CA mai sa hannu ta giciye: maɓalli ya yi daidai, haɗin AKI bai yi ba

Takardun CA biyu na iya ɗaukar maɓalli na jama'a ɗaya da jigon ɗaya kuma har yanzu ba za a iya musanya su ba. Ɗaya an sa hannu da kansa, ɗayan an sa hannu ta giciye daga tsohuwar tushe, kuma sunayen mai bayarwa, lambobin jeri da sa hannu sun bambanta. Ganye na iya ɗaure musamman ga ɗaya daga cikinsu ta hanyar Authority Key Identifier ɗinsa. Wannan haɗin yana kasancewa marar ganuwa har sai abokin ciniki ya zaɓi sarkar da ba daidai ba kuma handshake ya kasa ba tare da wani dalili bayyananne ba.

Yi waɗannan bincike biyar a jere: kowanne yana kawar da wata gazawa daban.

Bincike 1: zana dukan sarkoki biyu kafin ka taɓa samfurin

Rubuta hanyoyin. Tsohuwar ƙungiyar ta amince da Tsohuwar Tushe A, wanda ya bayar da CA B, wanda ya bayar da ganyen uwar garke. Sabuwar ƙungiyar ta amince da CA B da aka sa hannu da kansa kai tsaye. Dukan takardun B biyu suna ɗaukar maɓalli da jigo ɗaya, kuma wannan shine ainihin dalilin da mutumin da ke karanta layin jigo yake ganin CA ɗaya inda abokin ciniki ke ganin biyu.

Kwafin da aka sa hannu ta giciye shima dole ne ya zama ainihin takardar CA, tare da basic constraints da key usage waɗanda ke ba da izinin sa hannu.

Bincike 2: kwatanta filayen AKI, ba kawai maɓalli ba

Sunan mai bayarwa na ganyen dole ya dace da jigon B, kuma wannan ɓangaren yawanci yana riƙewa. Authority Key Identifier shine inda kwafi biyu suka rabu, domin yana iya ɗaukar mai gano maɓalli, mai bayar da takarda da lambar jeri. Mai gano maɓalli yana dacewa da dukan kwafi biyu, tunda maɓallin ɗaya ne. Filayen mai bayarwa da jeri suna dacewa da ɗaya kawai, wanda shine dalilin da sarkar da aka gina akan kwafin da aka sa hannu da kansa na iya kasawa akan wanda aka sa hannu ta giciye.

Duba ganyen maimakon yin hasashe: openssl x509 -in server.pem -noout -ext authorityKeyIdentifier.

Sannan kwatanta dukan 'yan takara biyu da openssl x509 -in b-cross.pem -noout -text | grep -A2 "Authority Key Identifier", da wannan umarni akan kwafin da aka sa hannu da kansa.

Idan ganyen yana ɗauke da mai bayarwa da jeri, takardar da waɗannan ƙimomin suka bayyana ce kaɗai ke kammala sarkar, ko wane kwafi abokin ciniki ya yi lodawa.

Bincike 3: canza manufar bayarwa, ba'a taɓa canza bayt ɗin da aka sa hannu ba

Ƙarin haɓakawa suna rayuwa a cikin sa hannu. Ƙara, cirewa ko gyara ɗaya akan ganyen da yake akwai ba gyara bane, takarda ce daban, kuma tana buƙatar sake bayarwa. Canjin yana cikin manufar bayarwa: authorityKeyIdentifier = keyid,issuer:always yana sa sabbin ganyaye su ɗauki haɗin da ya shafi takardar, yayin da keyid shi kaɗai ke riƙe da sassaucin tsari wanda ya dace da canjin sa hannu ta giciye da aka yi da gangan. Yanke shawara wanda PKI ɗinka yake so kafin a sa hannu akan rukuni na gaba.

Gyara samfurin da aka raba yana canza kowace takarda ta gaba kuma, ba uwar garken da ke gabanka kaɗai ba.

Bincike 4: tabbatar da kowace ƙungiyar amana daban

Gwada tsohuwar hanya da sabuwar hanya a matsayin gudu daban-daban. openssl verify -purpose sslserver -verify_hostname vpn.example -CAfile old-root.pem -untrusted b-cross-signed.pem server.pem yana gwada hanyar da aka sa hannu ta giciye, kuma wannan umarni da sabuwar tushe kuma ba tare da fayil na untrusted ba yana gwada hanyar da aka sa hannu da kansa. Haɗa dukan tushe biyu a cikin guda ɗaya yana ɓoye wace sarkar aka zaɓa. Sake maimaita daga baya da ainihin abokan ciniki, domin backend na VPN na iya fifita sarkar ko danne takarda ta hanyoyin da openssl ba ya yi.

Isar da takardar tsaka-tsaki ta hanyar saitunan sabis ɗin da abokin ciniki yake karantawa da gaske, ba ta shafin wiki ba.

Bincike 5: riƙe tsohuwar hanya akan agogon yin ritaya

Sa hannu ta giciye yana riƙe tsohuwar hanyar amana a raye bisa ƙira, wanda shine duka manufa da haɗari. Ba ya gyara tsohuwar tushen da aka lalata, kuma ba ya cire wannan tushen daga kowane abokin ciniki. Rubuta lokacin da tsohuwar hanya za ta daina ba da amana, kuma tabbatar da cewa wannan ranar ta zo da gaske.

Idan kowane abokin ciniki zai iya karɓar sabuwar tushe kafin ganyaye su motsa, turawa mai amana biyu mai sauƙi ya fi sa hannu ta giciye sauƙi, kuma yana barin abu ɗaya kaɗan da za a yi ritaya.