қолдау көрсетілмеген сертификат мақсаты: аралық CA неліктен сәтсіз аяқталады

Сервер сертификатының мақсаты дұрыс көрінеді, кілт сәйкес келеді, күндері ретінде, ал қосылым әлі де unsupported certificate purpose қатесімен сәтсіз аяқталады. Мұны шешетін бөлшек әдетте қатемен бір жолда болады: тереңдік мәні және тізбекте жоғары тұрған сертификатты атайтын subject. Екі түрлі тест жүргізіледі және олардың тек біреуі соңғы сертификатқа қатысты. Оларды салыстыру сервер сертификатын ауыстыру неге ештеңені өзгертпейтінін түсіндіреді.

Тексеруші қай сертификатты шын мәнінде қабылдамады

Тізбек — үш рет қайталанған бір нысан емес. Соңғы сертификат сервердің аты мен кілтін алып жүреді, аралық сертификаттар оны тамырмен байланыстырады, және әрқайсысының өз қолданылу мерзімі, шектеулері мен пайдаланулары бар. Қате тереңдікті атағанда, бұл сан тексеруші құрған тізбектегі орынды көрсетеді және сервер күтпеген тізбек жіберсе, бұл сіз күткен орын болмауы мүмкін.

Сол тереңдіктегі сертификаттың өрістерін оқыңыз, кінәлі деп ойлаған сертификаттың емес. Барлық өрісті төгудің орнына шығаруды шектейтін екі кеңейтімді сұраңыз, өйткені жауап әрдайым дерлік солардың бірінде болады. Кеңейтімдердің шығысын бөлісу қауіпсіз; жеке кілттерді ешқашан.

openssl x509 -in issuing-ca.pem -noout -subject -issuer -ext basicConstraints -ext extendedKeyUsage

Егер аталған сертификат аралық болса және оның кеңейтілген кілт пайдалануы TLS серверін аутентификациялауға қатысы жоқ нәрсені атаса, сәтсіздіктің қалғаны механикалық түрде жалғасады. Тізбек OpenVPN сұраған мақсат үшін пайдаланыла алмайды.

Соңғы сертификаттың мақсаты мен тізбек саясаты — екі тест

Соңғы сертификат тесті тар сұрақ қояды: бұл соңғы субъект сертификаты осы ат үшін серверді аутентификациялауға рұқсат бере ме? Тізбек тесті кеңірек сұрақ қояды: жолдағы әрбір сертификат осы мақсатқа қызмет ете ала ма? Тек клиент сертификаттарын шығаруға рұқсаты бар сертификат органы өз қолтаңба тексерулерінен өтеді және екінші тесттен сәтсіз өтеді, өйткені ол рұқсат ететін жол қолданбаға қажет мақсатты қамтымайды. Екі тест бір сөздермен сәтсіз аяқталады және мүлдем басқа түзетулері бар.

Сондықтан көрінетін әрбір өрісі дұрыс жаңа шығарылған соңғы сертификат бірден сәтсіз аяқталуы мүмкін. Сондықтан түзету әдетте VPN конфигурациясына емес, шығарушы органның профиліне жатады.

Жоқ EKU шектеуші EKU емес

RFC 5280 кеңейтілген кілт пайдалану кеңейтімін міндетті емес етеді және ол болған кезде шектеуші болады. Сондықтан кеңейтімі жоқ CA сертификаты серверді аутентификациялауға «жоқ» деп айтқан жоқ, ал тек қатысы жоқ мақсатты тізіп өткен сертификат өте нақты нәрсе айтты. Бұл екі күйді тең деп қарау қате диагноз және одан да жаманы қате түзету береді. Айырмашылық консольде ұқсас көрінетін екі органның тізбекте неге мүлдем басқаша әрекет ететінін де түсіндіреді.

Кітапханалардың мінез-құлқы да бұл жерде біркелкі емес. OpenSSL-дің тексеру параметрлері туралы құжаты CA сертификаттарындағы мақсат тексерулеріне өзінің қалай қарайтынын сипаттайды және бұл тәсіл іске асыру саясаты, ал әр TLS стек бірдей ұстанатын ереже емес. Тексерушіңіздің не істейтінін сипаттаңыз, содан кейін оны шын мәнінде іске қосатын нұсқаңызбен растаңыз.

Қайта шығармас бұрын сәтсіздікті офлайн қайталаңыз

Офлайн тексеру қолданбаны теңдеуден шығарады. Егер тізбек сол мақсат астында дәл солай сәтсіз аяқталса, мәселе сертификатта және ешбір сервер конфигурациясы оны жасыра алмайды. Егер тізбек офлайн өтсе, ал қызмет әлі де бас тартса, қолданба басқа мақсат сұрап отыр немесе сіз тексергеннен басқа тізбекті пайдаланып отыр.

openssl verify -purpose sslserver -show_chain -CAfile root-ca.pem -untrusted issuing-ca.pem vpn-server.pem

-show_chain маңызды, өйткені құрал құрған жолды басып шығарады, ал ол көбіне сіз берген файл реті емес. Бұл шығыс екінші аралық сертификат сенім қоймасынан тартылып жатқанын, сервер сіз көздемеген кросс-қол қойылған нұсқаны жіберіп жатқанын немесе оқулықтан көшірілген мақсат жалаушасы қызмет көрсетіліп жатқан рөлден басқа рөлге тиесілі екенін анықтаудың ең жылдам жолы.

Шығару саясатын түзетіңіз, тексеру шақыруын емес

Тұрақты түзету — қызмет етуге тиісті мақсаттарға рұқсат беретін саясат бойынша шығарылған аралық сертификат, шектеу жазылып, қаралған. Әр органға әр мақсатты қосу саясат емес; ол кеңейтімге мән берген шектеуді алып тастайды және әдетте оны тудырған оқиғадан ұзақ өмір сүреді. Профильдегі органның қандай рөлдерді куәландыра алатынын сипаттайтын қысқа жазба келесі қайта шығарудың сол дауды қайталауына жол бермейді.

Тексеруді өшіру — екінші азғырар қысқа жол және ол сертификат мәселесін сенім мәселесіне айналдырады. Мақсат тексеруін орнында қалдырыңыз, тізбекті түзетіңіз және қызметке қайта тию алдында жолдың енді көзделген рөлге қызмет ететінін растау үшін сол офлайн тексеруді қайта іске қосыңыз.