Deimhniú duille bailí, slabhra as feidhm: léigh an doimhneacht

Seiceálann tú deimhniú an fhreastalaí, feiceann tú míonna fágtha ar an gclog, agus diúltaíonn an cliant an ceangal fós le teachtaireacht éaga. Baineann an dáta a léann tú leis an duille, agus b'fhéidir go mbaineann an gearán le rud níos doimhne sa chosán. Siúláionn fíorú slabhra, agus is féidir le haon deimhniú a roghnaíonn an siúl seo teip ina fhuinneog bailíochta féin. Léigh cé a theip sula ndéanann tú aon rud a athnuachan.

Ainmníonn an doimhneacht an deimhniú a theip

I ndiagnóis OpenSSL, is é doimhneacht 0 an deimhniú sprice agus is é doimhneacht 1 an t-eisitheoir a shínigh é, le huimhreacha níos airde ag leanúint i dtreo an ancaire mhuiníne. Ní sháraíonn notAfter reatha ar an duille éag atá tuairiscithe ag doimhneacht 1, mar sin ní mhíneoidh seiceáil eile ar an deimhniú infheicthe an earráid riamh.

Taifead méarlorg an deimhnithe a theip mar aon lena ábhar, mar is féidir le deimhnithe éagsúla an t-ainm CA céanna a iompar. Cruthaíonn tras-shíniú an staid seo go beacht: tagann an t-údarás céanna chun solais níos mó ná uair amháin, le dátaí bailíochta éagsúla, agus roghnaigh an fíoraitheoir an ceann nach raibh súil agat leis. Ní sainaithint é lipéad eolach, agus is é méarlorg a idirdhealaíonn dhá rud a roinneann ainm.

Tabhair faoi deara freisin táirgí a bhfuil níos mó ná ról deimhnithe amháin acu. Ar OpenVPN Access Server, tá na deimhnithe a chosnaíonn na comhéadain ghréasáin ar leithligh ó na cinn a úsáidtear le haghaidh naisc VPN, mar sin ní chruthaíonn brabhsálaí a osclaíonn an leathanach riaracháin aon rud faoi chosán an tolláin.

Ní hionann ionchuir mhuiníne agus iarrthóirí slabhra

Tabhair an dá ionchur don fhíoraitheoir ar leithligh agus go sainráite. Coinníonn an comhad muiníne na hancaire a nglacann tú leo; coinníonn an beart neamhiontaofa na deimhnithe idirmheánacha a thairgtear chun an cosán a thógáil. Is é a meascadh an bealach a n-ardaíonn daoine idirmheánach go fréamh trí thimpiste agus ansin a chuireann iontas orthu cén fáth a leanann an earráid chéanna iad idir mheaisíní.

$ openssl verify -verbose -show_chain -purpose sslserver \
    -CAfile trusted-roots.pem -no-CApath -no-CAstore \
    -untrusted intermediates.pem server.pem

Coinníonn díchumasú an chosáin agus an stórais réamhshocraithe le -no-CApath -no-CAstore an tástáil macánta: braitheann an toradh ansin ar na comhaid a d'ainmnigh tú, ní ar an méid a mbíonn muinín ag an stáisiún oibre de thimpiste. Déanann treoir fhíoraithe OpenSSL doiciméadú ar na roghanna seo agus ar an diagnóis a tháirgeann siad.

Priontálann -show_chain an slabhra tógtha nuair a éiríonn le fíorú, rud atá úsáideach chun a dheimhniú gurb é an cosán an ceann a bhí beartaithe agat. Nuair a theipeann air, coinnigh an doimhneacht agus an t-ábhar a tuairiscíodh; insíonn an dá réimse sin don chéad léitheoir cé acu deimhniú le scrúdú.

