Жалбырак сертификаты жарактуу, чынжыр мөөнөтү бүттү: тереңдикти окуңуз

Мөөнөтү бүтүү катасы жалбыракка эмес, чыгаруучуга таандык болушу мүмкүн. Азырынча күчүндө көрүнгөн сертификатты жаңыртканга чейин текшерүү тереңдигин жана ишеним киргизүүлөрүн окуңуз.

Сиз сервер сертификатын текшерип, саатта дагы айлар калганын көрөсүз, ал эми кардар байланышты мөөнөтү бүттү деген билдирүү менен четке кагат. Сиз окуган күн жалбыракка таандык, ал эми дат жолдун тереңирээк жериндеги нерсе жөнүндө болушу мүмкүн. Текшерүү чынжыр боюнча жүрөт, жана бул басып өтүү тандаган ар кандай сертификат өзүнүн жарактуулук терезесинде ишке ашпай калышы мүмкүн. Бир нерсени жаңыртканга чейин кайсы ишке ашпаганын окуңуз.

Тереңдик ишке ашпаган сертификатты атайт

OpenSSL диагностикасында тереңдик 0 — максаттуу сертификат, ал эми тереңдик 1 — ага кол койгон чыгаруучу, чоңураак сандар ишеним тирегине карай уланат. 1-тереңдикте билдирилген мөөнөттүн бүтүшү жалбырактагы учурдагы notAfter менен кайчылашпайт, ошондуктан көрүнгөн сертификатты кайра текшерүү катаны эч качан түшүндүрбөйт.

Ишке ашпаган сертификаттын манжа изин анын subject-и менен бирге жазып алыңыз, анткени ар кандай сертификаттар бирдей CA атын алып жүрүшү мүмкүн. Кросс-кол коюу дал ушундай кырдаалды жаратат: ошол эле орган бир нече жолу, ар башка жарактуулук даталары менен көрүнөт, жана текшерүүчү сиз күтпөгөн нерсени тандаган. Тааныш белги идентификатор эмес, ал эми манжа изи бир атты бөлүшкөн эки объектини ажыратат.

Сертификат ролу бирден көп продуктуларга да көңүл буруңуз. OpenVPN Access Server-де веб-интерфейстерди коргогон сертификаттар VPN байланыштары үчүн колдонулгандардан өзүнчө, ошондуктан админ баракчасын ачкан браузер туннелдин жолу жөнүндө эч нерсе далилдей албайт.

Ишеним киргизүүлөрү чынжыр талапкерлери менен бирдей эмес

Текшерүүчүгө эки киргизүүнү өзүнчө жана ачык бериңиз. Ишеним файлы сиз кабыл алган тиректерди кармайт; ишенилбеген топтом жолду куруу үчүн сунушталган ортоңку сертификаттарды кармайт. Аларды аралаштыруу — адамдардын байкабастан ортоңку сертификатты тамырга көтөрүп, анан эмне үчүн ошол эле ката машиналардын ортосунда аларды ээрчип жүргөнүнө таң калышы.

$ openssl verify -verbose -show_chain -purpose sslserver \
    -CAfile trusted-roots.pem -no-CApath -no-CAstore \
    -untrusted intermediates.pem server.pem

Демейки жолду жана кампаны -no-CApath -no-CAstore менен өчүрүү тестти чынчыл кармайт: натыйжа сиз атаган файлдарга көз каранды, жумуш станциясы кокустан ишенген нерсеге эмес. OpenSSL текшерүү справочниги бул опцияларды жана алар чыгарган диагностиканы документтештирет.

-show_chain текшерүү ийгиликтүү болгондо курулган чынжырды басып чыгарат, бул жол сиз ойлогон жол экендигин ырастоо үчүн пайдалуу. Ийгиликсиз болсо, билдирилген тереңдик жана subject-ти сактаңыз; бул эки талаа кийинки окуучуга кайсы сертификатты текшерүү керектигин айтат.

