ಲೀಫ್ ಪ್ರಮಾಣಪತ್ರ ಮಾನ್ಯ, ಸರಪಳಿ ಅವಧಿ ಮುಗಿದಿದೆ: ಆಳವನ್ನು ಓದಿ

ನೀವು ಸರ್ವರ್ ಪ್ರಮಾಣಪತ್ರವನ್ನು ಪರಿಶೀಲಿಸುತ್ತೀರಿ, ಗಡಿಯಾರದಲ್ಲಿ ಇನ್ನೂ ತಿಂಗಳುಗಳಿವೆ ಎಂದು ಕಾಣುತ್ತೀರಿ, ಆದರೂ ಕ್ಲೈಂಟ್ ಅವಧಿ ಮುಗಿದ ಸಂದೇಶದೊಂದಿಗೆ ಸಂಪರ್ಕವನ್ನು ನಿರಾಕರಿಸುತ್ತದೆ. ನೀವು ಓದುವ ದಿನಾಂಕ ಲೀಫ್ ಪ್ರಮಾಣಪತ್ರದ್ದು, ಮತ್ತು ದೂರು ಮಾರ್ಗದ ಒಳಗಿನ ಯಾವುದೋ ವಿಷಯದ ಬಗ್ಗೆ ಇರಬಹುದು. ಪರಿಶೀಲನೆ ಸರಪಳಿಯ ಮೂಲಕ ಸಾಗುತ್ತದೆ, ಮತ್ತು ಈ ಸಂಚಲನ ಆಯ್ಕೆ ಮಾಡುವ ಯಾವುದೇ ಪ್ರಮಾಣಪತ್ರವು ತನ್ನದೇ ಮಾನ್ಯತಾ ಕಿಟಕಿಯಲ್ಲಿ ವಿಫಲವಾಗಬಹುದು. ಏನನ್ನಾದರೂ ನವೀಕರಿಸುವ ಮೊದಲು ಯಾವುದು ವಿಫಲವಾಯಿತು ಎಂದು ಓದಿ.

ಆಳವು ವಿಫಲವಾದ ಪ್ರಮಾಣಪತ್ರವನ್ನು ಹೆಸರಿಸುತ್ತದೆ

OpenSSL ನಿರ್ಣಯದಲ್ಲಿ, ಆಳ 0 ಗುರಿ ಪ್ರಮಾಣಪತ್ರ ಮತ್ತು ಆಳ 1 ಅದಕ್ಕೆ ಸಹಿ ಹಾಕಿದ ನೀಡುವವರು, ದೊಡ್ಡ ಸಂಖ್ಯೆಗಳು ನಂಬಿಕೆ ಆಂಕರ್ನತ್ತ ಮುಂದುವರಿಯುತ್ತವೆ. ಆಳ 1 ರಲ್ಲಿ ವರದಿಯಾದ ಅವಧಿ ಮುಗಿತವನ್ನು ಲೀಫ್ ಮೇಲಿನ ಪ್ರಸ್ತುತ notAfter ಖಂಡಿಸುವುದಿಲ್ಲ, ಆದ್ದರಿಂದ ಕಾಣುವ ಪ್ರಮಾಣಪತ್ರವನ್ನು ಮತ್ತೆ ಪರಿಶೀಲಿಸುವುದು ದೋಷವನ್ನು ಎಂದಿಗೂ ವಿವರಿಸದು.

ವಿಫಲವಾದ ಪ್ರಮಾಣಪತ್ರದ ಬೆರಳಚ್ಚನ್ನು ಅದರ ವಿಷಯದೊಂದಿಗೆ ದಾಖಲಿಸಿ, ಏಕೆಂದರೆ ವಿಭಿನ್ನ ಪ್ರಮಾಣಪತ್ರಗಳು ಒಂದೇ CA ಹೆಸರನ್ನು ಹೊಂದಬಹುದು. ಅಡ್ಡ-ಸಹಿ ನಿಖರವಾಗಿ ಆ ಸ್ಥಿತಿಯನ್ನು ಸೃಷ್ಟಿಸುತ್ತದೆ: ಅದೇ ಪ್ರಾಧಿಕಾರ ಒಂದಕ್ಕಿಂತ ಹೆಚ್ಚು ಬಾರಿ, ವಿಭಿನ್ನ ಮಾನ್ಯತಾ ದಿನಾಂಕಗಳೊಂದಿಗೆ ಕಾಣಿಸಿಕೊಳ್ಳುತ್ತದೆ, ಮತ್ತು ಪರಿಶೀಲಕರು ನೀವು ನಿರೀಕ್ಷಿಸದಿದ್ದದ್ದನ್ನು ಆಯ್ಕೆ ಮಾಡಿದರು. ಪರಿಚಿತ ಲೇಬಲ್ ಗುರುತಿಸುವಿಕೆಯಲ್ಲ, ಮತ್ತು ಬೆರಳಚ್ಚು ಒಂದೇ ಹೆಸರನ್ನು ಹಂಚಿಕೊಳ್ಳುವ ಎರಡು ವಸ್ತುಗಳನ್ನು ಪ್ರತ್ಯೇಕಿಸುತ್ತದೆ.

