CA a chomhshínithe: oireann an eochair, ní oireann an ceangal AKI

Is féidir le dhá dheimhniú CA an eochair phoiblí chéanna agus an t-ábhar céanna a bheith acu agus fós gan a bheith idirmhalartach. Tá ceann amháin féinsínithe, tá an ceann eile comhshínithe ag an seanfhréamh, agus tá a n-ainmneacha eisitheora, a n-uimhreacha sraithe agus a síniúcháin difriúil. Is féidir le duilleog ceangal go sonrach le ceann amháin díobh trína Authority Key Identifier. Fanann an ceangal sin dofheicthe go dtí go roghnaíonn cliant an slabhra mícheart agus go dteipeann ar an handshake gan chúis shoiléir.

Déan na cúig sheiceáil seo in ord: cuireann gach ceann díobh teip dhifriúil as an áireamh.

Seiceáil 1: tarraing an dá shlabhra sula dteagmhaíonn tú leis an teimpléad

Scríobh síos na cosáin. Tá muinín ag an seanphobal as Seanfhréamh A, a d'eisigh CA B, a d'eisigh duilleog an fhreastalaí. Tá muinín ag an bpobal nua as an CA B féinsínithe go díreach. Iompraíonn an dá dheimhniú B an eochair chéanna agus an t-ábhar céanna, agus sin go díreach an fáth a bhfeiceann duine a léann líne ábhair CA amháin san áit a bhfeiceann an cliant dhá cheann.

Caithfidh an chóip chomhshínithe a bheith ina fíordheimhniú CA freisin, le basic constraints agus key usage a cheadaíonn síniú.

Seiceáil 2: déan comparáid idir na réimsí AKI, ní hamháin an eochair

Caithfidh ainm eisitheora na duilleoige a bheith ag teacht le hábhar B, agus cloíonn an chuid sin de ghnáth. Is ag an Authority Key Identifier a scarann an dá chóip, mar is féidir leis aitheantóir eochrach, eisitheoir deimhnithe agus uimhir sraithe a iompar. Tagann an t-aitheantóir eochrach leo araon, ós rud é go bhfuil an eochair chéanna ann. Tagann na réimsí eisitheora agus sraithe le ceann amháin go beacht, agus mar sin is féidir le slabhra a thógtar i gcoinne na cóipe féinsínithe teip i gcoinne na cóipe comhshínithe.

Scrúdaigh an duilleog in ionad buille faoi thuairim a thabhairt: openssl x509 -in server.pem -noout -ext authorityKeyIdentifier.

Ansin déan comparáid idir an dá iarrthóir le openssl x509 -in b-cross.pem -noout -text | grep -A2 "Authority Key Identifier", agus an t-ordú céanna i gcoinne na cóipe féinsínithe.

Má iompraíonn an duilleog eisitheoir agus uimhir sraithe, ní chríochnaíonn ach an deimhniú a chuireann na luachanna sin síos an slabhra, cibé cóip a lódáil cliant.

Seiceáil 3: athraigh beartas eisithe, ní na bearta sínithe choíche

Maireann síntí taobh istigh den síniú. Ní deisiú é ceann a chur leis, a bhaint nó a chur in eagar ar dhuilleog atá ann cheana, is deimhniú difriúil é, agus teastaíonn ateisiúint. Baineann an t-athrú le beartas eisithe: cuireann authorityKeyIdentifier = keyid,issuer:always ar chumas na nduilleog nua an ceangal a bhaineann go sonrach leis an deimhniú a iompar, agus coimeádann keyid leis féin an fhoirm is scaoilte a oireann d'aistriú comhshínithe d'aon ghnó. Socraigh cé acu a theastaíonn ó do PKI sula síneofar an chéad bhaisc eile.

Athraíonn eagarthóireacht teimpléid chomhroinnte gach deimhniú amach anseo freisin, ní hamháin an freastalaí atá os do chomhair.

Seiceáil 4: fíoraigh gach pobal muiníne ar leithligh

Tástáil an seanchosán agus an cosán nua mar ritheanna ar leithligh. Cleachtann openssl verify -purpose sslserver -verify_hostname vpn.example -CAfile old-root.pem -untrusted b-cross-signed.pem server.pem an bealach comhshínithe, agus cleachtann an t-ordú céanna leis an bhfréamh nua agus gan comhad untrusted an bealach féinsínithe. Ceileann meascadh an dá fhréamh in aon bheart amháin cé an slabhra a roghnaíodh. Déan arís é ina dhiaidh sin le fíorchliaint, mar is féidir le backend VPN slabhra a fhabhrú nó deimhniú a phionáil ar bhealaí nach ndéanann openssl.

Seachaidh an deimhniú idirmheánach trí chumraíocht na seirbhíse a léann an cliant i ndáiríre, ní trí leathanach vicí.

Seiceáil 5: coinnigh an seanchosán ar chlog scoir

Coimeádann comhshíniú seanchosán muiníne beo de dhearadh, rud is cuspóir agus riosca araon. Ní leigheasann sé seanfhréamh atá curtha i gcontúirt, agus ní bhaineann sé an fhréamh sin as aon chliant. Scríobh síos cathain a stopfaidh an seanchosán de mhuinín a thabhairt, agus deimhnigh go dtagann an lá sin i ndáiríre.

Má tá gach cliant in ann an fhréamh nua a ghlacadh sula mbogann na duilleoga, tá rolladh amach simplí le muinín dháfach níos simplí ná comhshíniú, agus fágtar rud amháin níos lú le scor.