ca md too weak: сертификатты қайта шығару керек пе, әлде деңгейді төмендету керек пе?

OpenVPN клиенті өткен айда жұмыс істеп, қазір іске қосылу кезінде ca md too weak қатесімен сәтсіз аяқталады, ал дискідегі профиль жұмыс істеген нұсқамен байт-байт бірдей. Хабарлама сертификат органының сертификатындағы қолтаңба туралы, деректер шифры, auth дайджесі немесе тіркелгі құпиясөзі туралы емес. Үш шарт шешімнің жаңа сәйкестендіру материалы, жаңа тізбек немесе әдейі саясат өзгерісі екенін анықтайды. Оларды ретімен орындаңыз, сонда хосттағы әрбір TLS байланысын әлсірету арқылы туннельді қайтарудың әдеттегі нәтижесінен аулақ боласыз.

Қате шын мәнінде нені атайды

OpenSSL бұл тексеру қатесін тізбек құру кезінде шығарады, егер CA ретінде әрекет ететін сертификат кітапхананың қауіпсіздік деңгейі енді қабылдамайтын қолтаңба дайджесін алып жүрсе. MD5 әдепкі деңгейде қабылданбайды, ал SHA-1 деңгейді көтергеннен кейін қабылданбайды. Мұнда соңғы сертификаттың дайджесі оны қол қоятын шығарушының дайджесінен маңыздырақ емес. Сол саясат шығарылған күні мүлде қарапайым болған түбірді де қабылдамауы мүмкін.

Сондықтан auth немесе data-ciphers өңдеу бұл ақауға ештеңе бермейді. Ол параметрлер қолмен амандасудан кейін пакеттердің қалай қорғалатынын реттейді, ал қабылданбаған нысан туннель пайда болмай тұрып тексерілетін сәйкестендіру құжаты. Сертификат өз қолданылу терезесінің ішінде жайлы отыра алады және соған қарамастан кітапхана қабылдамайтын қолтаңбаны алып жүре алады.

Тексерулерді ойда бөлек ұстаңыз, сонда қате жұмбақ болып көрінбейді. Қолданылу мерзімдері, кілтті пайдалану және қолтаңба дайджесі тәуелсіз сынақтар, және олардың дәл біреуі жаңа ғана сәтсіз аяқталды.

Бірінші шарт: қабылданбаған нысан түбір ме?

Профильдегі әр сертификатты басып шығарып, subject және issuer өрістерін оқыңыз. Өзіне қол қойған түбір екеуінде де бірдей мәнді көрсетеді, ал оның қолтаңба алгоритмі бүкіл тізбектің тірегі. Әлсіз дайджест сол жерде болса, оның астындағы әр жапырақ мәселені мұраға алады. Кейінгі салыстыру жадыдан емес, механикалық болуы үшін алгоритмді subject жанына жазып қойыңыз.

Біріктірілген CA файлдары жиі бірнеше блоктан тұрады, сондықтан біріншісі кінәлі деп болжамай, нақты жүктелетін блокты анықтаңыз. openssl x509 -in ca.pem -noout -subject -issuer -text пәрмені бір уақытта бір сертификатты сипаттайды, яғни шоғырда көбірек болса, алдымен оны бөлу қажет. Басып шығарылған қолтаңба алгоритмін түбір жасалған дәуірден күткен дайджестіңізбен салыстырыңыз.

Әлсіз түбір астында SHA-256-мен қол қойылған жапырақ әлі де сәтсіз болады, өйткені тізбек тексеруі жоғарыға дейін жүреді. Дәл осы рет келесі шартты маңызды етеді.

Екінші шарт: шығарушыны бақылайсыз ба?

Егер түбір сіздің ұйымыңызға тиесілі болса, тұрақты шешім — заманауи дайджесті бар жаңа түбір және қайта шығарылған жапырақтар, бір профиль жаңартуы ретінде жеткізіледі. Бұл техникалық қызмет көрсету терезесін және жаңартуды сол күні ала алмайтын құрылғылар үшін жоспарды қажет етеді.

Егер тізбекті үшінші тарап шығарса, шешім — сол операторға сұрау, ал жергілікті пайдалы жалғыз әрекет ескі материалға сүйенуді тоқтату. PEM мәтінін өңдеу немесе файлды қайта сақтау қолтаңба қамтитын ештеңені өзгертпейді.

Бір аралық жағдай аталуға лайық: қазіргі әдепкілерден ескі, бірақ басқа жүйелер сенетін материалға әлі қол қоятын ішкі түбір. Оны ауыстыру әрбір тұтынушыны, соның ішінде ескі сертификатты саусақ ізімен бекітетін құрылғыларды тексеруді білдіреді. Өзгерісті жоспарламас бұрын сол тұтынушыларды санаңыз, өйткені біреуін өткізіп жіберген түбір ауыстыру іске қосу қатесін үзіліспен алмастырады.

Үшінші шарт: деңгейді төмендету тағы нені қабылдайды

Қауіпсіздік деңгейін төмендету немесе OpenVPN-нің ескі сертификат профилін таңдау клиентке ескі дайджесті қайта қабылдауға мүмкіндік береді. Ол сондай-ақ сол кітапханадағы басқа тексерулерді сол процестің әрбір байланысы үшін босаңсытады.

Бұл зертханада немесе ауыстыру материалы дайындалып жатқанда қысқа көпір ретінде ақталуы мүмкін, егер ерекшелік бір профильмен шектелсе және аяқталу күні болса. Ортақ хостта тұрақты параметр ретінде ол ондағы әрбір TLS клиентінің неге сенетінін үнсіз кеңейтеді.

Ерекшелікті иесімен және жою қадамымен жазып қойыңыз. Құжатталмаған деңгей өзгерісін жарты жылдан кейін қатеден ажырату мүмкін емес, ал келесі инженер оның бір кезде шешім болғанын білмейді.

Шешім, ереже ретінде жазылған

Шығарушыны бақылап, оның тұтынушыларын санай алсаңыз, тізбекті ауыстырыңыз. Алмасаңыз, шығарушыға жүгініңіз. Деңгейді тек күні белгіленген, шектелген ерекшелік ретінде және ауыстыру әлдеқашан жоспарланған күйде төмендетіңіз. Қалғанының бәрі сол сертификатты орнында қалдырып, тәуекелді азырақ көрінетін жерге көшіреді.

Содан кейін профильді таза клиенттен қайта сынап, қолмен амандасу аяқталатынын растаңыз, ал әлі де сәтсіз болса, бас тартудың дәл мәтінін сақтаңыз. Дәл қате хабарламасы — келесі қабаттың иесіне бере алатын ең арзан нәрсе.