Бул кылбаган нерсе — ар бир кардардын саясатын кайра жаратуу. Пин, максат чектөөсү же кардарга таандык идентификация текшерүүсү кардарда жашайт, бул командада эмес. Серверде текшерүү өтүп, байланыш дагы эле ийгиликсиз болгондо текшерилүүчү жөндөөлөр — ошолор. Эки диагностиканы өзүнчө кармаңыз, болбосо пиннинг катасын кууп жүрүп, ден соолугу жакшы сертификатты жаңыртасыз.

Текшерүү эмнени далилдейт жана эмнени калтырат

Бул сиз берген ишеним файлына каршы жол жана максат текшерүүсү. HTTPS атын текшерүү үчүн күтүлгөн хост атын тиешелүү опция аркылуу кошуңуз; VPN байланышы үчүн кардардын конфигурацияланган идентификация текшерүүлөрүн сактап, ошол кардар чындап окуган ишеним материалын колдонуңуз.

Сервер жиберген нерсе — талапкерлердин жыйындысы, кардарыңыз акырында кура турган жол эмес. Жергиликтүү ишеним жана китепкананын куруу эрежелери натыйжаны калыптандырат, ошондуктан бир эле жооп бир машинада текшерилип, экинчисинде ийгиликсиз болушу мүмкүн. Бирдей баалоону болжолдоого чейин ийгиликсиз кардардын колдоого алынган ишеним кампасын жана TLS ишке ашырылышын иштеп жаткан кардардынкы менен салыштырыңыз. Ал жердеги айырма «бул ноутбукта гана ийгиликсиз болот» деген көптөгөн баяндамаларды түшүндүрөт.

Ар бир сертификаттын терезесин бирден эмес, топтом катары көрүү үчүн аларды басып чыгарыңыз:

$ openssl x509 -in server.pem -noout -subject -dates
$ openssl crl2pkcs7 -nocrl -certfile intermediates.pem \
    | openssl pkcs7 -print_certs -noout

Экинчи команда ар бир файлды кол менен декоддобостон subject-терди жана чыгаруучуларды тизмелейт, ошентип жалбырак дагы жакшы көрүнгөндө мөөнөтү өтүп кеткен ортоңку сертификатты байкайсыз.

Текшерүүнү начарлатпай жолду оңдоңуз

Мөөнөтү бүткөн ортоңку же эскирген кросс-кол коюлган сертификат берилгенде, чыгаруучунун азыркы колдоого алынган чынжырын алып, аны кызматтын документтелген сертификат иш агымы аркылуу жайгаштырыңыз. Кардарда көзделген колдоого алынган тирек жок болсо, анын башкарылуучу ишеним конфигурациясын же кардар программасын жаңыртыңыз. Билдирүүнү унчукпай коюу үчүн топтомдогу ар бир сертификатты тамыр деп белгилөө кыска жолуна каршы туруңуз.

Тамыр менен иштөө эскертүүгө татыктуу, анткени корутундулар аны көп учурда апыртышат. RFC 5280 тиректи күтүлүүчү жолдун сыртында турган киргизүү катары карайт, ал эми OpenSSL өзүнүн тамыр CA сертификатын камтыган жарактуулук текшерүүлөрүн документтештирет. Эки бекемдөө тең өз системалары үчүн туура; бир китепкананын тамыр мөөнөтүнүн бүтүү жүрүм-турумун бардык кардарларга жалпылоо ишенимдүү туура эмес жоопторду берет.

Өзгөртүүдөн кийин жабыркаган кардарда жаңы аутентификацияны мажбурлап, белгилүү мөөнөтү бүттү билдирүүсү жоголгонун ырастаңыз. Жалбырактын өзү жараксыз болсо гана жалбыракты жаңыртыңыз. Убакыт текшерүүлөрүн өчүрүү же тарыхый кросс-сертификатты калыбына келтирүү жарактуу учурдагы жолду жаратпайт; ал кийинки ийгиликсиздикти гана кечеңдетет.

Тектеш макалалар