ca md too weak: сертификатты кайра чыгаруу керекпи же деңгээлди төмөндөтүү керекпи?

OpenVPN кардары өткөн айда иштеп, азыр иштетилгенде ca md too weak катасы менен ишке ашпайт, ал эми дисктеги профиль иштеген нерсе менен байт-байт бирдей. Билдирүү сертификат органынын сертификатындагы кол тамга жөнүндө, маалымат шифри, auth дайджести же эсептин сырсөзү жөнүндө эмес. Үч шарт чечимдин жаңы идентификациялык материал, жаңы чынжыр же атайын саясат өзгөртүү экенин аныктайт. Аларды ирети менен аткарыңыз, ошондо хосттогу ар бир TLS байланышын алсыратуу менен туннелди кайтаруунун кадимки натыйжасынан качасыз.

Ката чындыгында эмнени атайт

OpenSSL бул текшерүү катасын чынжыр куруу учурунда көтөрөт, эгер CA катары иштеген сертификат китепкананын коопсуздук деңгээли эми кабыл албаган кол тамга дайджестин алып жүрсө. MD5 демейки деңгээлде четке кагылат, ал эми SHA-1 деңгээлди көтөргөндө четке кагылат. Бул жерде акыркы сертификаттын дайджести ага кол койгон чыгаруучунун дайджестинен маанилүү эмес. Ошол эле саясат чыгарылган күнү толук кадимки болгон тамырды да четке кагышы мүмкүн.

Ошондуктан auth же data-ciphers оңдоо бул бузулууга эч нерсе бербейт. Ал параметрлер кол кармашуудан кийин пакеттер кантип корголорун жөнгө салат, ал эми четке кагылган объект туннел пайда болгонго чейин текшерилүүчү идентификациялык документ. Сертификат өзүнүн жарактуулук терезесинде бейпил отуруп, ошентсе да китепкана кабыл албаган кол тамганы алып жүрүшү мүмкүн.

Текшерүүлөрдү ойдо өзүнчө кармаңыз, ошондо ката сырдуу көрүнбөй калат. Жарактуулук даталары, ачкычты колдонуу жана кол тамга дайджести көз карандысыз сыноолор, жана алардын так бири эми эле ишке ашпай калды.

Биринчи шарт: четке кагылган объект тамырбы?

Профилдеги ар бир сертификатты басып чыгарып, subject жана issuer талааларын окуңуз. Өзүнө кол койгон тамыр экөөндө тең бирдей маанини көрсөтөт, ал эми анын кол тамга алгоритми бүт чынжыр таянган нерсе. Алсыз дайджест ошол жерде болсо, анын астындагы ар бир жалбырак маселени мурастайт. Кийинки салыштыруу эстен эмес, механикалык болушу үчүн алгоритмди subject жанына жазып коюңуз.

Бириктирилген CA файлдары көп учурда бир нече блокту камтыйт, ошондуктан биринчиси күнөөлүү деп ойлобостон, чындап жүктөлгөн блокту аныктаңыз. openssl x509 -in ca.pem -noout -subject -issuer -text буйругу бир убакта бир сертификатты сүрөттөйт, демек топтомдо көбүрөөк болсо, адегенде аны бөлүү керек. Басып чыгарылган кол тамга алгоритмин тамыр жаралган доордон күткөн дайджестиңиз менен салыштырыңыз.

Алсыз тамырдын астында SHA-256 менен кол коюлган жалбырак да ишке ашпайт, анткени чынжыр текшерүү жогору чейин жүрөт. Так ушул ирет кийинки шартты маанилүү кылат.

Экинчи шарт: чыгаруучуну көзөмөлдөйсүзбү?

Эгер тамыр уюмуңузга таандык болсо, туруктуу чечим — заманбап дайджести бар жаңы тамыр жана кайра чыгарылган жалбырактар, бир профиль жаңыртуусу катары берилет. Бул тейлөө терезесин жана жаңыртууну ошол эле күнү ала албаган түзмөктөр үчүн планды талап кылат.

Эгер чынжырды үчүнчү тарап чыгарса, чечим — ошол операторго суроо, ал эми жергиликтүү пайдалуу жалгыз аракет эски материалга таянууну токтотуу. PEM текстин оңдоо же файлды кайра сактоо кол тамга камтыган эч нерсени өзгөртпөйт.

Бир аралык учур атка татыктуу: азыркы демейкилерден эски, бирок башка тутумдар ишенген материалга дагы кол койгон ички тамыр. Аны алмаштыруу ар бир керектөөчүнү, анын ичинде эски сертификатты манжа изи менен бекиткен түзмөктөрдү текшерүүнү билдирет. Өзгөртүүнү пландаштыруудан мурун ошол керектөөчүлөрдү санаңыз, анткени бирөөнү өткөрүп жиберген тамыр алмаштыруу иштетүү катасын тыныгуу менен алмаштырат.

Үчүнчү шарт: деңгээлди төмөндөтүү дагы эмнени кабыл алат

Коопсуздук деңгээлин төмөндөтүү же OpenVPNдин эски сертификат профилин тандоо кардарга эски дайджести кайра кабыл алууга жол берет. Ал ошондой эле ошол китепкананын башка текшерүүлөрүн, ал процесс түзгөн ар бир байланыш үчүн бошотот.

Бул лабораторияда же алмаштыруучу материал даярдалып жатканда кыска көпүрө катары акталбашы мүмкүн эмес, эгер өзгөчөлүк бир профиль менен чектелип, аяктоо күнү болсо. Жалпы хосттогу туруктуу параметр катары ал ал жердеги ар бир TLS кардары эмнеге ишенерин унчукпай кеңейтет.

Өзгөчөлүктү ээси жана алып салуу кадамы менен жазып коюңуз. Документтелбеген деңгээл өзгөрүүсүн жарым жылдан кийин катадан ажыратуу мүмкүн эмес, ал эми кийинки инженер анын бир убакта чечим болгонун билбейт.

Чечим, эреже катары жазылган

Чыгаруучуну көзөмөлдөп, анын керектөөчүлөрүн санай алсаңыз, чынжырды алмаштырыңыз. Албасаңыз, чыгаруучуга кайрылыңыз. Деңгээлди гана датасы коюлган, чектелген өзгөчөлүк катары жана алмаштыруу мурун эле пландалган абалда төмөндөтүңүз. Калгандын баары ошол эле сертификатты ордунда калтырып, тобокелдикти азыраак көрүнгөн жерге жылдырат.

Андан кийин профилди таза кардардан кайра сынап, кол кармашуу аягына чыгарын ырастаңыз, ал эми дагы эле ишке ашпаса, баш тартуунун так текстин сактап коюңуз. Так ката билдирүүсү — кийинки катмардын ээсине бере ала турган эң арзан нерсе.