Is é an rud nach ndéanann sé seo ná polasaí gach cliaint a atáirgeadh. Maireann biorán, srian cuspóra nó seiceáil aitheantais a bhaineann go sonrach le cliant sa chliant, ní sa ordú seo. Sin na socruithe le scrúdú nuair a éiríonn le fíorú ar an bhfreastalaí agus go dteipeann ar an gceangal fós. Coinnigh an dá dhiagnóis ar leithligh, nó athnuaifidh tú deimhniú sláintiúil agus tú ag ruaigeadh earráide pionnúcháin.

Cad a chruthaíonn an tseiceáil agus cad a fhágann sí ar lár

Is seiceáil chosáin agus chuspóra é seo i gcoinne comhad muiníne a sholáthair tú. Le haghaidh seiceála ainm HTTPS, cuir leis an óstainm a bhfuiltear ag súil leis tríd an rogha chuí; le haghaidh nasc VPN, coinnigh seiceálacha aitheantais chumraithe an chliaint agus úsáid an t-ábhar muiníne a léann an cliant sin i ndáiríre.

Is é a sheolann freastalaí ná tacar iarrthóirí, ní an cosán a thógfaidh do chliant sa deireadh. Cruthaíonn muinín áitiúil agus rialacha tógála na leabharlainne araon an toradh, agus is é sin an fáth ar féidir leis an bhfreagra céanna fíorú ar mheaisín amháin agus teip ar mheaisín eile. Cuir stór muiníne cothabháilte agus cur i bhfeidhm TLS an chliaint atá ag teip i gcomparáid leo siúd atá ag cliant a oibríonn sula nglacfaidh tú le meastóireacht chomhionann. Míníonn difríocht ansin go leor tuarascálacha „ní theipeann ach ar an ríomhaire glúine seo“.

Chun fuinneog gach deimhnithe a fheiceáil in ionad ceann ag an am, priontáil iad mar thacar:

$ openssl x509 -in server.pem -noout -subject -dates
$ openssl crl2pkcs7 -nocrl -certfile intermediates.pem \
    | openssl pkcs7 -print_certs -noout

Liostaíonn an dara hordú ábhair agus eisitheoirí gan gach comhad a dhíchódú de láimh, agus is mar sin a thugann tú faoi deara idirmheánach a bhfuil a dháta caite agus an duille fós ag breathnú go maith.

Deisigh an cosán gan fíorú a lagú

Nuair a sholáthraítear idirmheánach atá as feidhm nó deimhniú tras-sínithe atá as dáta, faigh slabhra an eisitheora atá tacaíochta faoi láthair agus scaip é trí shreabhadh oibre deimhnithe doiciméadaithe na seirbhíse. Nuair a bhíonn an t-ancaire cothabháilte beartaithe in easnamh ar an gcliant, nuashonraigh a chumraíocht mhuiníne bhainistithe nó bogearraí an chliaint. Seas in aghaidh na hacasaíochta gach deimhniú sa bheart a mharcáil mar fhréamh ach chun an teachtaireacht a chiúnú.

Tá nóta tuillte ag láimhseáil na fréimhe, mar is minic a dhéanann achoimrí áiféala uirthi. Caitheann RFC 5280 leis an ancaire mar ionchur atá lasmuigh den chosán ionchasach, agus doiciméadaíonn OpenSSL seiceálacha bailíochta a chuimsíonn a dheimhniú CA fréimhe. Tá an dá ráiteas fíor dá gcórais féin; cruthaíonn ginearálú iompar éaga fréimhe leabharlainne amháin chuig gach cliant freagraí míchearta muiníneacha.

Tar éis an athraithe, cuir iallach ar fhíordheimhniú nua ar an gcliant atá i gceist agus deimhnigh go bhfuil an teachtaireacht éaga shonrach imithe. Athnuaigh an duille amháin má tá an duille féin mí-oiriúnach. Ní chruthaíonn díchumasú seiceálacha ama, ná athchóiriú deimhnithe tras-sínithe stairiúil, cosán reatha bailí; ní chuireann sé ach moill ar an gcéad teip eile.