ca md too weak: endurgefa vottorðið eða lækka stigið?

OpenVPN biðlari sem virkaði í síðasta mánuði mistekst nú við ræsingu með ca md too weak, og sniðið á disknum er bæti fyrir bæti það sama og virkaði. Skilaboðin snúast um undirritun á vottorði vottorðsstofnunar, ekki gagnadulkóðun, auth-teðjuna eða lykilorð reikningsins. Þrjú skilyrði ráða því hvort lagfæringin er nýtt auðkennisefni, ný keðja eða viljandi stefnubreyting. Farðu í gegnum þau í röð og þú forðast hina venjulegu niðurstöðu þar sem göngin koma aftur með því að veikja hverja TLS-tengingu á vélinni.

Hvað villan nefnir í raun

OpenSSL kastar þessari sannprófunarvillu meðan það byggir keðju, þegar vottorðið sem starfar sem CA ber undirritunarteðju sem öryggisstig safnsins samþykkir ekki lengur. MD5 er hafnað á sjálfgefnu stigi og SHA-1 er hafnað um leið og stigið er hækkað. Teðja blaðvottorðsins skiptir hér minna máli en teðja útgefandans sem undirritar það. Sama stefnan getur hafnað rót sem var algjörlega venjuleg á útgáfudegi sínum.

Þess vegna gerir breyting á auth eða data-ciphers ekkert fyrir þessa bilun. Þessar stillingar stjórna því hvernig pakkar eru varðir eftir handabandið, en hafnaða hlutnum er auðkennisskjal sem er skoðað áður en göng eru til. Vottorð getur setið vel innan gildistímabils síns og borið samt undirritun sem safnið mun ekki samþykkja.

Haltu prófununum aðskildum í huganum og villan hættir að virka dularfull. Gildisdagar, lyklanotkun og undirritunarteðja eru óháð próf, og nákvæmlega eitt þeirra hefur einmitt mistekist.

Skilyrði eitt: er hafnaði hluturinn rótin?

Prentaðu hvert vottorð í sniðinu og lestu reitina subject og issuer. Sjálfundirrituð rót sýnir sama gildi í báðum, og undirritunarreiknirit hennar er það sem alla keðjuna hvílir á. Þegar veika teðjan er þar erfir hvert blað fyrir neðan vandann. Skrifaðu reikniritið við hlið subject svo síðari samanburður verði vélrænn í stað minnis.

Sambætt CA-skjöl geyma oft nokkra blokka, svo auðkenndu blokkina sem raunverulega er hlaðin í stað þess að gera ráð fyrir að fyrsta sé sek. Skipunin openssl x509 -in ca.pem -noout -subject -issuer -text lýsir einu vottorði í einu, sem þýðir að skipta þarf bunkanum fyrst ef hann inniheldur fleiri. Berðu prentaða undirritunarreikniritið saman við teðjuna sem þú myndir búast við frá þeim tíma er rótin varð til.

Blað undirritað með SHA-256 undir veikri rót mistekst samt, því keðjuprófið gengur alla leið upp. Þessi röð er það sem gerir næsta skilyrði mikilvægt.

Skilyrði tvö: stjórnar þú útgefandanum?

Ef rótin tilheyrir samtökunum þínum er varanlega lausnin ný rót með nútímalegri teðju auk endurútgefinna blaða, afhent sem ein sniðsuppfærsla. Það kostar viðhaldsglugga og áætlun fyrir tæki sem geta ekki tekið uppfærslunni sama dag.

Ef þriðji aðili gaf keðjuna út er lausnin beiðni til þess rekstraraðila, og eina gagnlega staðbundna aðgerðin er að hætta að reiða sig á gamla efnið. Breyting á PEM-textanum eða endurvistun skjalsins breytir engu sem undirritunin nær yfir.

Eitt millitilvik á skilið nafn: innri rót sem er eldri en núverandi sjálfgildi en undirritar enn efni sem önnur kerfi treysta. Að skipta henni út þýðir endurskoðun á hverjum notanda, þar á meðal tækjum sem festa gamla vottorðið með fingrafari. Teldu þá notendur áður en breytingin er tímasett, því rótaskipti sem sleppir einum skiptir ræsingarvillu fyrir niðurfall.

Skilyrði þrjú: hvað lækkun stigsins samþykkir líka

Að lækka öryggisstigið, eða velja gamla vottorðssniðið í OpenVPN, gerir biðlaranum kleift að samþykkja gömlu teðjuna aftur. Það slakar líka á öðrum prófunum í sama safni, fyrir hverja tengingu sem ferlið gerir.

Það getur verið verjandi á rannsóknarstofu, eða sem stutt brú meðan staðgengilsefni er undirbúið, svo framarlega sem undantekningin er takmörkuð við eitt snið og ber lokadag. Sem varanleg stilling á sameiginlegri vél víkkar það hljóðlega það sem hver TLS-biðlari þar mun treysta.

Skrifaðu undantekninguna niður með eiganda og fjarlægingarskrefi. Óskjalfest stigsbreyting er óaðgreinanleg frá mistökum hálfu ári síðar, og næsti verkfræðingur mun ekki vita að þetta hafi einhvern tíma verið ákvörðun.

Ákvörðunin, skrifuð sem regla

Skiptu keðjunni út þegar þú stjórnar útgefandanum og getur talið notendur hans. Eskalaðu til útgefandans þegar þú getur það ekki. Lækkaðu stigið aðeins sem dagsetta, takmarkaða undantekningu með skiptinu þegar tímasettu. Allt annað lætur sama vottorðið vera og færir áhættuna á minna sýnilegan stað.

Prófaðu sniðið svo aftur frá hreinum biðlara, staðfestu að handabandið klárist, og geymdu nákvæman höfnunartexta ef það mistekst enn. Nákvæm villuskilaboð eru það ódýrasta sem þú getur afhent þeim sem á næsta lag.