ಒಂದಕ್ಕಿಂತ ಹೆಚ್ಚು ಪ್ರಮಾಣಪತ್ರ ಪಾತ್ರವಿರುವ ಉತ್ಪನ್ನಗಳ ಮೇಲೂ ಗಮನಹರಿಸಿ. OpenVPN Access Server ನಲ್ಲಿ, ವೆಬ್ ಇಂಟರ್ಫೇಸ್ಗಳನ್ನು ರಕ್ಷಿಸುವ ಪ್ರಮಾಣಪತ್ರಗಳು VPN ಸಂಪರ್ಕಗಳಿಗೆ ಬಳಸುವವುಗಳಿಂದ ಪ್ರತ್ಯೇಕವಾಗಿವೆ, ಆದ್ದರಿಂದ ನಿರ್ವಾಹಕ ಪುಟವನ್ನು ತೆರೆಯುವ ಬ್ರೌಸರ್ ಸುರಂಗದ ಮಾರ್ಗದ ಬಗ್ಗೆ ಏನನ್ನೂ ಸಾಬೀತುಪಡಿಸುವುದಿಲ್ಲ.

ನಂಬಿಕೆ ಇನ್ಪುಟ್ಗಳು ಸರಪಳಿ ಅಭ್ಯರ್ಥಿಗಳಂತೆ ಅಲ್ಲ

ಪರಿಶೀಲಕರಿಗೆ ಎರಡು ಇನ್ಪುಟ್ಗಳನ್ನು ಪ್ರತ್ಯೇಕವಾಗಿ ಮತ್ತು ಸ್ಪಷ್ಟವಾಗಿ ನೀಡಿ. ನಂಬಿಕೆ ಕಡತವು ನೀವು ಸ್ವೀಕರಿಸುವ ಆಂಕರ್ಗಳನ್ನು ಹೊಂದಿದೆ; ಅವಿಶ್ವಾಸನೀಯ ಬಂಡಲ್ ಮಾರ್ಗವನ್ನು ನಿರ್ಮಿಸಲು ನೀಡಲಾದ ಮಧ್ಯಂತರ ಪ್ರಮಾಣಪತ್ರಗಳನ್ನು ಹೊಂದಿದೆ. ಅವುಗಳನ್ನು ಬೆರೆಸುವುದು ಜನರು ಆಕಸ್ಮಿಕವಾಗಿ ಮಧ್ಯಂತರ ಪ್ರಮಾಣಪತ್ರವನ್ನು ಮೂಲಕ್ಕೆ ಉನ್ನತೀಕರಿಸಿ ನಂತರ ಅದೇ ದೋಷ ಯಂತ್ರಗಳ ನಡುವೆ ಅವರನ್ನು ಏಕೆ ಹಿಂಬಾಲಿಸುತ್ತದೆ ಎಂದು ಆಶ್ಚರ್ಯಪಡುವ ರೀತಿ.

$ openssl verify -verbose -show_chain -purpose sslserver \
    -CAfile trusted-roots.pem -no-CApath -no-CAstore \
    -untrusted intermediates.pem server.pem

ಡೀಫಾಲ್ಟ್ ಮಾರ್ಗ ಮತ್ತು ಸಂಗ್ರಹವನ್ನು -no-CApath -no-CAstore ನೊಂದಿಗೆ ನಿಷ್ಕ್ರಿಯಗೊಳಿಸುವುದು ಪರೀಕ್ಷೆಯನ್ನು ಪ್ರಾಮಾಣಿಕವಾಗಿರಿಸುತ್ತದೆ: ಫಲಿತಾಂಶವು ನೀವು ಹೆಸರಿಸಿದ ಕಡತಗಳನ್ನು ಅವಲಂಬಿಸಿರುತ್ತದೆ, ವರ್ಕ್ಸ್ಟೇಷನ್ ಆಕಸ್ಮಿಕವಾಗಿ ನಂಬುವದನ್ನು ಅಲ್ಲ. OpenSSL ಪರಿಶೀಲನಾ ಉಲ್ಲೇಖ ಈ ಆಯ್ಕೆಗಳನ್ನು ಮತ್ತು ಅವು ಉತ್ಪಾದಿಸುವ ನಿರ್ಣಯವನ್ನು ದಾಖಲಿಸುತ್ತದೆ.

