колдоого алынбаган сертификаттын максаты: эмне үчүн ортолук CA ийгиликсиз болот

Сервердин сертификатынын максаты туура көрүнөт, ачкыч дал келет, күндөрү жайында, бирок байланыш unsupported certificate purpose катасы менен ийгиликсиз бүтөт. Муну чечкен деталь адатта ката менен бир сапта болот: тереңдик мааниси жана чынжырда жогору турган сертификатты атаган subject. Эки башка тест жүргүзүлөт жана алардын бирөө гана акыркы сертификатка тиешелүү. Аларды салыштыруу сервердин сертификатын алмаштыруу эмне үчүн эч нерсени өзгөртпөй турганын түшүндүрөт.

Текшерүүчү кайсы сертификатты чындап четке какты

Чынжыр — үч жолу кайталанган бир объект эмес. Акыркы сертификат сервердин атын жана ачкычын алып жүрөт, ортолук сертификаттар аны тамырга байланыштырат, жана ар биринин өзүнүн жарактуулук мөөнөтү, чектөөлөрү жана колдонуулары бар. Ката тереңдикти атаганда, бул сан текшерүүчү түзгөн чынжырдагы орунду белгилейт жана сервер күтүлбөгөн чынжыр жөнөтсө, бул сиз күткөн орун болбошу мүмкүн.

Ошол тереңдиктеги сертификаттын талааларын окуңуз, күнөөлүү деп ойлогон сертификаттын эмес. Бардык талааларды төгүүнүн ордуна чыгарууну чектеген эки кеңейтүүнү сураңыз, анткени жооп дээрлик дайыма алардын биринде болот. Кеңейтүүлөрдүн чыгарылышын бөлүшүү коопсуз; жеке ачкычтарды эч качан.

openssl x509 -in issuing-ca.pem -noout -subject -issuer -ext basicConstraints -ext extendedKeyUsage

Эгер аталган сертификат ортолук сертификат болуп, анын кеңейтилген ачкыч колдонулушу TLS серверин аныктоого тиешеси жок нерсени атаса, калган ийгиликсиздик механикалык түрдө келет. Чынжырды OpenVPN сураган максат үчүн колдонууга болбойт.

Акыркы сертификаттын максаты жана чынжырдын саясаты — эки тест

Акыркы сертификаттын тести тар суроо берет: бул акыркы субъекттин сертификаты ушул ат үчүн серверди аныктоого уруксат береби? Чынжырдын тести кененирээк суроо берет: жолдогу ар бир сертификат ошол максатка кызмат кыла алабы? Клиенттик сертификаттарды гана чыгарууга укуктуу сертификат органы өзүнүн кол тамга текшерүүлөрүнөн өтөт жана баары бир экинчи тесттен өтпөйт, анткени ал уруксат берген жол колдонмого керектүү максатты камтыбайт. Эки тест тең бирдей сөздөр менен ийгиликсиз болот жана таптакыр башка оңдоолору бар.

Ошондуктан көрүнүүчү ар бир талаасы туура болгон жаңы чыгарылган акыркы сертификат дароо ийгиликсиз болушу мүмкүн. Ошондуктан оңдоо адатта VPN конфигурациясына эмес, чыгаруучу органдын профилине таандык.

Жок EKU чектөөчү EKU эмес

RFC 5280 кеңейтилген ачкыч колдонуу кеңейтүүсүн милдеттүү эмес кылат жана ал бар болгондо чектөөчү болот. Ошондуктан кеңейтүүсүз CA сертификаты серверди аныктоого «жок» деп айткан эмес, ал эми тек тиешеси жок максатты тизмелеген сертификат абдан конкреттүү нерсе айткан. Бул эки абалды барабар деп эсептөө туура эмес диагноз жана андан жаманы туура эмес оңдоо берет. Айырма консолдо окшош көрүнгөн эки органдын чынжырда эмне үчүн таптакыр башкача аракет кылаарын да түшүндүрөт.

Китепканалардын жүрүм-туруму да бул жерде бирдей эмес. OpenSSLдин текшерүү параметрлери тууралуу документи CA сертификаттарындагы максат текшерүүлөрүнө өзүнүн мамилесин сүрөттөйт жана бул мамиле ишке ашыруу саясаты, ал эми ар бир TLS стек бирдей ээрчиген эреже эмес. Текшерүүчүңүз эмне кылаарын сүрөттөп, анан аны чындап иштетип жаткан версияңыз менен ырастаңыз.

Кайра чыгаруудан мурун ийгиликсиздикти офлайн кайталаңыз

Офлайн текшерүү колдонмону теңдемеден алып салат. Эгер чынжыр ошол эле максат астында ушундай эле ийгиликсиз болсо, маселе сертификатта жана эч бир сервер конфигурациясы аны жашыра албайт. Эгер чынжыр офлайн өтүп, кызмат дагы баш тартса, колдонмо башка максат сурап жатат же сиз текшергенден башка чынжырды колдонуп жатат.

openssl verify -purpose sslserver -show_chain -CAfile root-ca.pem -untrusted issuing-ca.pem vpn-server.pem

-show_chain маанилүү, анткени курал курган жолду басып чыгарат, ал көбүнчө сиз берген файлдардын тартиби эмес. Бул чыгарылыш экинчи ортолук сертификат ишеним кампасынан тартылып жатканын, сервер сиз көздөбөгөн кросс-кол коюлган вариантты жөнөтүп жатканын же окуу китебинен көчүрүлгөн максат туусу кызмат көрсөтүлүп жаткан ролдон башка ролго таандык экенин табуунун эң тез жолу.

Чыгаруу саясатын оңдоңуз, текшерүү чакырыгын эмес

Туруктуу оңдоо — кызмат кылууга тийиш максаттарга уруксат берген саясат боюнча чыгарылган ортолук сертификат, чектөө жазылып, каралып чыккан. Ар бир органга ар бир максатты кошуу саясат эмес; ал кеңейтүүгө маани берген чектөөнү алып салат жана адатта аны жараткан окуядан узак жашайт. Профилдеги орган кайсы ролдорду күбөлөндүрө аларын сүрөттөгөн кыска жазуу кийинки кайра чыгаруунун ошол эле талаш-тартышты кайталашына жол бербейт.

Текшерүүнү өчүрүү — экинчи азгыруучу кыска жол жана ал сертификат маселесин ишеним маселесине айландырат. Максат текшерүүсүн ордунда калтырыңыз, чынжырды оңдоңуз жана кызматка кайра тийүүдөн мурун жол азыр көздөлгөн ролго кызмат кылаарын ырастоо үчүн ошол эле офлайн текшерүүнү кайра иштетиңиз.