Varmenteen nimen epäsopivuus vai vanhentuminen: miten ne erottaa

Kaksi VPN-vikaa näyttävät käyttäjän näkökulmasta samalta mutta vaativat vastakkaiset korjaukset. Nimen epäsopivuus kertoo, että varmenne on kelvollinen mutta myönnetty jollekin muulle. Vanhentumisvirhe kertoo, että varmenne ei ole kelvollinen juuri nyt. Kumpikaan ei ole salasanongelma, ja tunnistetietojen nollaus on molemmissa yleisin hukattu tunti. Lue epäonnistuva vaihe ennen kuin kosket mihinkään.

Virheteksti on diagnoosi

Asiakasohjelma kertoo, mikä tarkistus epäonnistui, vaikka viesti olisi niukka. Epäsopivuus nimeää odotetun isäntänimen ja löydetyn nimen. Vanhentumisvirhe mainitsee voimassaolopäivät tai ajan. Nuo kaksi lausetta osoittavat varmenteen eri osiin.

Lue ne siinä vaiheessa, jossa ne ilmestyvät. Kättelyn aikainen epäonnistuminen on varmenteen ongelma; tunnelin avaamisen jälkeinen epäonnistuminen on reitityksen tai tunnistetietojen ongelma. Vaiheen säilyttäminen estää tutkintaa ajautumasta asiattomiin asetuksiin.

Jos epäonnistuminen vaihtelee yritysten välillä, on kolmas mahdollisuus: useampi solmu saman nimen takana.

Nimitarkistukset: mitä asiakasohjelma vertaa

Asiakasohjelma vertaa identiteettiä, jonka se on määritetty odottamaan, varmenteen nimiin, jotka sijaitsevat subjectAltName-laajennuksessa. Profiilissa oleva raaka IP, alias jota varmenne ei luettele, tai nimi joka vain ratkeaa samaan palvelimeen – kaikki epäonnistuvat tässä tarkistuksessa. Oikeaan koneeseen pääseminen ei ole sama kuin oikean identiteetin esittäminen.

Tutki varmenne, jonka palvelin todella esittää, älä aikaisemman yrityksen tiedostoa. Alla oleva komento kysyy määrittämäsi nimen, joten vastaus sisältää varmenteen, jonka todellinen asiakasohjelma näkisi.

openssl s_client -connect vpn.example.com:443 -servername vpn.example.com </dev/null 2>/dev/null \
  | openssl x509 -noout -subject -dates -ext subjectAltName

Luotetun myöntäjän varmenne voi silti olla toista palvelua varten. Pidä asiakasohjelman nimitarkistukset käytössä, sillä CA:n luottaminen ei valtuuta jokaista nimeä, jonka tämä CA on joskus allekirjoittanut. Tarkistuksen poistaminen käytöstä muuttaa kokoonpanovirheen altistumiseksi.

Vanhentuminen: kenen kelloa luetaan

Voimassaolo on aikaleimapari, ja vahvistaja vertaa niitä omaan kelloonsa. Laite, jonka kello on väärä, ilmoittaa kelvollisen varmenteen vanhentuneeksi tai ei vielä voimassa olevaksi, ja korjaus on kello, ei varmenne. Aikavyöhykkeen näyttöero ei ole sama asia kuin väärä taustalla oleva aika.

Vertaa varmenteen päivämääriä UTC-aikaan asiakasohjelmassa ennen kuin päättelet mitään:

openssl x509 -in cert.pem -noout -dates
date -u

Jos päivämäärät ovat todella menneet, uusi varmenne myöntäjän kautta. Jos korvaava on olemassa mutta ei ole vielä tullut voimaan, noudata tuettua siirtymää sen sijaan, että siirtäisit kelloa sen mukaiseksi. Laitteen päivämäärän siirtäminen taaksepäin varmenteen vuoksi on päätös, jonka seuraukset ulottuvat paljon tunnelia pidemmälle.

Miksi toisen korjaaminen paljastaa toisen

Validointi suorittaa tarkistusten sarjan, ja ensimmäinen epäonnistuminen pysäyttää raportin. Korjaa nimi, ja asiakasohjelma voi sitten kertoa, että ketju on puutteellinen tai varmenne on vanhentunut. Se ei tarkoita, että ensimmäinen tarkistus oli tarpeeton. Se tarkoittaa, että ketjussa oli useampi kuin yksi ongelma, joten odota toista virhettä sen sijaan, että lukisit sen todisteeksi siitä, että ensimmäinen korjaus oli väärin.

Useat solmut pahentavat tätä. Kuormantasattu palvelu voi esittää eri varmenteita eri jäseniltä, joten testi, joka menee läpi kahdesti ja epäonnistuu kerran, kertoo joukosta eikä asiakasohjelmastasi. Pidä vertaisosoite ja yrityksen aika mukana diagnoosissa.

Juuri tuo yksityiskohta muuttaa epävakaan lipun toistettavaksi.

Todista se uudella yhteydellä

Korjauksen jälkeen avaa uusi yhteys sen sijaan, että jatkaisit vanhaa, ja varmista, että aiemmin epäonnistunut vaihe menee nyt läpi. Varmista sitten, että tunneli todella kuljettaa liikennettä, sillä onnistunut kättely ei ole toimiva reitti.

Säilytä tarkka virhevaihe ja varmenteen tiedot lipun mukana.

Juuri tuo merkintä estää seuraavaa henkilöä nollaamasta tilin salasanoja varmenteen ongelman vuoksi. Identiteetti ja voimassaolo ovat erillisiä kysymyksiä, ja RFC 5280 on viite siihen, miten jälkimmäistä arvioidaan.