ಪರಿಶೀಲನೆ ಯಶಸ್ವಿಯಾದಾಗ -show_chain ನಿರ್ಮಿಸಿದ ಸರಪಳಿಯನ್ನು ಮುದ್ರಿಸುತ್ತದೆ, ಇದು ಮಾರ್ಗವು ನೀವು ಉದ್ದೇಶಿಸಿದುದೇ ಎಂದು ಖಚಿತಪಡಿಸಲು ಉಪಯುಕ್ತವಾಗಿದೆ. ಅದು ವಿಫಲವಾದಾಗ, ವರದಿಯಾದ ಆಳ ಮತ್ತು ವಿಷಯವನ್ನು ಇರಿಸಿಕೊಳ್ಳಿ; ಆ ಎರಡು ಕ್ಷೇತ್ರಗಳು ಮುಂದಿನ ಓದುಗರಿಗೆ ಯಾವ ಪ್ರಮಾಣಪತ್ರವನ್ನು ಪರೀಕ್ಷಿಸಬೇಕೆಂದು ಹೇಳುತ್ತವೆ.

ಇದು ಮಾಡದಿರುವುದು ಪ್ರತಿ ಕ್ಲೈಂಟ್ನ ನೀತಿಯನ್ನು ಪುನರುತ್ಪಾದಿಸುವುದು. ಪಿನ್, ಉದ್ದೇಶ ನಿರ್ಬಂಧ ಅಥವಾ ಕ್ಲೈಂಟ್-ನಿರ್ದಿಷ್ಟ ಗುರುತು ಪರಿಶೀಲನೆ ಕ್ಲೈಂಟ್ನಲ್ಲಿ ಇರುತ್ತದೆ, ಈ ಆಜ್ಞೆಯಲ್ಲಿ ಅಲ್ಲ. ಸರ್ವರ್ನಲ್ಲಿ ಪರಿಶೀಲನೆ ಉತ್ತೀರ್ಣವಾಗಿ ಸಂಪರ್ಕವು ಇನ್ನೂ ವಿಫಲವಾದಾಗ ಪರಿಶೀಲಿಸಬೇಕಾದ ಸೆಟ್ಟಿಂಗ್ಗಳು ಅವು. ಎರಡು ನಿರ್ಣಯಗಳನ್ನು ಪ್ರತ್ಯೇಕವಾಗಿಡಿ, ಇಲ್ಲದಿದ್ದರೆ ಪಿನ್ನಿಂಗ್ ದೋಷವನ್ನು ಬೆನ್ನಟ್ಟುತ್ತಾ ಆರೋಗ್ಯಕರ ಪ್ರಮಾಣಪತ್ರವನ್ನು ನವೀಕರಿಸುತ್ತೀರಿ.

ಪರಿಶೀಲನೆ ಏನನ್ನು ಸಾಬೀತುಪಡಿಸುತ್ತದೆ ಮತ್ತು ಏನನ್ನು ಬಿಟ್ಟುಬಿಡುತ್ತದೆ

ಇದು ನೀವು ಒದಗಿಸಿದ ನಂಬಿಕೆ ಕಡತದ ವಿರುದ್ಧ ಮಾರ್ಗ ಮತ್ತು ಉದ್ದೇಶದ ಪರಿಶೀಲನೆ. HTTPS ಹೆಸರಿನ ಪರಿಶೀಲನೆಗೆ ಸೂಕ್ತ ಆಯ್ಕೆಯ ಮೂಲಕ ನಿರೀಕ್ಷಿತ ಹೋಸ್ಟ್ನಾಮ್ ಸೇರಿಸಿ; VPN ಸಂಪರ್ಕಕ್ಕೆ ಕ್ಲೈಂಟ್ನ ಸಂರಚಿತ ಗುರುತು ಪರಿಶೀಲನೆಗಳನ್ನು ಇರಿಸಿಕೊಂಡು ಆ ಕ್ಲೈಂಟ್ ನಿಜವಾಗಿ ಓದುವ ನಂಬಿಕೆ ಸಾಮಗ್ರಿಯನ್ನು ಬಳಸಿ.

