onartzen ez den ziurtagiri-helburua: zergatik huts egiten du tarteko CAk

Zerbitzariaren ziurtagiriaren helburua egokia dirudi, giltza bat dator, datak ondo daude, eta konexioak porrot egiten du oraindik unsupported certificate purpose errorearekin. Hori konpontzen duen xehetasuna errorearen lerro berean egon ohi da: sakonera-balio bat eta katean gorago dagoen ziurtagiri bat izendatzen duen subjektua. Bi proba desberdin exekutatzen ari dira, eta horietako bat bakarrik da amaierako ziurtagiriari buruzkoa. Hauek alderatzeak azaltzen du zergatik zerbitzariaren ziurtagiria ordezkatzeak ez duen ezer aldatzen.

Zein ziurtagiri baztertu zuen egiaztatzaileak

Kate bat ez da hiru aldiz errepikatutako objektu bat. Amaierako ziurtagiriak zerbitzariaren izena eta giltza daramatza, tartekoek erro batekin lotzen dute, eta bakoitzak bere baliozkotasun-epea, murrizketak eta erabilerak ditu. Erroreak sakonera bat aipatzen duenean, zenbaki horrek egiaztatzaileak eraikitako kateko posizio bat adierazten du, eta baliteke espero duzun posizioa ez izatea zerbitzariak ustekabeko kate bat bidaltzen badu.

Irakurri sakonera horretako ziurtagiriaren eremuak, erruduntzat jo zenuen ziurtagiriarenak beharrean. Eskatu jaulkipena murrizten duten bi hedapenak, eremu guztiak bota beharrean, erantzuna ia beti horietako batean dagoelako. Hedapenen irteera partekatzeko segurua da; giltza pribatuak inoiz ez.

openssl x509 -in issuing-ca.pem -noout -subject -issuer -ext basicConstraints -ext extendedKeyUsage

Aipatutako ziurtagiria tarteko bat bada eta haren giltza-erabilera hedatua TLS zerbitzariaren autentifikazioarekin zerikusirik ez duen zerbait aipatzen badu, porrotaren gainerakoa modu mekanikoan dator. Katea ezin da erabili OpenVPN-(e)k eskatu zuen helbururako.

Amaierako ziurtagiriaren helburua eta kate-politika bi proba dira

Amaierako ziurtagiriaren probak galdera estu bat egiten du: baimenduko al du amaierako entitatearen ziurtagiri honek zerbitzariaren autentifikazioa izen honetarako? Katearen probak zabalagoa egiten du: bideko ziurtagiri bakoitzak helburu horri zerbitza diezaioke? Bezero-ziurtagiriak soilik jaulkitzea baimenduta duen ziurtagiri-agintaritzak bere sinadura-egiaztapenak gaindituko ditu eta hala ere bigarren proban huts egingo du, baimendutako bideak ez duelako aplikazioak behar duen helburua barne hartzen. Bi probek hitz berberekin huts egiten dute eta oso konponketa desberdinak dituzte.

Horregatik, berriki jaulkitako amaierako ziurtagiri batek, eremu ikusgai guztietan zuzena izanik, berehala huts egin dezake. Horregatik ere konponketa jaulkitzen duen agintaritzaren profilean egon ohi da, ez VPN konfigurazioan.

EKU bat falta izatea ez da EKU murriztailea

RFC 5280-ek giltza-erabilera hedatuaren hedapena hautazkoa egiten du eta, dagoenean, murriztailea. Beraz, hedapena ez duen CA ziurtagiri batek ez dio «ez» esan zerbitzariaren autentifikazioari, berriz, erlaziorik gabeko helburu bat soilik zerrendatzen duen batek zerbait oso zehatza esan du. Bi egoerak baliokidetzat hartzeak diagnostiko okerra eta, are okerragoa, konponketa okerra eragiten ditu. Bereizketak ere azaltzen du zergatik bi agintaritza, kontsola batean berdinak diruditenak, erabat desberdin jokatzen duten kate batean.

Liburutegien jokabidea ere ez da homogeneoa hemen. OpenSSL-en egiaztapen-aukeren dokumentua-ek CA ziurtagirietan helburu-egiaztapenak nola tratatzen dituen deskribatzen du, eta trataera hori inplementazio-politika da, ez TLS pila guztiek berdin jarraitzen duten araua. Deskribatu zure egiaztatzaileak zer egiten duen, eta gero egiaztatu benetan exekutatzen duzun bertsioarekin.

Erreproduzitu porrota lineaz kanpo berrargitaratu aurretik

Lineaz kanpoko egiaztapen batek aplikazioa kentzen du ekuaziotik. Kateak helburu beraren pean modu berean huts egiten badu, ziurtagiria da arazoa eta zerbitzariaren konfigurazioak ezin du ezer ezkutatu. Kateak lineaz kanpo gainditzen badu zerbitzuak ukatzen jarraitzen duen bitartean, aplikazioak beste helburu bat eskatzen du edo probatu zenuenaren beste kate bat erabiltzen du.

openssl verify -purpose sslserver -show_chain -CAfile root-ca.pem -untrusted issuing-ca.pem vpn-server.pem

-show_chain garrantzitsua da tresnak eraikitako bidea inprimatzen duelako, eta hori ez da sarritan eman zenuen fitxategi-ordena. Irteera hori azkarrena da jakiteko bigarren tarteko bat konfiantza-biltegi batetik ateratzen ari dela, zerbitzariak nahi ez zenuen aldaera gurutzatua bidaltzen duela, edo tutorial batetik kopiatu zenuen helburu-bandera zerbitzatzen ari den roletik desberdina den rol batena dela.

Konpondu jaulkipen-politika, ez egiaztapen-deia

Konponketa iraunkorra zerbitzatu behar dituen helburuak baimenduko dituen politika baten pean jaulkitako tarteko ziurtagiri bat da, murrizketa idatzita eta berrikusita. Helburu guztiak agintaritza guztiei gehitzea ez da politika bat; hedapenari zentzua eman zion murrizketa kentzen du, eta normalean eragin zuen intzidentea baino gehiago irauten du. Profilean ohar labur batek, agintaritzak zein rol ziurtatu ditzakeen deskribatzen duenak, hurrengo berrargitaratzeak eztabaida bera ez errepikatzea eragozten du.

Egiaztapena desgaitzea da beste bide labur tentagarria, eta ziurtagiri-arazo bat konfiantza-arazo bihurtzen du. Mantendu helburu-egiaztapena, zuzendu katea eta exekutatu berriro lineaz kanpoko egiaztapen bera, bideak orain nahi den rola betetzen duela egiaztatzeko, zerbitzua berriro ukitu aurretik.