ca md too weak: sake fitar da takardar shaida ko a saukar da matakin?

OpenVPN abokin ciniki da ya yi aiki a watan da ya gabata yanzu yana gazawa lokacin farawa da ca md too weak, kuma bayanin da ke kan faifan ya yi daidai da wanda ya yi aiki. Saƙon ya shafi sa hannu a kan takardar shaidar hukumar bayar da shaida, ba sirrin bayanai ba, ba taƙaitaccen auth ba, ba kalmar sirrin asusu ba. Sharuɗɗa uku ne ke yanke shawara ko maganin sabon kayan aikin shaida ne, sabuwar sarka ce, ko canjin manufa da gangan. Yi su a jere, kuma za ka guje wa sakamakon da aka saba inda ramin ke dawowa ta hanyar raunana kowace haɗin TLS a kan uwar garke.

Abin da kuskuren yake ambatowa a haƙiƙa

OpenSSL yana ɗaga wannan kuskuren tabbatarwa yayin da yake gina sarka, lokacin da takardar shaidar da ke aiki a matsayin CA tana ɗauke da taƙaitaccen sa hannu wanda matakin tsaro na ɗakin karatu ba ya ƙara yarda da shi. Ana ƙi MD5 a matakin da aka saba, kuma ana ƙi SHA-1 da zarar an ɗaga matakin. Taƙaitaccen takardar shaidar ganye bai fi muhimmanci a nan ba fiye da taƙaitaccen mai bayarwa da ke sa hannu a kanta. Wannan manufar za ta iya ƙin tushen da ya kasance gama gari a ranar da aka bayar da shi.

Shi ya sa gyaran auth ko data-ciphers ba ya amfani da komai ga wannan gazawar. Waɗannan saitin suna tsara yadda ake kare fakiti bayan musafaha, yayin da abin da aka ƙi takardar shaida ce da ake duba kafin rami ya kasance. Takardar shaida na iya zama lafiya cikin lokacin ingancinta kuma har yanzu tana ɗauke da sa hannun da ɗakin karatu ba zai yarda da shi ba.

Ka ware binciken a zuciyarka kuma kuskuren ya daina zama abin asiri. Kwanakin inganci, amfani da maɓalli da taƙaitaccen sa hannu gwaje-gwaje ne masu zaman kansu, kuma daidai ɗayansu ya gaza yanzu.

Sharaɗi na farko: shin abin da aka ƙi shi ne tushen?

Buga kowace takardar shaida a cikin bayanin kuma karanta filayen subject da issuer. Tushen da ya sa hannu da kansa yana nuna ƙima ɗaya a duka biyu, kuma tsarin sa hannunsa shi ne wanda dukan sarkar ta dogara a kansa. Idan taƙaitacce mai rauni yana nan, kowace ganye da ke ƙasa tana gado matsalar. Rubuta tsarin kusa da subject domin kwatancen na gaba ya zama na inji maimakon na tunawa.

Fayilolin CA da aka haɗa suna yawan riƙe tubalan da yawa, don haka gane tubalan da ake loda da gaske maimakon ɗauka cewa na farko ne ke da laifi. Umarnin openssl x509 -in ca.pem -noout -subject -issuer -text yana bayyana takardar shaida ɗaya a lokaci ɗaya, wato dole a raba tarin farko idan ya ƙunshi fiye da ɗaya. Kwatanta tsarin sa hannun da aka buga da taƙaitaccen da za ka yi tsammani daga zamanin da aka ƙirƙiri tushen.

Ganye da aka sa hannu da SHA-256 ƙarƙashin tushe mai rauni har yanzu yana gazawa, domin binciken sarka yana zuwa sama har ƙarshe. Wannan jeri ne ya sa sharaɗi na gaba ya zama mai muhimmanci.

Sharaɗi na biyu: kana iko da mai bayarwa?

Idan tushen na ƙungiyar ku ne, maganin dawwama shi ne sabon tushe mai taƙaitaccen zamani tare da mayar da ganyen da aka sake bayarwa, wanda aka kawo a matsayin sabuntawar bayani ɗaya. Wannan yana buƙatar taga kulawa da shiri don na'urorin da ba za su iya karɓar sabuntawar a rana ɗaya ba.

Idan wani ɓangare na uku ya bayar da sarkar, maganin buƙata ne zuwa ga wannan mai gudanarwa, kuma mataki ɗaya kawai mai amfani a gida shi ne daina dogaro da tsohon kayan. Gyara rubutun PEM ko sake ajiye fayil ɗin ba ya canza duk abin da sa hannun ya rufe.

Wani yanayi na tsakiya ya cancanci suna: tushe na ciki wanda ya tsufa fiye da na yanzu amma har yanzu yana sa hannu a kan kayan da wasu tsarin ke amincewa da shi. Maye gurbinsa yana nufin bincika kowane mai amfani, ciki har da na'urorin da ke manne da tsohuwar takardar ta sawun yatsa. Ƙidaya waɗannan masu amfani kafin ka tsara canjin, domin sauya tushen da ya manta ɗaya yana musanya kuskuren farawa da katsewar aiki.

Sharaɗi na uku: me saukar da matakin kuma ke yarda da shi

Saukar da matakin tsaro, ko zaɓar tsohon bayanin takardar shaida na OpenVPN, yana sa abokin ciniki ya sake yarda da tsohon taƙaitaccen. Hakanan yana sassauta wasu bincike a cikin ɗakin karatu ɗaya, ga kowace haɗin da wannan tsari ya yi.

Hakan na iya zama abin karewa a dakin gwaji, ko a matsayin gajeriyar gada yayin da ake shirya kayan maye, muddin an iyakance keɓancewar ga bayani ɗaya kuma tana ɗauke da ranar ƙarewa. Amma a matsayin madawwamin saiti a kan uwar garke da aka raba, yana faɗaɗa a hankali abin da kowane abokin ciniki na TLS a can zai amince da shi.

Rubuta keɓancewar tare da mai shi da matakin cirewa. Canjin matakin da ba a rubuta ba ba za a iya bambanta shi da kuskure ba bayan wata shida, kuma injiniyan na gaba ba zai san cewa ya taɓa zama shawara ba.

Shawarar, an rubuta ta a matsayin ƙa'ida

Maye gurbin sarkar lokacin da kake iko da mai bayarwa kuma za ka iya lissafa masu amfaninsa. Kai ga mai bayarwa idan ba haka ba. Saukar da matakin kawai a matsayin keɓancewar da aka yi wa kwanan wata, mai iyaka, tare da maye gurbin da aka riga aka tsara. Duk wani abu kuma yana barin takardar shaida ɗaya a wurin kuma yana motsa haɗarin zuwa wani wuri da ba a ganiba sosai.

Sannan sake gwada bayanin daga abokin ciniki mai tsabta, tabbatar musafaha ya cika, kuma ka adana ainihin rubutun ƙin idan har yanzu yana gazawa. Saƙon kuskure daidai shi ne mafi arha da za ka iya ba wa wanda ya mallaki layi na gaba.