ಸರ್ವರ್ ಕಳುಹಿಸುವುದು ಅಭ್ಯರ್ಥಿಗಳ ಗುಂಪು, ನಿಮ್ಮ ಕ್ಲೈಂಟ್ ಕೊನೆಗೆ ನಿರ್ಮಿಸುವ ಮಾರ್ಗವಲ್ಲ. ಸ್ಥಳೀಯ ನಂಬಿಕೆ ಮತ್ತು ಗ್ರಂಥಾಲಯದ ನಿರ್ಮಾಣ ನಿಯಮಗಳು ಎರಡೂ ಫಲಿತಾಂಶವನ್ನು ರೂಪಿಸುತ್ತವೆ, ಆದ್ದರಿಂದ ಅದೇ ಪ್ರತಿಕ್ರಿಯೆ ಒಂದು ಯಂತ್ರದಲ್ಲಿ ಪರಿಶೀಲನೆಯಾಗಿ ಇನ್ನೊಂದರಲ್ಲಿ ವಿಫಲವಾಗಬಹುದು. ಒಂದೇ ರೀತಿಯ ಮೌಲ್ಯಮಾಪನ ಎಂದು ಊಹಿಸುವ ಮೊದಲು ವಿಫಲವಾಗುವ ಕ್ಲೈಂಟ್ನ ನಿರ್ವಹಿತ ನಂಬಿಕೆ ಸಂಗ್ರಹ ಮತ್ತು TLS ಅನುಷ್ಠಾನವನ್ನು ಕಾರ್ಯನಿರ್ವಹಿಸುವ ಕ್ಲೈಂಟ್ನೊಂದಿಗೆ ಹೋಲಿಸಿ. ಅಲ್ಲಿನ ವ್ಯತ್ಯಾಸವು „ಈ ಲ್ಯಾಪ್ಟಾಪ್ ಮಾತ್ರ ವಿಫಲವಾಗುತ್ತದೆ“ ಎಂಬ ಅನೇಕ ವರದಿಗಳನ್ನು ವಿವರಿಸುತ್ತದೆ.

ಪ್ರತಿ ಪ್ರಮಾಣಪತ್ರದ ಕಿಟಕಿಯನ್ನು ಒಂದೊಂದಾಗಿ ಬದಲು ಗುಂಪಾಗಿ ನೋಡಲು, ಅವುಗಳನ್ನು ಹೀಗೆ ಮುದ್ರಿಸಿ:

$ openssl x509 -in server.pem -noout -subject -dates
$ openssl crl2pkcs7 -nocrl -certfile intermediates.pem \
    | openssl pkcs7 -print_certs -noout

ಆ ಎರಡನೇ ಆಜ್ಞೆ ಪ್ರತಿ ಕಡತವನ್ನು ಕೈಯಿಂದ ಡಿಕೋಡ್ ಮಾಡದೆ ವಿಷಯಗಳು ಮತ್ತು ನೀಡುವವರನ್ನು ಪಟ್ಟಿ ಮಾಡುತ್ತದೆ, ಹೀಗೆ ಲೀಫ್ ಇನ್ನೂ ಚೆನ್ನಾಗಿ ಕಾಣುತ್ತಿರುವಾಗ ದಿನಾಂಕ ಮೀರಿದ ಮಧ್ಯಂತರ ಪ್ರಮಾಣಪತ್ರವನ್ನು ಗುರುತಿಸುತ್ತೀರಿ.

