ca md too weak: վերաթողարկե՞լ վկայագիրը, թե՞ իջեցնել մակարդակը

OpenVPN հաճախորդը, որը անցյալ ամիս աշխատում էր, այժմ ձախողվում է գործարկման պահին ca md too weak սխալով, մինչդեռ սկավառակի պրոֆիլը բայթ առ բայթ նույնն է, որն աշխատում էր։ Հաղորդագրությունը վերաբերում է վկայագրային մարմնի վկայագրի ստորագրությանը, ոչ տվյալների գաղտնագրմանը, auth մարսմանը կամ հաշվի գաղտնաբառին։ Երեք պայման է որոշում՝ լուծումը նոր ինքնության նյութ է, նոր շղթա, թե դիտավորյալ քաղաքականության փոփոխություն։ Անցեք դրանք հերթականությամբ և կխուսափեք սովորական ելքից, երբ թունելը վերադառնում է՝ թուլացնելով հոսթի յուրաքանչյուր TLS միացում։

Ինչ է իրականում նշում սխալը

OpenSSL-ը բարձրացնում է այս ստուգման սխալը շղթա կառուցելիս, երբ CA-ի դերում հանդես եկող վկայագիրը կրում է ստորագրության մարսում, որը գրադարանի անվտանգության մակարդակն այլևս չի ընդունում։ MD5-ը մերժվում է լռելյայն մակարդակում, իսկ SHA-1-ը մերժվում է մակարդակը բարձրացնելուն պես։ Վերջնական վկայագրի մարսումն այստեղ ավելի քիչ կարևոր է, քան այն թողարկողինը, որը ստորագրում է այն։ Նույն քաղաքականությունը կարող է մերժել արմատ, որն իր թողարկման օրը լիովին սովորական էր։

Այդ պատճառով auth կամ data-ciphers խմբագրելը ոչինչ չի անում այս ձախողման համար։ Այդ կարգավորումները կառավարում են, թե ինչպես են փաթեթները պաշտպանվում ձեռքսեղմումից հետո, մինչդեռ մերժված օբյեկտը ինքնության փաստաթուղթ է, որը զննվում է մինչև թունելի գոյությունը։ Վկայագիրը կարող է հարմարավետ նստել իր վավերականության պատուհանում և այնուամենայնիվ կրել ստորագրություն, որը գրադարանը չի ընդունի։

Ստուգումները մտքում առանձին պահեք, և սխալը դադարում է առեղծվածային թվալ։ Վավերականության ամսաթվերը, բանալու օգտագործումը և ստորագրության մարսումն անկախ փորձարկումներ են, և դրանցից ուղիղ մեկը հենց նոր ձախողվեց։

Առաջին պայման՝ մերժված օբյեկտն արմատն է։

Տպեք պրոֆիլի յուրաքանչյուր վկայագիր և կարդացեք subject և issuer դաշտերը։ Ինքնաստորագրված արմատը երկուսում էլ նույն արժեքն է ցույց տալիս, և նրա ստորագրության ալգորիթմն այն է, որի վրա հենված է ամբողջ շղթան։ Երբ թույլ մարսումը հենց այնտեղ է, դրա տակ գտնվող յուրաքանչյուր տերև ժառանգում է խնդիրը։ Գրեք ալգորիթմը subject-ի կողքին, որպեսզի հետագա համեմատությունը մեխանիկական լինի, ոչ հիշողությամբ։

Միավորված CA ֆայլերը հաճախ պարունակում են մի քանի բլոկ, ուստի նույնականացրեք այն բլոկը, որն իրոք բեռնվում է, փոխանակ ենթադրելու, որ առաջինն է մեղավոր։ Հրամանը openssl x509 -in ca.pem -noout -subject -issuer -text նկարագրում է մեկ վկայագիր միաժամանակ, ինչը նշանակում է, որ եթե փաթեթում ավելին կա, նախ պետք է բաժանել այն։ Համեմատեք տպված ստորագրության ալգորիթմը այն մարսման հետ, որը կսպասեիք արմատի ստեղծման դարաշրջանից։

