openssl ca: kwanan wata mara inganci a cikin index.txt, da yadda za a gyara shi

Gudanar da bayarwa yana tsayawa da entry 22: invalid expiry date, alhali buƙatar da ke gabanka tana da kyau sosai. Ƙorafi yana fitowa daga mai nazarin bayanan CA, ba daga CSR ba kuma ba daga abokin ciniki na VPN wanda zai gabatar da takardar shaidar a ƙarshe ba. Wannan bambanci yana yanke hukunci kan duk abin da ya biyo baya: rikodi ya lalace, don haka gyaran ya shafi yanayin CA ba buƙatar ba ko tsarin ɗan'uwa ba. Ɗauki rikodin mai lamba a matsayin layi a cikin index.txt, kuma matsalar ta ragu zuwa wata tambaya ta bayanai mai iyaka da amsa da za a iya dubawa.

Karanta kuskuren a matsayin ƙorafin bayanan

Kowace openssl ca kira tana wucewa ta bayananta na rubutu kafin ta sa hannu kan wani abu. Kowace layi tana ɗauke da harafin matsayi, tambarin lokacin ƙarewa, tambarin sokewa na zaɓi, lambar jerin a hex, sunan fayil da batun. Lokacin da wani fili ba ya yin parsing, umarnin yana ba da lambar layin kuma ya tsaya maimakon yin hasashe kan sauran rikodin.

Wannan tsayawar kariya ce ba tsananin hankali ba. Rikodin da kayan aikin ba zai iya karantawa ba yana barin shi ya kasa yanke hukunci ko batun da ake nema ya riga ya wanzu, ko an ba da lambar jeri, ko abin da CRL na gaba ya kamata ya ƙunsa. Wucewa da mummunan layi zai haifar da daidai wannan rashin daidaituwa ta shiru wadda ke bayyana watanni bayan haka, yawanci a lokacin sokewar da babu wanda zai iya bayani. Karanta saƙon a matsayin ƙorafi kan bayanan, kuma binciken zai kasance cikin babban fayil ɗin CA.

Kwafi yanayin CA kafin ka taɓa wani abu

Ɗauki hoton dukan babban fayil ɗin CA, ba fayil ɗin bayanai kaɗai ba. Fitilar, fayil ɗin halayenta, fayilolin lambar jeri da lambar CRL, maɓallin sirri da takardun shaidar da aka bayar duk suna shiga cikin ayyukan da suka biyo baya, kuma gyaran da ke dawo da ɗaya ya bar sauran yana haifar da wani lamari na biyu. Yi amfani da tsarin ajiyar CA ɗin kansa inda akwai, kuma ka dakatar da bayarwa da aka tsara na tsawon aikin.

Rubuta ginin OpenSSL da fayil ɗin tsari da umarnin da ya gaza ya loda a zahiri. Shigarwa sau da yawa suna ajiye fiye da babban fayil ɗin CA guda ɗaya, kuma kuskuren yana da ma'ana ne kawai game da bayanan da tsarin da aka zaɓa ya ambata.

Nemo rikodin kuma ka buɗe filin kwanan watansa

Ana ƙidaya lambar layin da aka bayar daga rikodin farko, don haka sed -n '22p' index.txt yana faɗowa kan rikodin mai matsala da zarar ka tabbatar babu layukan fanko ko sharhi a sama. Buga wannan layin da alamomin rabuwa na bayyane, domin tabo da fili na ƙarshe sun zama ruwan dare kuma ba a ganinsu a taga edita na yau da kullum.

Filin ƙarewa tambarin lokaci ne wanda faɗinsa ya dogara da shekara. Ƙididdiga har zuwa 2049 ana rubuta su a UTCTime a matsayin YYMMDDHHMMSSZ, yayin da ƙididdiga na baya suka koma GeneralizedTime da shekara mai lambobi huɗu. Rikodin da ke haɗa nau'i biyu, ko wanda ke ɗauke da shekara mai lambobi biyu inda mai nazari yanzu ke tsammanin huɗu, yana gaza daidai a wannan wuri. Haka ma filin da aka yanke wanda rubutu da ya katse ya bari.

Kwatanta rikodin da takardar shaidar da yake magana a kanta ba da fayil ɗin wata CA ba. Takardar shaidar da aka sa hannu ita ce hukuma kan abin da ingancin ya kamata ya faɗa, kuma tana nan a matsayin abu mai iya nazari.

Gyara rikodin bisa takardar shaidar da aka sa hannu

Karanta ainihin kwanakin da openssl x509 -in issued.pem -noout -dates -serial -subject. Juya notAfter zuwa faɗin tambarin da gininka ke rubutawa na wannan shekarar, kuma ka tabbatar lambar jerin ta yi daidai da rikodin da kake shirin gyara kafin ka canza harafi ɗaya.

Gyara filin da ya lalace kaɗai, ka riƙe harafin matsayi da lambar jerin, kuma ka bar sauran layin. Idan ba za a iya daidaita rikodin da kowace takardar shaida da aka sa hannu ba, ɗauke shi a matsayin rikodin da ya ɓace kuma ka janye shi ta hanyar sokewar CA ɗin kanta maimakon share layin da hannu.

Kada ka gyara ta hanyar yanke kwanan wata don ya dace da hasashe kan shekara. Yanke na haruffa biyu ba ya wucewa tsakanin ginawa, kuma yana canza ingancin da bayanan ke bayarwa ga dubawa na batun maimaituwa da CRL nan gaba cikin shiru. Lokacin da ba za a iya dawo da ainihin ƙimar ba, sake bayarwa da sabuwar lambar jeri kuma ka rubuta dalilin da aka yi watsi da tsohuwar. Sawun dubawa wani ɓangare ne na gyaran, ba takardu kewaye da shi ba.

Tabbatar da bayarwa da samar da CRL kafin ka tafi

Gudanar da bayarwa ɗaya da tsari ɗaya kuma ka tabbatar ya kammala ba tare da ƙorafi kan lambar layi ba. Sannan ka samar da CRL da openssl ca -gencrl -config openssl.cnf kuma ka duba cewa ana iya nazarinsa, domin lalacewar rikodin yakan bayyana a can maimakon lokacin sa hannu.

Duba sabuwar takardar shaidar da openssl x509 -noout -dates -serial kuma ka kwatanta ta da layin da CA ta rubuta yanzu. Tabbatar harafin matsayi da kwanan watan ƙarewa sun yi daidai da takardar shaidar, kuma ka tabbatar openssl verify -CAfile ca.pem issued.pem yana dawowa ba tare da kuskure ba. Sannan ka maido da bayarwa da aka tsara kuma ka lura da gudanarwar farko, domin layi na biyu da ya lalace zai sanar da kansa nan take.