openssl ca: index.txt ичиндеги жараксыз бүтүү күнү жана аны кантип оңдоо керек

Чыгаруу жүрүшү мында токтойт: entry 22: invalid expiry date, ал эми алдыңыздагы сурам толугу менен туура. Даттануу CA маалымат базасынын талдоочусунан келет, CSRден да, сертификатты акырында көрсөтө турган VPN кардарынан да эмес. Ушул айырма кийинкинин баарын аныктайт: жазуу бузулган, ошондуктан оңдоо CA абалына таандык, сурамга же өнөктөш конфигурациясына эмес. Номерленген жазууну index.txt ичиндеги сап катары караңыз, ошондо маселе текшерилүүчү жообу бар чектелген маалымат суроосуна чейин кичирейет.

Катаны маалымат базасы тууралуу даттануу катары окуңуз

Ар бир openssl ca чакыруу бир нерсеге кол коюудан мурун өзүнүн тексттик базасын аралайт. Ар бир сапта статус тамгасы, бүтүү убакыт белгиси, милдеттүү эмес жокко чыгаруу белгиси, он алтылык системадагы сериялык номер, файл аты жана субъект болот. Бир талаа талданбаса, буйрук саптын номерин билдирип, жазуунун калганын болжолдоонун ордуна токтойт.

Бул токтоо педанттык эмес, коргоочу. Курал окуй албаган жазуу аны суралган субъект мурунтан барбы, сериялык номер берилдиби, же кийинки CRL эмнени камтышы керекпи — аны чечүүгө жөндөмсүз калтырат. Бузук саптан өтүп кетүү так ошол айлардан кийин, адатта эч ким түшүндүрө албаган жокко чыгаруу учурунда бетке чыккан тынч шайкешсиздикти жаратат эле. Билдирүүнү маалыматтар тууралуу даттануу катары окуңуз, тергөө CA папкасынын ичинде калат.

Бир нерсеге тийиштин мурун CA абалынын көчүрмөсүн жасаңыз

Бүт CA папкасынын сүрөтүн тартыңыз, маалымат базасынын файлын гана эмес. Индекс, анын атрибут файлы, сериялык жана CRL номеринин файлдары, жеке ачкыч жана чыгарылган сертификаттар баары кийинки операцияларга катышат, ал эми бирөөнү калыбына келтирип, калганын калтырган оңдоо экинчи окуяны жаратат. Бар жерде CAнын өзүнүн камдык көчүрмө жол-жобосун колдонуңуз жана иш учурунда пландалган чыгарууну токтотуңуз.

Ийгиликсиз буйрук чындыгында жүктөгөн OpenSSL курулушун жана конфигурация файлын жазып коюңуз. Орнотуулар көбүнчө бирден ашык CA папкасын сактайт, ал эми ката тандалган конфигурация атаган маалымат базасына гана карата мааниге ээ.

Жазууну табыңыз жана анын күн талаасын декоддоп бериңиз

Билдирилген сап номери биринчи жазуудан баштап эсептелет, ошондуктан sed -n '22p' index.txt анын үстүндө бош же комментарий саптары жок экенин тастыктагандан кийин көйгөйлүү жазууга түз түшөт. Ошол сапты көрүнүктүү бөлгүчтөр менен басып чыгарыңыз, анткени табуляциялар жана аягындагы боштуктар көп кездешет жана жөнөкөй редактор терезесинде көрүнбөйт.

Бүтүү талаасы — туурасы жылга көз каранды болгон убакыт белгиси. 2049-жылга чейинки маанилер UTCTime форматында YYMMDDHHMMSSZ түрүндө жазылат, ал эми кийинки маанилер төрт орундуу жыл менен GeneralizedTime ге өтөт. Эки форманы аралаштырган, же талдоочу азыр төрт орун күткөн жерде эки орундуу жылды алып жүргөн жазуу так ушул жерде ийгиликсиз болот. Үзүлгөн жазуудан калган кыркылган талаа да ошондой.

Жазууну башка CAнын файлы менен эмес, ал шилтеме кылган сертификат менен салыштырыңыз. Кол коюлган сертификат — жарактуулук эмнени айтышы керектиги боюнча бийлик, жана ал мурун эле талдоого боло турган объект катары бар.

Жазууну кол коюлган сертификатка ылайык оңдоңуз

Чыныгы күндөрдү мындай буйрук менен окуңуз: openssl x509 -in issued.pem -noout -dates -serial -subject. Төмөнкүнү айландырыңыз: notAfter маанисин сиздин курулушуңуз ошол жыл үчүн жаза турган белги туурасына келтириңиз жана бир белгини өзгөртүүдөн мурун сериялык номер редакциялай турган жазууга дал келерин тастыктаңыз.

Бузулган талааны гана оңдоп, статус тамгасын жана сериялык номерин сактап, саптын калганын тийбеңиз. Эгер жазууну эч кандай кол коюлган сертификат менен шайкештештирүү мүмкүн болбосо, аны адашкан жазуу деп карап, сапты кол менен өчүрүүнүн ордуна CAнын өзүнүн жокко чыгаруу жолу менен чыгарыңыз.

Жыл тууралуу божомолго ылайыкташтыруу үчүн күндү кыскартып оңдобоңуз. Эки белгилүү кыркым курулуштардын ортосунда ташылып барбайт жана маалымат базасынын келечектеги кайталанган субъект жана CRL текшерүүлөрүнө билдире турган жарактуулугун тынч өзгөртөт. Баштапкы маанини калыбына келтирүү мүмкүн болбосо, жаңы сериялык номер менен кайра чыгарыңыз жана эскиси эмне үчүн ташталаганын жазыңыз. Аудит изи — оңдоонун бөлүгү, анын айланасындагы кагаз иштери эмес.

Кетер алдында чыгарууну жана CRL жаратууну текшериңиз

Ошол эле конфигурация менен бир чыгаруу жүргүзүп, анын сап номери тууралуу даттануусуз бүтөөрүн тастыктаңыз. Анан openssl ca -gencrl -config openssl.cnf менен CRL жаратып, анын талданаарын текшериңиз, анткени бузулган жазуу көбүнчө кол коюу учурунда эмес, так ошол жерде бетке чыгат.

Жаңы сертификатты мындай буйрук менен карап чыгыңыз: openssl x509 -noout -dates -serial жана аны CA жаңы эле жазган сап менен салыштырыңыз. Статус тамгасы жана бүтүү күнү сертификатка дал келерин, ошондой эле openssl verify -CAfile ca.pem issued.pem катасыз кайтарын тастыктаңыз. Анан пландалган чыгарууну калыбына келтирип, биринчи жүрүштү байкаңыз, анткени экинчи бузулган сап өзүн дароо жарыялайт.