Earráidí TLS ar an VPN corparáideach amháin: deisigh an stór iontaoibhe ceart

Oibríonn an tógáil Go, an tsuiteáil Composer agus an cliant Python sa bhaile agus teipeann orthu go léir taobh istigh de VPN na cuideachta. Insíonn an patrún sin duit faoin gcosán, ní faoin bhfeidhmchlár. D’athraigh rud éigin ar an tollán an slabhra teastas a fheiceann do phróiseas, nó d’athshocraigh sé an crannóg sular tháinig aon slabhra ar chor ar bith. Tá an dá mhilleadh cosúil le chéile i dtéarmaíoch agus teastaíonn freagraí iomlán difriúla uathu.

Trí theachtaireacht, trí mheicníocht

Ciallaíonn an earráid x509 certificate signed by unknown authority gur tógadh slabhra agus go bhfuil a fhréamh in easnamh i stór iontaoibhe a úsáideann an próiseas sin. Ciallaíonn an earráid self-signed certificate in certificate chain de ghnáth gur fhreagair seachfhreastalaí cigireachta lena theastas féin, agus is slabhra é sin nach n-aithníonn do thimpeallacht rithchurtha. Ciallaíonn SSL EOF le linn na crannóige gur dúnadh an nasc sula ndearnadh aon teastas inúsáidte a sheoladh, agus is gléas idirmheánach a dhiúltaíonn an ClientHello é sin, ní fadhb iontaoibhe ar chor ar bith.

Má chuirtear bratach neamhshlán leis, imíonn na trí theachtaireacht agus fágtar an t-idircheapadh ina áit, agus baintear an tseiceáil a ghabhfadh ionsaitheoir fíor.

Faigh an beart a léann an próiseas i ndáiríre

Deisíonn an fhréamh chorparáideach atá suiteáilte i stór Windows na brabhsálaithe agus na feidhmchláir .NET a chuireann ceist ar stór an chórais. Ní dhéanann sí aon rud do thógáil a ritheann taobh istigh de choimeádán, a iompraíonn a bheart CA féin, ná do phróiseas Python a úsáideann certifi nó do phróiseas Node a úsáideann a liosta ionchorpraithe. Léann Go comhthiomsú córais na timpeallachta ina ritheann an dénártha, is é sin an coimeádán, ní an ríomhaire glúine. Mar sin táirgeann aon mheaisín amháin brabhsálaí a oibríonn agus uirlis tógála a theipeann ag an am céanna.

Cuir ceist ar an uirlis in ionad a bheith ag glacadh leis. Priontálann python3 -c "import ssl; print(ssl.get_default_verify_paths())" na comhaid a rachaidh Python ina gcomhair, agus taispeánann node -e "console.log(process.env.NODE_EXTRA_CA_CERTS)" an bhfuil sáraíocht socraithe cheana féin. I gcás coimeádáin, rith an tseiceáil chéanna taobh istigh den íomhá, mar sin an timpeallacht a úsáideann an tógáil i ndáiríre.

Suiteáil fréamh amháin san áit a ritheann an tógáil

Faigh an fhréamh chigireachta ón rannóg TF mar chomhad PEM agus fíoraigh a méarlorg trí chainéal ar leith sula gcuirfidh tú muinín inti. Ar íomhánna de bhunadh Debian, cóipeáil isteach i /usr/local/share/ca-certificates/ í agus rith update-ca-certificates; úsáideann íomhánna de theaghlach RHEL update-ca-trust tar éis an comhad a scaoileadh isteach i /etc/pki/ca-trust/source/anchors/. I dtógáil coimeádáin, cuir na céimeanna sin leis roimh an ordú a theipeann ionas go dtaisceofar an tsraith os cionn shuiteáil na spleáchas.

I gcás devcontainer áitiúil, déan an PEM a fheistiú agus rith an t-ordú nuashonraithe céanna ag an tús in ionad é a bhácáil isteach in íomhá phearsanta nach féidir le haon duine eile a atáirgeadh. Teastaíonn a sáraíocht dhoiciméadaithe féin ó uirlisí a iompraíonn a mbeart féin: tá socrú teastais ag pip, tá socrú cafile ag npm, agus glacann formhór na gcinn eile leis na hathróga timpeallachta caighdeánacha.

Ní hionann seo agus glacadh le haon teastas. Tá fréamh shonrach amháin, a fuair tú ón bpáirtí a dhéanann an chigireacht, á cur agat le timpeallacht amháin, agus fanann fíorú ar siúl do gach slabhra eile. Taifead cé acu comhad a cuireadh leis agus cathain a théann sé in éag, ós rud é go ndéantar fréamh chigireachta a athnuachan ar nós aon CA eile.

Nuair a fhaigheann an chrannóg bás roimh theastas

Mura gcuirtear aon rud i láthair, ní chabhróidh aon athrú ar an stór iontaoibhe. Cuir an t-iarratas céanna i gcomparáid leis an tollán suas agus síos, ansin scrúdaigh an slabhra go díreach le openssl s_client -connect host:443 -servername host -showcerts. Is cinneadh beartais ón ngléas idirmheánach é nasc a chríochnaíonn lasmuigh den VPN agus a athshocraítear istigh ann, agus is é an leigheas eisceacht don óstach sin seachas teastas eile. Iarr go ligfí an clárlann pacáistí nó an críochphointe API tríd gan mhionathrú.

Trí an tollán a scoilteadh ionas go seachnóidh an uirlis an VPN, seachnaítear cigireacht don trácht sin, rud a d’fhéadfadh beartas a shárú agus nach ndéanann an uirlis iontaofa.

Scríobh an toradh síos in aghaidh gach uirlise

Sábhálann nóta gearr ina liostaítear an dénártha, an comhad iontaoibhe a léann sé, an t-athróg timpeallachta atá i gceist agus an eisceacht cheadaithe an diagnóis iomlán don chéad duine eile. Coinnigh an nóta in aghaidh an uirlise seachas in aghaidh an ríomhaire ghlúine, mar is annamh an ríomhaire glúine an rud a d’athraigh.

Agus coinnigh dhá abairt ar leith sa ticéad: shuiteáil muid fréamh chorparáideach shonrach, agus mhúch muid an fíorú. Níl ach ceann amháin díobh ina ghníomh tacaíochta.