óstudd tilgangur skírteinis: hvers vegna millistigið CA bregst

Tilgangur þjónskírteinisins virðist réttur, lykillinn passar, dagsetningarnar eru í lagi, og tengingin bregst samt með unsupported certificate purpose. Smáatriðið sem leysir þetta er venjulega á sömu línu og villan: dýptargildi og subject sem nefna skírteini ofar í keðjunni. Tvö ólík próf eru keyrð, og aðeins annað þeirra snýr að loka-skírteininu. Samanburður þeirra útskýrir hvers vegna að skipta um þjónskírteinið breytir engu.

Hvaða skírteini sannprófandinn hafnaði í raun

Keðja er ekki einn hlutur sem endurtekinn er þrisvar sinnum. Loka-skírteinið ber nafn og lykil þjónsins, milliskírteinin tengja það við rót, og hvert hefur sitt gildistímabil, takmarkanir og notkun. Þegar villan nefnir dýpt auðkennir sú tala stöðu í keðjunni sem sannprófandinn byggði, og hún er kannski ekki staðan sem þú átt von á ef þjónninn sendir óvænta keðju.

Lestu reiti skírteinisins á þeirri dýpt frekar en skírteinisins sem þú hélt að væri sekur. Biddu um tvær viðbæturnar sem takmarka útgáfu í stað þess að hella út hverjum reit, því svarið er næstum alltaf í annarri þeirra. Úttak viðbætanna er óhætt að deila; einkalyklar aldrei.

openssl x509 -in issuing-ca.pem -noout -subject -issuer -ext basicConstraints -ext extendedKeyUsage

Ef nefnda skírteinið er milliskírteini þar sem útvíkkuð lyklanotkun nefnir eitthvað ótengt auðkenningu TLS-þjóns fylgir afgangur bilunarinnar vélrænt. Ekki er hægt að nota keðjuna fyrir tilganginn sem OpenVPN bað um.

Tilgangur loka-skírteinisins og stefna keðjunnar eru tvö próf

Próf loka-skírteinisins spyr þröngrar spurningar: heimilar þetta loka-einingarskírteini auðkenningu þjóns fyrir þetta nafn? Próf keðjunnar spyr víðari: má hvert skírteini í leiðinni þjóna þeim tilgangi? Skírteinisyfirvöld sem mega aðeins gefa út biðlara-skírteini standast sínar eigin undirskriftarprófanir og falla samt á öðru prófinu, því leiðin sem þau heimila inniheldur ekki tilganginn sem forritið þarf. Bæði prófin falla með sömu orðum og hafa gjörólíkar viðgerðir.

Þess vegna getur nýútgefið loka-skírteini, rétt í hverjum sýnilegum reit, fallið samstundis. Þess vegna tilheyrir viðgerðin venjulega prófílnum hjá útgefanda fremur en VPN-stillingunni.

Fjarverandi EKU er ekki takmarkandi EKU

RFC 5280 gerir viðbótina útvíkkuð lyklanotkun valfrjálsa og, þegar hún er til staðar, takmarkandi. CA-skírteini án viðbótarinnar hefur því ekki sagt „nei“ við auðkenningu þjóns, á meðan skírteini sem telur aðeins upp ótengdan tilgang hefur sagt eitthvað mjög ákveðið. Að meðhöndla þessi tvö ástand sem jafngild leiðir til rangrar greiningar og, verra, rangrar viðgerðar. Munurinn útskýrir líka hvers vegna tvö yfirvöld sem líta svipað út í stjórnborði hegða sér gjörólíkt í keðju.

Hegðun safnanna er heldur ekki einsleit hér. OpenSSL-skjal um sannprófunarvalkosti lýsir eigin meðferð á tilgangsprófum á CA-skírteinum, og sú meðferð er innleiðingarstefna en ekki regla sem hver TLS-stakk fylgir á sama hátt. Lýstu því sem sannprófandinn þinn gerir, og staðfestu það síðan við útgáfuna sem þú keyrir í raun.

Endurgerðu bilunina án nettengingar áður en þú gefur út að nýju

Sannprófun án nettengingar tekur forritið út úr jöfnunni. Ef keðjan bregst á sama hátt undir sama tilgangi er skírteinið vandamálið og engin þjónsstilling felur það. Ef keðjan stenst án nettengingar meðan þjónustan neitar áfram, biður forritið um annan tilgang eða notar aðra keðju en þá sem þú prófaðir.

openssl verify -purpose sslserver -show_chain -CAfile root-ca.pem -untrusted issuing-ca.pem vpn-server.pem

-show_chain skiptir máli því það prentar leiðina sem tólið byggði, og hún er oft ekki sú skráaröð sem þú gafst. Það úttak er fljótlegasta leiðin til að uppgötva að annað milliskírteini er dregið úr traustgeymslu, að þjónninn sendir kross-undirritaða útgáfu sem þú ætlaðir ekki, eða að tilgangsflagg sem þú afritaðir úr kennsluefni tilheyrir öðru hlutverki en því sem þjónað er.

Lagaðu útgáfustefnuna, ekki sannprófunarkallið

Varanleg viðgerð er milliskírteini gefið út samkvæmt stefnu sem heimilar tilganginn sem það verður að þjóna, með takmörkunina skrifaða og yfirfarða. Að bæta hverjum tilgangi við hvert yfirvald er ekki stefna; það fjarlægir takmörkunina sem gaf viðbótinni merkingu og lifir venjulega lengur en atvikið sem kallaði hana fram. Stutt athugasemd í prófílnum sem lýsir því hvaða hlutverk yfirvaldið má votta kemur í veg fyrir að næsta útgáfa endurtaki sömu deiluna.

Að slökkva á sannprófun er hinn freistandi flýtileið, og hún breytir skírteinisvandamáli í traustvandamál. Haltu tilgangsprófinu, lagaðu keðjuna og keyrðu sömu sannprófun án nettengingar aftur til að staðfesta að leiðin þjóni nú ætluðu hlutverki áður en þú snertir þjónustuna aftur.