Blaðvottorð gilt, keðjan útrunnin: lestu dýptina

Útrunnin villa getur tilheyrt útgefanda, ekki blaðinu. Lestu dýpt sannprófunar og traustinnslátt áður en þú endurnýjar vottorð sem virðist enn gilt.

Þú skoðar vottorð þjónsins, sérð mánuði eftir á klukkunni, og biðlarinn neitar samt tengingunni með útrunninni skilaboðum. Dagsetningin sem þú lest tilheyrir blaðinu, og kvörtunin getur verið um eitthvað dýpra í slóðinni. Sannprófun gengur eftir keðju, og hvaða vottorð sem þessi ganga velur getur mistekist í eigin gildistíma. Lestu hvert mistókst áður en þú endurnýjar eitthvað.

Dýptin nefnir vottorðið sem mistókst

Í OpenSSL-greiningu er dýpt 0 markvottorðið og dýpt 1 er útgefandinn sem undirritaði það, þar sem hærri tölur halda áfram að traustfesti. Útrunnið sem tilkynnt er á dýpt 1 er ekki hrakt af gildandi notAfter á blaðinu, svo endurskoðun á sýnilega vottorðinu mun aldrei útskýra villuna.

Skráðu fingrafar vottorðsins sem mistókst ásamt viðfangi þess, því mismunandi vottorð geta borið sama CA-nafn. Krossundirritun skapar nákvæmlega þetta ástand: sama yfirvaldið birtist oftar en einu sinni, með mismunandi gildisdagsetningum, og sannprófandinn valdi það sem þú bjóst ekki við. Þekkt merki er ekki auðkenni, og fingrafar er það sem greinir tvö hlutverk sem deila nafni.

Fylgstu líka með vörum með fleiri en eitt vottorðshlutverk. Á OpenVPN Access Server eru vottorðin sem vernda vefviðmótin aðskilin frá þeim sem notuð eru fyrir VPN-tengingar, svo vafri sem opnar stjórnborðssíðuna sannar ekkert um slóð göngunnar.

Traustinnsláttur er ekki það sama og keðjuframbjóðendur

Gefðu sannprófandanum inntökin tvö aðskilin og skýrt. Traustskráin heldur festunum sem þú samþykkir; ótrausta buntan heldur millivottorðum sem boðið er upp á til að byggja slóðina. Að blanda þeim er hvernig fólk ýtir óvart millivottorði upp í rætur og spyr sig síðan hvers vegna sama villan fylgir því milli véla.

$ openssl verify -verbose -show_chain -purpose sslserver \
    -CAfile trusted-roots.pem -no-CApath -no-CAstore \
    -untrusted intermediates.pem server.pem

Að slökkva á sjálfgefinni slóð og geymslu með -no-CApath -no-CAstore heldur prófinu heiðarlegu: niðurstaðan fer þá eftir skránum sem þú nefndir, ekki því sem vinnustöðin treystir tilviljunarkennt. OpenSSL sannprófunarviðmið skjalfestir þessa valkosti og greininguna sem þeir gefa.

-show_chain prentar byggðu keðjuna þegar sannprófun heppnast, sem er gagnlegt til að staðfesta að slóðin sé sú sem þú ætlaðir. Þegar hún mistekst skaltu halda tilkynntri dýpt og viðfangi; þau tvö svið segja næsta lesanda hvaða vottorð á að skoða.

Það sem þetta gerir ekki er að endurskapa stefnu hvers biðlara. Pin, tilgangstakmörkun eða biðlarasértæk auðkennisskoðun býr í biðlaranum, ekki í þessari skipun. Það eru stillingarnar sem á að skoða þegar sannprófun gengur á þjóninum og tengingin mistekst samt. Haltu greiningunum tveimur aðskildum, annars endurnýjar þú heilbrigt vottorð í eltingarleik við pinning-villu.

Hvað prófið sannar og hvað það sleppir

Þetta er slóðar- og tilgangspróf gegn traustskrá sem þú gafst. Fyrir HTTPS nafnapróf skaltu bæta við væntanlegu hýsilnafni með viðeigandi valkosti; fyrir VPN-tengingu skaltu halda stilltum auðkennisskoðunum biðlarans og nota traustefnið sem sá biðlari les í raun.

Það sem þjónn sendir er mengi frambjóðenda, ekki slóðin sem biðlarinn þinn byggir að lokum. Staðbundið traust og byggingarreglur safnsins móta bæði niðurstöðuna, þess vegna getur sama svarið sannprófast á einni vél og mistekist á annarri. Berðu saman viðhaldið traustgeymslu og TLS-útfærslu biðlarans sem mistekst við starfandi biðlara áður en þú gerir ráð fyrir sams konar mati. Mismunur þar útskýrir mörg skýrslur um „aðeins þessi fartölva mistekst“.

Til að sjá glugga hvers vottorðs í stað eins í einu, prentaðu þau sem mengi:

$ openssl x509 -in server.pem -noout -subject -dates
$ openssl crl2pkcs7 -nocrl -certfile intermediates.pem \
    | openssl pkcs7 -print_certs -noout

Sú önnur skipun listar viðföng og útgefendur án þess að afkóða hverja skrá fyrir höndina, og þannig kemurðu auga á millivottorð sem dagsetning þess er liðin á meðan blaðið lítur enn vel út.

Lagaðu slóðina án þess að veikja sannprófun

Þegar útrunnið millivottorð eða úrelt krossundirritað vottorð er látið í té skaltu fá núverandi studda keðju útgefandans og dreifa henni í gegnum skjalfest vottorðaferli þjónustunnar. Þegar biðlarinn vantar ætlaða viðhaldna festu skaltu uppfæra stýrðu trauststillinguna eða biðlaraforritið. Andmæltu skammbyttinum að merkja hvert vottorð í buntunni sem rót bara til að þagga skilaboðin.

Meðferð rótar á skilið athugasemd, því samantektir ýkja hana oft. RFC 5280 meðhöndlar festuna sem inntak sem stendur utan fyrirhugaðrar slóðar, á meðan OpenSSL skjalfestir gildisprófanir sem fela í sér rót-CA-vottorð þess. Báðar fullyrðingarnar eru sannar fyrir sín eigin kerfi; að alhæfa útrunna hegðun rótar einnar safns yfir á hvern biðlara gefur örugg röng svör.

Eftir breytinguna skaltu þvinga fram nýja auðkenningu á viðkomandi biðlara og staðfesta að tilteknu útrunnu skilaboðin séu horfin. Endurnýjaðu blaðið aðeins ef blaðið sjálft er óviðeigandi. Að slökkva á tímaprófunum eða endurheimta sögulegt krossvottorð framleiðir ekki gilt núverandi slóð; það tefur aðeins næstu bilun.

Tengdir greinar