Թույլ արմատի տակ SHA-256-ով ստորագրված տերևը դեռ ձախողվում է, որովհետև շղթայի ստուգումը բարձրանում է մինչև վերև։ Հենց այդ հերթականությունն է կարևոր դարձնում հաջորդ պայմանը։

Երկրորդ պայման՝ դու՞ք վերահսկում թողարկողին։

Եթե արմատը ձեր կազմակերպությանն է, կայուն լուծումը ժամանակակից մարսմամբ նոր արմատն է՝ գումարած վերաթողարկված տերևներ, մատուցված որպես մեկ պրոֆիլի թարմացում։ Դա արժե սպասարկման պատուհան և պլան այն սարքերի համար, որոնք չեն կարող թարմացումը ստանալ նույն օրը։

Եթե շղթան թողարկել է երրորդ կողմ, լուծումը հարցումն է այդ օպերատորին, և միակ օգտակար տեղային քայլը հին նյութից կախվածությունը դադարեցնելն է։ PEM տեքստը խմբագրելը կամ ֆայլը նորից պահելը ոչինչ չի փոխում այն ամենից, ինչը ծածկում է ստորագրությունը։

Մեկ միջանկյալ դեպք արժանի է անվանման՝ ներքին արմատ, որն ավելի հին է, քան ընթացիկ լռելյայնները, բայց դեռ ստորագրում է նյութ, որին վստահում են այլ համակարգեր։ Այն փոխարինելը նշանակում է աուդիտ անել յուրաքանչյուր սպառողի, ներառյալ սարքերը, որոնք հին վկայագիրը ամրացնում են մատնահետքով։ Հաշվեք այդ սպառողներին փոփոխությունը պլանավորելուց առաջ, որովհետև մեկը բաց թողնող արմատի փոխարինումը գործարկման սխալը փոխանակում է ընդհատման հետ։

Երրորդ պայման՝ ինչ էլ ընդունում է մակարդակի իջեցումը

Անվտանգության մակարդակի իջեցումը կամ OpenVPN-ի հին վկայագրային պրոֆիլի ընտրությունը հաճախորդին նորից ընդունելի է դարձնում հին մարսումը։ Այն նաև թուլացնում է նույն գրադարանի այլ ստուգումներ, այդ պրոցեսի յուրաքանչյուր միացման համար։

Դա կարող է արդարացված լինել լաբորատորիայում կամ որպես կարճ կամուրջ, մինչ փոխարինող նյութը պատրաստվում է, պայմանով որ բացառությունը սահմանափակված է մեկ պրոֆիլով և ունի ավարտի ամսաթիվ։ Որպես մշտական կարգավորում համօգտագործվող հոսթի վրա այն լուռ ընդլայնում է այն, ինչին այնտեղ յուրաքանչյուր TLS հաճախորդ կվստահի։

Գրեք բացառությունը տիրոջ և հեռացման քայլի հետ։ Չփաստաթղթավորված մակարդակի փոփոխությունը կես տարի անց չի տարբերվում սխալից, և հաջորդ ինժեները չի իմանա, որ դա երբևէ որոշում է եղել։

Որոշումը՝ գրված որպես կանոն

Փոխարինեք շղթան, երբ վերահսկում եք թողարկողին և կարող եք թվարկել նրա սպառողներին։ Երբ չեք կարող, դիմեք թողարկողին։ Իջեցրեք մակարդակը միայն որպես ամսաթվավորված, սահմանափակ բացառություն, երբ փոխարինումն արդեն պլանավորված է։ Մնացած ամեն ինչ թողնում է նույն վկայագիրը տեղում և ռիսկը տեղափոխում ավելի քիչ տեսանելի տեղ։

Ապա նորից փորձարկեք պրոֆիլը մաքուր հաճախորդից, հաստատեք որ ձեռքսեղմումն ավարտվում է, և եթե դեռ ձախողվում է, պահեք մերժման ճշգրիտ տեքստը։ Ճշգրիտ սխալի հաղորդագրությունը ամենաէժան բանն է, որ կարող եք տալ հաջորդ շերտի տիրոջը։