manufar takardar shaida da ba a goyi bayan ta: me ya sa CA ta tsakiya ke kasawa

Manufar takardar shaidar uwar garke tana da kyau, maɓallin ya yi daidai, kwanakin suna nan, kuma haɗin yana kasawa da unsupported certificate purpose. Bayanin da ke warware wannan yawanci yana cikin layi ɗaya da kuskuren: ƙimar zurfi da subject waɗanda ke ambaton takardar shaida mafi girma a cikin sarkar. Ana gudanar da gwaje-gwaje biyu daban-daban, kuma ɗaya ne kawai daga cikinsu ya shafi takardar ƙarshe. Kwatanta su yana bayyana me ya sa maye gurbin takardar shaidar uwar garke ba ya canza komai.

Wace takardar shaida mai tabbatarwa ya ƙi a zahiri

Sarka ba abu ɗaya da aka maimaita sau uku ba ce. Takardar ƙarshe tana ɗauke da suna da maɓallin uwar garke, takardun tsakiya suna haɗa ta da tushe, kuma kowace tana da lokacin ingancinta, iyakokinta da amfaninta. Lokacin da kuskuren ya ambaci zurfi, wannan lambar tana nuna matsayi a cikin sarkar da mai tabbatarwa ya gina, kuma mai yiwuwa ba matsayin da kuke tsammani ba ne idan uwar garke ta aika da sarkar da ba a zata ba.

Karanta filayen takardar shaida a wannan zurfin maimakon takardar da kuka ɗauka ita ce mai laifi. Nemi extensions guda biyu da ke iyakance fitarwa maimakon fitar da kowane fili, domin amsar kusan koyaushe tana cikin ɗaya daga cikinsu. Fitar da extensions aminci ne a raba; maɓallan sirri ba haka ba ne.

openssl x509 -in issuing-ca.pem -noout -subject -issuer -ext basicConstraints -ext extendedKeyUsage

Idan takardar da aka ambata takardar tsakiya ce wadda amfanin maɓallinta mai faɗaɗa ya ambaci wani abu da ba shi da alaƙa da tabbatar da uwar garke ta TLS, sauran gazawar tana biyo baya a zahiri. Ba za a iya amfani da sarkar don manufar da OpenVPN ya nema ba.

Manufar takardar ƙarshe da manufofin sarkar gwaje-gwaje biyu ne

Gwaɗin takardar ƙarshe yana yin tambaya mai zurfi: shin wannan takardar shaida ta ƙarshe tana ba da izinin tabbatar da uwar garke don wannan sunan? Gwaɗin sarkar yana yin tambaya mafi faɗi: shin kowace takardar shaida a cikin hanya tana iya yin wannan manufar? Hukumar takardar shaida da aka ba da izinin fitar da takardun abokin ciniki kawai za ta wuce gwaje-gwajen sa hannu nata kuma har yanzu za ta faɗi a gwaji na biyu, domin hanyar da take ba da izini ba ta haɗa da manufar da aikace-aikacen ke buƙata ba. Gwaje-gwajen biyu suna kasawa da kalmomi ɗaya kuma suna da gyare-gyare mabambanta.

Shi ya sa sabuwar takardar ƙarshe, daidai a kowane fili da ake gani, za ta iya kasawa nan take. Shi kuma ya sa gyaran yawanci yana cikin bayanin hukumar da ta fitar maimakon tsarin VPN.

EKU da ba ya nan ba EKU mai iyakancewa ba ne

RFC 5280 ya mai da extension na amfanin maɓalli mai faɗaɗa na zaɓi kuma, idan yana nan, mai iyakancewa. Don haka takardar CA marar extension ba ta ce 'a'a' ga tabbatar da uwar garke ba, yayin da wadda ke jera manufa da ba ta da alaƙa kawai ta faɗi wani abu na musamman. Ɗaukar waɗannan yanayi biyu a matsayin daidai yana haifar da ganewar asali marar kyau kuma, mafi muni, gyara marar kyau. Bambancin kuma yana bayyana me ya sa hukumomi biyu da suke kama da juna a cikin console suke yin daban a cikin sarka.

Halin ɗakunan karatu ma ba ɗaya ba ne a nan. takardar OpenSSL game da zaɓuɓɓukan tabbatarwa yana bayanin yadda yake bi da gwaje-gwajen manufa a kan takardun CA, kuma wannan hali manufofin aiwatarwa ne ba ƙa'idar da kowane tarin TLS ke bi iri ɗaya ba. Bayyana abin da mai tabbatarwa naka yake yi, sannan tabbatar da shi akan sigar da kake aiwatarwa a zahiri.

Sake haifar da gazawar ba tare da haɗin yanar gizo ba kafin sake fitarwa

Tabbatarwa ba tare da haɗin yanar gizo ba tana cire aikace-aikacen daga tambayar. Idan sarkar ta kasawa iri ɗaya a ƙarƙashin wannan manufa, takardar shaida ce matsalar kuma babu tsarin uwar garke da zai ɓoye ta. Idan sarkar ta wuce ba tare da haɗin yanar gizo ba yayin da sabis ɗin ke ƙi, aikace-aikacen yana neman wata manufa ko yana amfani da wata sarkar da ba wadda ka gwada ba.

openssl verify -purpose sslserver -show_chain -CAfile root-ca.pem -untrusted issuing-ca.pem vpn-server.pem

-show_chain yana da muhimmanci domin yana buga hanyar da kayan aikin ya gina, wadda yawanci ba ita ce tsarin fayilolin da ka bayar ba. Wannan fitar ita ce hanya mafi sauri ta gano cewa ana jawo takardar tsakiya ta biyu daga ajiyar amana, cewa uwar garke tana aika wani nau'i da aka sa hannu a giciye wanda ba ka yi niyya ba, ko kuma tutar manufar da ka kwafa daga koyarwa ta wata rawa dabam da wadda ake yi wa hidima.

Gyara manufofin fitarwa, ba kiran tabbatarwa ba

Gyaran dawwama shine takardar tsakiya da aka fitar a ƙarƙashin manufofin da ke ba da izinin manufofin da dole ta yi hidima, tare da rubuta iyakar da kuma duba ta. Ƙara kowace manufa ga kowace hukuma ba manufa ba ce; yana cire iyakar da ta ba extension ɗin ma'ana tun farko, kuma yawanci yana rayu fiye da abin da ya haifar da shi. Ƙaramin bayani a cikin bayanin da ke bayyana waɗanne rawa hukumar za ta iya tabbatarwa yana hana sake fitarwa na gaba maimaita wannan muhawara.

Kashe tabbatarwa ita ce wata hanya mai ruɗi, kuma tana mai da matsalar takardar shaida matsalar amana. Ka bar gwajin manufa a wurin, gyara sarkar kuma sake gudanar da wannan tabbatarwa ba tare da haɗin yanar gizo ba don tabbatar da cewa hanyar yanzu tana yin rawan da aka nufa kafin sake taɓa sabis ɗin.