Sama skráarnafn ca.crt, annað vottorð: hvað á að bera saman

Tvö prófíl skila bæði skrá sem heitir ca.crt, annar göngin koma upp og hinn mistekst með keðjuvillu. Að opna skrárnar tvær hlið við hlið leysir þetta sjaldan, og að slökkva á sannprófun leysir það í ranga átt. Spurningin sem villan spyr í raun er þrengri: hvaða vottorð hleður hvert ferli sem traustsakkeri sitt, og eru þau tvö sami hluturinn? Svaraðu því fyrst og restin af greiningunni fær stefnu. Skráarnafnið er pökkunarmiði, og slóðin sem skrifuð er í prófílinn er ekki heldur valdbær, svo allt veltur á því hvað ferlið les í raun.

Finndu vottorðið sem biðlarinn hleður í raun

OpenVPN tekur við yfirvaldinu í tveimur myndum, og myndin ræður því hvaða bæti skipta máli. Prófíll getur vísað á ytra skrá með ca, eða fellt vottorðið inn í <ca> blokk í prófílnum sjálfum. Þegar bæði eru til vinnur innfellda blokkin og skráin við hlið prófílsins er aldrei opnuð.

Lestu prófílinn sem mistekst og finndu út hvaða mynd hann notar áður en þú berð eitthvað saman. Afrit tekið úr nágrannamöppu, eða úr pakkanum sem hinn prófíllinn kom úr, segir þér ekkert um það sem þetta ferli treystir. Sama gildir um slóðina í stillingunni: hún er leyst miðað við staðinn þar sem biðlarinn var ræstur, sem er ekki alltaf mappan sem þú ert að skoða. Lestu prófílinn, ekki möppuna.

Vottorð eru auðkennd af innihaldi sínu: opinberi lykillinn, viðfangsefnið og útgefandinn, gildistímabilið og undirskriftin yfir allt það. Tvær skrár með sama bæti eru sama vottorðið hvað sem þær heita, og tvær skrár með sama nafni geta verið ótengd yfirvöld. Nafnið er pökkunarmiði, ekki auðkenni.

Taktu fingrafar af báðum afritum með openssl

Fingrafar er hak yfir DER-kóðun vottorðsins, myndin sem undirskriftin nær yfir, svo línulok og hausmál geta ekki haft áhrif á það. Reiknaðu það fyrir hverja skrá og þú hefur tvo hexastrengi aðskilda með tvípunkti sem annaðhvort passa eða ekki. Ekkert annað í vottorðinu þarf að lesa til að svara samanburðarspurningunni.

openssl x509 -in /etc/openvpn/office/ca.crt -noout -fingerprint -sha256
openssl x509 -in ~/profiles/lab-ca.pem -noout -fingerprint -sha256

Það er freistandi að beina openssl að prófílnum sjálfum, en það les hvaða vottorðsblokk sem fyrst kemur fyrir í skránni, og prófíll ber venjulega <cert> á undan <ca>. Dragðu út yfirvaldsblokkina og taktu svo fingrafar af útdregnu skránni, því það er afritið sem biðlarinn mun í raun nota.

sed -n '/^<ca>$/,/^<\/ca>$/p' office.ovpn | sed '1d;$d' > /tmp/office-ca.pem
openssl x509 -in /tmp/office-ca.pem -noout -fingerprint -sha256

Eins fingraför þýða að traustsefnið er það sama og keðjuvillan á sér aðra orsök, sem er önnur rannsókn. Mismunandi fingraför þýða mismunandi vottorð, og þar byrjar næsti kafli.

Lestu misræmi áður en þú gerir ráð fyrir árás

Mismunandi fingraför þýða mismunandi vottorð og ekkert meira. Endurútgáfa, snúningur, endurnefnt yfirvald eða úrelt búnt framleiða öll mismunandi skrár með algjörlega lögmætum sögum. Hver þeirra tilheyrir uppsetningunni er spurning fyrir rekstraraðilann eða uppsetningarskrána, ekki fyrir breytingartíma skrárinnar. Skjalasöfn afrita tímmörk, svo nýrri skrá er ekki sjálfkrafa rétta akkerið.

Rót sem undirritar sig sjálfa er eðlileg, svo að finna eina er ekki sönnun um vandamál. Verk sannprófandans er að byggja slóð frá vottorði netþjónsins að akkerinu sem honum var gefið, og keðjuvilla þýðir venjulega að ekki tókst að ljúka þeirri slóð.

Athugaðu hvort akkeri prófílsins sem mistekst sé yfirvald sem uppsetningin gefur enn út frá. Ef fingrafarið passar við ekkert í uppsetningarskránni er prófíllinn einfaldlega úreltur, og engin stilling á biðlarahlið lagar það.

Lagfærðu traust án þess að slökkva á sannprófun

Skammtímalausnin er að slökkva á sannprófun eða bæta hverju vottorði keðjunnar við sem akkeri. Bæði láta skilaboðin hverfa, og bæði breyta því hvaða netþjóna biðlarinn mun samþykkja héðan í frá. Kveiktu á sannprófuninni aftur, settu upp fyrirhugaða akkerið og prófaðu aftur.

Ef keðjan byggist núna en önnur villa birtist, er það framfarir: nafnasannprófun, gildisdagar og afturköllun eru aðskildar athuganir með aðskildum skilaboðum. Haltu fingrafaraparinu og upprunalegum villutexta saman í miðanum, svo næsta manneskja sjái hvaða akkeri var hlaðið og hvers var vænst. Fingrafarapar er nógu lítið til að líma í afhendingarmiða, og næsta tilvik tekur þá fimm mínútur í stað síðdegis.

Fáðu rétta yfirvaldið um sama auðkennda rás og skilaði prófílnum. Að draga vottorð af netþjóninum vegna þess að viðfangsefni þess virðist kunnuglegt er önnur aðgerð, og hún víkkar hljóðlega það sem biðlarinn mun treysta.