ca md too weak: an deimhniú a ath-eisiúint nó an leibhéal a ísliú?

Cliant OpenVPN a d'oibrigh an mhí seo caite teipeann air anois agus é ag tosú le ca md too weak, agus tá an próifíl ar an diosca byte ar bhyte mar an ceann a d'oibrigh. Baineann an teachtaireacht leis an síniú ar dheimhniú údaráis deimhnithe, ní leis an sífríocht sonraí, an achoimre auth ná focal faire an chuntais. Cinneann trí choinníoll cé acu acmhainn aitheantais nua, slabhra nua nó athrú beartais d'aon ghnó atá sa réiteach. Oibrigh iad in ord, agus seachnóidh tú an toradh is gnách ina dtagann an tollán ar ais trí gach nasc TLS ar an óstríomhaire a lagú.

Cad a ainmníonn an earráid i ndáiríre

Ardaíonn OpenSSL an earráid fíoraithe seo agus é ag tógáil slabhra, nuair a iompraíonn an deimhniú atá ag feidhmiú mar CA achoimre sínithe nach nglacann leibhéal slándála na leabharlainne léi a thuilleadh. Diúltaítear do MD5 ag an leibhéal réamhshocraithe, agus diúltaítear do SHA-1 a luaithe a ardaítear an leibhéal. Is lú tábhacht achoimre an deimhnithe dhuilleoige anseo ná achoimre an eisitheora a shíníonn é. Is féidir leis an mbeartas céanna fréamh a dhiúltú a bhí go hiomlán gnách ar an lá a eisíodh í.

Sin é an fáth nach ndéanann eagarthóireacht ar auth nó ar data-ciphers aon rud don teip seo. Rialaíonn na socruithe sin conas a chosnaítear paicéid tar éis an chroitheadh láimhe, agus is doiciméad aitheantais é an réad a diúltaíodh a scrúdaítear sula mbíonn tollán ann. Is féidir le deimhniú suí go compordach laistigh dá fhuinneog bailíochta agus síniú a iompar nach nglacfaidh an leabharlann leis fós.

Coinnigh na seiceálacha ar leith i d'intinn agus stopann an earráid de bheith mistéireach. Tá dátaí bailíochta, úsáid eochrach agus achoimre sínithe ina dtástálacha neamhspleácha, agus tá ceann amháin díobh tar éis teip anois díreach.

Coinníoll a haon: an é an réad a diúltaíodh an fhréamh?

Priontáil gach deimhniú sa phróifíl agus léigh na réimsí subject agus issuer. Taispeánann fréamh féinsínithe an luach céanna sa dá cheann, agus is é a halgartam sínithe an ceann a bhfuil an slabhra ar fad ag brath air. Nuair a bhíonn an achoimre lag ann, faigheann gach duilleog faoina bhun an fhadhb le hoidhreacht. Scríobh an t-algartam in aice le subject ionas go mbeidh an chomparáid níos déanaí meicniúil seachas ó chuimhne.

Is minic go mbíonn roinnt bloc i gcomhaid CA atá cuachta, mar sin sainaithin an bloc a lódáiltear i ndáiríre in ionad glacadh leis gurb é an chéad cheann atá ciontach. Déanann an t-ordú openssl x509 -in ca.pem -noout -subject -issuer -text cur síos ar dheimhniú amháin ag an am, rud a chiallaíonn an cuach a scoilteadh ar dtús má tá níos mó ann. Cuir an t-algartam sínithe a priontáladh i gcomparáid leis an achoimre a mbeifeá ag súil léi ó aimsir chruthaithe na fréimhe.

Teipeann duilleog a síníodh le SHA-256 faoi fhréamh lag fós, mar téann an tseiceáil slabhra an bealach ar fad suas. Is é an t-ord sin a thugann tábhacht don chéad choinníoll eile.

Coinníoll a dó: an rialaíonn tú an t-eisitheoir?

Má bhaineann an fhréamh le do eagraíocht, is é an réiteach marthanach fréamh nua le hachoimre nua-aimseartha móide duilleoga ath-eisithe, arna seachadadh mar aon nuashonrú próifíle. Cosnaíonn sé sin fuinneog chothabhála agus plean do ghléasanna nach féidir leo an nuashonrú a ghlacadh an lá céanna.

Má d'eisigh tríú páirtí an slabhra, is é an réiteach iarraidh chuig an oibreoir sin, agus is é an t-aon ghníomh áitiúil úsáideach stopadh ag brath ar an ábhar sean. Ní athraíonn eagarthóireacht ar théacs PEM ná an comhad a shábháil arís aon rud a chlúdaíonn an síniú.

Tá cás idirmheánach amháin tuillte a ainmniú: fréamh inmheánach atá níos sine ná na réamhshocruithe reatha ach a shíníonn ábhar a bhfuil muinín ag córais eile as. Chun í a athsholáthar caithfear iniúchadh a dhéanamh ar gach tomhaltóir, lena n-áirítear fearais a phionnálann an seandeimhniú de réir méarloirg. Comhair na tomhaltóirí sin sula sceidealóidh tú an t-athrú, mar malartaíonn athsholáthar fréimhe a chailleann ceann amháin earráid tosaithe ar chliseadh seirbhíse.

Coinníoll a trí: cad eile a ghlacann ísliú an leibhéil

Má ísítear an leibhéal slándála, nó má roghnaítear próifíl deimhnithe oidhreachta OpenVPN, glacann an cliant leis an seana-achoimre arís. Lagaíonn sé freisin seiceálacha eile sa leabharlann chéanna, do gach nasc a dhéanann an próiseas sin.

Féadfaidh sé sin a bheith cosanta i saotharlann, nó mar dhroichead gearr agus ábhar athsholáthair á ullmhú, fad is atá an eisceacht teoranta do phróifíl amháin agus dáta deiridh aici. Mar shocrú buan ar óstríomhaire comhroinnte leathnaíonn sé go ciúin an rud a mbeidh muinín ag gach cliant TLS ansin as.

Scríobh an eisceacht síos le húinéir agus céim bhainte. Ní féidir athrú leibhéil neamhdhoiciméadaithe a idirdhealú ó dhearmad sé mhí ina dhiaidh sin, agus ní bheidh a fhios ag an innealtóir seo chugainn gur cinneadh riamh é.

An cinneadh, scríofa mar riail

Athsholáthair an slabhra nuair a rialaíonn tú an t-eisitheoir agus is féidir leat a thomhaltóirí a áireamh. Eisigh chuig an eisitheoir nuair nach féidir. Ná hísigh an leibhéal ach mar eisceacht dhátáilte, theoranta, agus an t-athsholáthar sceidealaithe cheana féin. Fágann aon rud eile an deimhniú céanna ina áit agus bogann an riosca áit nach bhfeictear chomh furasta.

Ansin tástáil an phróifíl arís ó chliant glan, dearbhaigh go gcríochnaíonn an croitheadh láimhe, agus coinnigh téacs beacht an diúltaithe má theipeann fós. Is é teachtaireacht earráide bheacht an rud is saoire is féidir leat a thabhairt don té a shealbhaíonn an chéad chiseal eile.