidea egiaztapena desaktibatzea edo kateko ziurtagiri bakoitza ankla gisa gehitzea da. Biek mezua desagertarazten dute, eta biek aldatzen dute bezeroak ordutik aurrera zein zerbitzari onartuko dituen. Piztu berriro egiaztapena, instalatu nahi den ankla eta probatu berriro.

Kateak orain eraikitzen badu baina beste errore bat agertzen bada, hori aurrerapena da: izenaren egiaztapena, baliozkotasun-datak eta errebokazioa mezu ezberdineko egiaztapen ezberdinak dira. Eduki itzazu hat-bikotea eta jatorrizko errore-testua elkarrekin tiketean, hurrengo pertsonak ikus dezan zein ankla kargatu zen eta zein espero zen. Hat-bikote bat nahikoa txikia da eskurapen-ohar batean itsasteko, eta hurrengo gertaerak bost minutu hartuko ditu arratsalde bat beharrean.

Lortu autoritate zuzena profila eman zuen kanal autentifikatu berberaren bidez. Zerbitzaritik ziurtagiri bat ateratzea bere subjektua ezaguna ematen duelako beste ekintza bat da, eta isilka zabaltzen du bezeroak zer konfiantza izango duen.