ಪರಿಶೀಲನೆಯನ್ನು ದುರ್ಬಲಗೊಳಿಸದೆ ಮಾರ್ಗವನ್ನು ಸರಿಪಡಿಸಿ

ಅವಧಿ ಮುಗಿದ ಮಧ್ಯಂತರ ಅಥವಾ ಹಳೆಯ ಅಡ್ಡ-ಸಹಿ ಪ್ರಮಾಣಪತ್ರವನ್ನು ಒದಗಿಸಿದಾಗ, ನೀಡುವವರ ಪ್ರಸ್ತುತ ಬೆಂಬಲಿತ ಸರಪಳಿಯನ್ನು ಪಡೆದು ಸೇವೆಯ ದಾಖಲಿತ ಪ್ರಮಾಣಪತ್ರ ಕಾರ್ಯಪ್ರವಾಹದ ಮೂಲಕ ನಿಯೋಜಿಸಿ. ಕ್ಲೈಂಟ್ಗೆ ಉದ್ದೇಶಿತ ನಿರ್ವಹಿತ ಆಂಕರ್ ಇಲ್ಲದಿದ್ದರೆ, ಅದರ ನಿರ್ವಹಿತ ನಂಬಿಕೆ ಸಂರಚನೆ ಅಥವಾ ಕ್ಲೈಂಟ್ ತಂತ್ರಾಂಶವನ್ನು ನವೀಕರಿಸಿ. ಸಂದೇಶವನ್ನು ಸದ್ದುಮಾಡದಂತೆ ಮಾಡಲು ಬಂಡಲ್ನ ಪ್ರತಿ ಪ್ರಮಾಣಪತ್ರವನ್ನು ಮೂಲ ಎಂದು ಗುರುತಿಸುವ ಶಾರ್ಟ್ಕಟ್ ಅನ್ನು ವಿರೋಧಿಸಿ.

ಮೂಲ ನಿರ್ವಹಣೆಗೆ ಒಂದು ಟಿಪ್ಪಣಿ ಅಗತ್ಯ, ಏಕೆಂದರೆ ಸಾರಾಂಶಗಳು ಅದನ್ನು ಹೆಚ್ಚಾಗಿ ಉತ್ಪ್ರೇಕ್ಷಿಸುತ್ತವೆ. RFC 5280 ಆಂಕರ್ ಅನ್ನು ಮುಂದಿನ ಮಾರ್ಗದ ಹೊರಗಿರುವ ಇನ್ಪುಟ್ ಎಂದು ಪರಿಗಣಿಸುತ್ತದೆ, ಆದರೆ OpenSSL ತನ್ನ ಮೂಲ CA ಪ್ರಮಾಣಪತ್ರವನ್ನು ಒಳಗೊಂಡ ಮಾನ್ಯತಾ ಪರಿಶೀಲನೆಗಳನ್ನು ದಾಖಲಿಸುತ್ತದೆ. ಎರಡೂ ಹೇಳಿಕೆಗಳು ತಮ್ಮದೇ ವ್ಯವಸ್ಥೆಗಳಿಗೆ ನಿಜ; ಒಂದು ಗ್ರಂಥಾಲಯದ ಮೂಲ-ಅವಧಿ ವರ್ತನೆಯನ್ನು ಪ್ರತಿ ಕ್ಲೈಂಟ್ಗೆ ಸಾಮಾನ್ಯೀಕರಿಸುವುದು ಆತ್ಮವಿಶ್ವಾಸದ ತಪ್ಪು ಉತ್ತರಗಳನ್ನು ನೀಡುತ್ತದೆ.

ಬದಲಾವಣೆಯ ನಂತರ, ಪೀಡಿತ ಕ್ಲೈಂಟ್ನಲ್ಲಿ ಹೊಸ ದೃಢೀಕರಣವನ್ನು ಒತ್ತಾಯಿಸಿ ಮತ್ತು ನಿರ್ದಿಷ್ಟ ಅವಧಿ ಮುಗಿದ ಸಂದೇಶ ಹೋಗಿದೆ ಎಂದು ಖಚಿತಪಡಿಸಿ. ಲೀಫ್ ಸ್ವತಃ ಅನುಚಿತವಾಗಿದ್ದರೆ ಮಾತ್ರ ಲೀಫ್ ಅನ್ನು ನವೀಕರಿಸಿ. ಸಮಯ ಪರಿಶೀಲನೆಗಳನ್ನು ನಿಷ್ಕ್ರಿಯಗೊಳಿಸುವುದು ಅಥವಾ ಐತಿಹಾಸಿಕ ಅಡ್ಡ-ಪ್ರಮಾಣಪತ್ರವನ್ನು ಮರುಸ್ಥಾಪಿಸುವುದು ಮಾನ್ಯ ಪ್ರಸ್ತುತ ಮಾರ್ಗವನ್ನು ಉತ್ಪಾದಿಸುವುದಿಲ್ಲ; ಅದು ಮುಂದಿನ ವೈಫಲ್ಯವನ್ನು ಮುಂದೂಡುತ್ತದೆ ಅಷ್ಟೇ.