אי-התאמת שם בתעודה או תפוגה: איך להבדיל ביניהן

שני כשלים של VPN נראים זהים מכיסא המשתמש ודורשים תיקונים הפוכים. אי-התאמת שם אומרת שהתעודה תקפה אך הונפקה למשהו אחר. שגיאת תפוגה אומרת שהתעודה אינה תקפה ברגע זה. אף אחד מהם אינו בעיית סיסמה, ואיפוס פרטי התחברות הוא השעה המבוזבזת הנפוצה ביותר בשני המקרים. קרא את השלב שנכשל לפני שאתה נוגע במשהו.

טקסט השגיאה הוא האבחנה

הלקוח אומר לך איזו בדיקה נכשלה, גם כשההודעה תמציתית. אי-התאמה מציינת את שם המארח שציפה לו ואת השם שמצא. שגיאת תפוגה מזכירה תאריכי תוקף או זמן. שני המשפטים האלה מצביעים על חלקים שונים בתעודה.

קרא אותם בשלב שבו הם מופיעים. כשל במהלך לחיצת היד הוא בעיית תעודה; כשל לאחר שהמנהרה עלתה הוא בעיית ניתוב או פרטי התחברות. שמירת השלב היא מה שמונע מהחקירה לסטות להגדרות לא קשורות.

אם הכשל משתנה בין ניסיונות, יש לך אפשרות שלישית: יותר מצומת אחד מאחורי אותו שם.

בדיקות שם: מה הלקוח משווה

הלקוח משווה את הזהות שהוא הוגדר לצפות לה לשמות בתעודה, שנמצאים בהרחבת subjectAltName. כתובת IP גולמית בפרופיל, כינוי שהתעודה אינה מפרטת, או שם שפשוט נפתר לאותו שרת — כולם נכשלים בבדיקה הזו. הגעה למכונה הנכונה אינה אותו דבר כמו הצגת הזהות הנכונה.

בדוק את התעודה שהשרת מציג בפועל ולא קובץ מניסיון קודם. הפקודה שלמטה מבקשת את השם שהגדרת, כך שהתשובה כוללת את התעודה שלקוח אמיתי היה רואה.

openssl s_client -connect vpn.example.com:443 -servername vpn.example.com </dev/null 2>/dev/null \
  | openssl x509 -noout -subject -dates -ext subjectAltName

תעודה ממנפיק מהימן עדיין יכולה להיות עבור שירות אחר. השאר את בדיקות השם של הלקוח מופעלות, כי אמון ב-CA אינו מאשר כל שם שאותו CA חתם עליו אי פעם. השבתת הבדיקה הופכת שגיאת תצורה לחשיפה.

תפוגה: של מי השעון נקרא

התוקף הוא זוג חותמות זמן, והמאמת משווה אותן לשעון שלו. מכשיר ששעונו שגוי מדווח על תעודה תקפה כעל פגה או כעל טרם תקפה, והתיקון הוא השעון ולא התעודה. הבדל בתצוגת אזור זמן אינו אותו דבר כמו זמן בסיס שגוי.

השווה את תאריכי התעודה ל-UTC בלקוח לפני שאתה מסיק משהו:

openssl x509 -in cert.pem -noout -dates
date -u

אם התאריכים אכן עברו, חדש דרך המנפיק. אם קיים מחליף אך הוא טרם הפך תקף, פעל לפי המעבר הנתמך במקום להזיז את השעון כדי להתאימו. תארוך מכשיר לאחור כדי לספק תעודה הוא החלטה עם השלכות הרבה מעבר למנהרה.

למה תיקון אחד חושף את השני

האימות מריץ רצף בדיקות, והכשל הראשון עוצר את הדוח. תקן את השם והלקוח עשוי אז לומר לך שהשרשרת אינה שלמה או שהתעודה פגה. זה לא אומר שהבדיקה הראשונה הייתה מיותרת. זה אומר שלשרשרת היו יותר מבעיה אחת, אז צפה לשגיאה השנייה במקום לקרוא אותה כהוכחה שהתיקון הראשון היה שגוי.

צמתים מרובים מחמירים את זה. שירות עם איזון עומסים יכול להציג תעודות שונות מחברים שונים, כך שבדיקה שעוברת פעמיים ונכשלת פעם אחת מספרת לך על הצי ולא על הלקוח שלך. שמור את כתובת העמית וזמן הניסיון באבחנה.

הפרט הזה הוא מה שהופך קריאה לא יציבה לקריאה ניתנת לשחזור.

הוכח זאת בחיבור חדש

לאחר התיקון, פתח חיבור חדש במקום לחדש חיבור ישן, ואשר שהשלב שנכשל קודם עובר כעת. לאחר מכן אשר שהמנהרה באמת מעבירה תעבורה, כי לחיצת יד מוצלחת אינה נתיב עובד.

שמור את שלב השגיאה המדויק ואת פרטי התעודה עם הקריאה.

הרשומה הזו היא מה שמונע מהאדם הבא לאפס סיסמאות חשבון בגלל בעיית תעודה. זהות ותוקף הם שאלות נפרדות, ו-RFC 5280 הוא המקור לאופן שבו השנייה מוערכת.