ca md too weak: ponovno izdati certifikat ili sniziti razinu?

OpenVPN klijent koji je prošli mjesec radio sada pada pri pokretanju s ca md too weak, a profil na disku je bajt po bajt isti onaj koji je radio. Poruka se odnosi na potpis na certifikatu certifikacijskog tijela, ne na šifru podataka, auth sažetak ili zaporku računa. Tri uvjeta odlučuju je li rješenje novi identitetski materijal, novi lanac ili namjerna promjena politike. Prođite ih redom i izbjeći ćete uobičajen ishod u kojem se tunel vraća slabljenjem svake TLS veze na računalu.

Što greška zapravo imenuje

OpenSSL diže ovu grešku provjere dok gradi lanac, kada certifikat koji djeluje kao CA nosi sažetak potpisa koji razina sigurnosti biblioteke više ne prihvaća. MD5 se odbija na zadanoj razini, a SHA-1 se odbija čim se razina podigne. Sažetak na završnom certifikatu ovdje je manje važan od sažetka izdavatelja koji ga potpisuje. Ista politika može odbiti korijen koji je na dan izdavanja bio posve običan.

Zato uređivanje auth ili data-ciphers ne čini ništa za ovaj kvar. Te postavke upravljaju time kako se paketi štite nakon rukovanja, dok je odbijeni objekt identitetski dokument koji se pregledava prije nego tunel postoji. Certifikat može mirno stajati unutar svog roka valjanosti i ipak nositi potpis koji biblioteka neće prihvatiti.

Držite provjere odvojeno u glavi i greška prestaje izgledati tajanstveno. Datumi valjanosti, korištenje ključa i sažetak potpisa neovisni su testovi, a točno jedan od njih je upravo pao.

Uvjet prvi: je li odbijeni objekt korijen?

Ispišite svaki certifikat u profilu i pročitajte polja subject i issuer. Samopotpisani korijen pokazuje istu vrijednost u oba, a njegov algoritam potpisa je onaj na kojem počiva cijeli lanac. Kada slab sažetak stoji ondje, svaki list ispod njega nasljeđuje problem. Zapišite algoritam uz subject da sljedeća usporedba bude mehanička, a ne po sjećanju.

Objedinjeni CA dokumenti često drže nekoliko blokova, zato prepoznajte blok koji se stvarno učitava umjesto da pretpostavite da je prvi kriv. Naredba openssl x509 -in ca.pem -noout -subject -issuer -text opisuje jedan certifikat odjednom, što znači da prvo treba razdvojiti snop ako sadrži više. Usporedite ispisani algoritam potpisa sa sažetkom koji biste očekivali iz doba nastanka korijena.

List potpisan sa SHA-256 pod slabim korijenom i dalje pada, jer provjera lanca ide sve do vrha. Upravo taj redoslijed čini sljedeći uvjet važnim.

Uvjet drugi: kontrolirate li izdavatelja?

Ako korijen pripada vašoj organizaciji, trajno rješenje je novi korijen sa suvremenim sažetkom plus ponovno izdani listovi, isporučeni kao jedno ažuriranje profila. To stoji prozor za održavanje i plan za uređaje koji ne mogu primiti ažuriranje istog dana.

Ako je lanac izdao treći, rješenje je zahtjev tom operateru, a jedina korisna lokalna radnja je prestati se oslanjati na stari materijal. Uređivanje PEM teksta ili ponovno spremanje datoteke ne mijenja ništa što potpis pokriva.

Jedan srednji slučaj zaslužuje ime: interni korijen stariji od trenutnih zadanih vrijednosti koji još potpisuje materijal kojem druge sustave vjeruju. Zamjena znači reviziju svakog potrošača, uključujući uređaje koji stari certifikat prikvače otiskom prsta. Prebrojite te potrošače prije zakazivanja promjene, jer zamjena korijena koja propusti jednoga mijenja grešku pri pokretanju za prekid rada.

Uvjet treći: što snižavanje razine još prihvaća

Snižavanje razine sigurnosti, ili odabir OpenVPN-ova naslijeđenog profila certifikata, čini da klijent ponovno prihvaća stari sažetak. To također popušta druge provjere u istoj biblioteci, za svaku vezu koju taj proces otvori.

To može biti obranjivo u laboratoriju, ili kao kratki most dok se priprema zamjenski materijal, sve dok je iznimka ograničena na jedan profil i nosi završni datum. Kao trajna postavka na dijeljenom računalu tiho proširuje ono čemu će svaki TLS klijent ondje vjerovati.

Zapišite iznimku s vlasnikom i korakom uklanjanja. Nedokumentirana promjena razine nakon šest mjeseci ne razlikuje se od pogreške, a sljedeći inženjer neće znati da je to ikada bila odluka.

Odluka, zapisana kao pravilo

Zamijenite lanac kada kontrolirate izdavatelja i možete nabrojiti njegove potrošače. Eskalirajte izdavatelju kada ne možete. Snizite razinu samo kao datiranu, ograničenu iznimku s već zakazanom zamjenom. Sve ostalo ostavlja isti certifikat na mjestu i premješta rizik na manje vidljivo mjesto.

Zatim ponovno testirajte profil s čistog klijenta, potvrdite da rukovanje završava, i sačuvajte točan tekst odbijanja ako i dalje pada. Precizna poruka o grešci najjeftinije je što možete predati onome tko posjeduje sljedeći sloj.