net ënnerstëtzten Zertifikatszweck: firwat déi mëttel CA feelt

Den Zweck vum Serverzertifikat gesäit richteg aus, de Schlëssel passt, d'Daten sinn a Ordnung, an d'Verbindung feelt nach ëmmer mat unsupported certificate purpose. Den Detail, deen dat léist, steet meeschtens op der selwechter Linn wéi de Feeler: en Déiftewäert an e Subject, déi en Zertifikat méi héich an der Kette nennen. Et lafen zwee verschidde Tester, an nëmmen ee vun hinnen handelt vum Endzertifikat. Hire Verglach erkläert, firwat den Austausch vum Serverzertifikat näischt ännert.

Wéi en Zertifikat den Iwwerpréifer tatsächlech verworf huet

Eng Kette ass net een Objet, deen dräimol widderholl gëtt. Den Endzertifikat dréit den Numm an de Schlëssel vum Server, déi mëttel Zertifikater verbannen en mat enger Wuerzel, an all eenzel huet seng eege Gültegkeetsdauer, Aschränkungen a Gebrauch. Wann de Feeler eng Déift nennt, identifizéiert dës Zuel eng Positioun an der Kette, déi den Iwwerpréifer opgebaut huet, an dat ass vläicht net d'Positioun, déi Dir erwaart, wann de Server eng onerwaart Kette schéckt.

Liest d'Felder vum Zertifikat op därer Déift an net vum Zertifikat, vun deem Dir ugeholl hutt, et wier schëlleg. Frot déi zwou Extensiounen, déi d'Ausstellung aschränken, amplaz all Feld erauszeginn, well d'Äntwert bal ëmmer an enger vun hinnen ass. D'Ausgab vun den Extensiounen ass sécher ze deelen; privat Schlësselen ni.

openssl x509 -in issuing-ca.pem -noout -subject -issuer -ext basicConstraints -ext extendedKeyUsage

Wann dat genannt Zertifikat e mëttelt ass, deem seng erweidert Schlësselbenotzung eppes nennt, wat näischt mat TLS-Serverauthentifikatioun ze dinn huet, da follegt de Rescht vum Feeler mechanesch. D'Kette kann net fir den Zweck benotzt ginn, dee OpenVPN ugefrot huet.

Den Zweck vum Endzertifikat an d'Politik vun der Kette sinn zwee Tester

Den Test vum Endzertifikat stellt eng enk Fro: erlaabt dësen Endentitéits-Zertifikat d'Serverauthentifikatioun fir dësen Numm? Den Test vun der Kette stellt eng méi breet: däerf all Zertifikat am Wee deem Zweck déngen? Eng Zertifizéierungsautoritéit, déi nëmmen Clientzertifikater ausstelle darf, besteet seng eege Signaturkontrollen an feelt trotzdem um zweeten Test, well de Wee, deen se autoriséiert, den Zweck net enthält, deen d'Applikatioun brauch. Déi zwee Tester feelen mat deene selwechte Wierder a brauchen ganz ënnerschiddlech Reparaturen.

Dofir kann en nei ausgestellten Endzertifikat, korrekt an all sichtbarem Feld, direkt feelen. Dofir gehéiert d'Korrektur meeschtens zum Profil vun der ausstellender Autoritéit an net zur VPN-Konfiguratioun.

En EKU, deen net do ass, ass keen aschränkenden EKU

RFC 5280 mécht d'Extensioun vun der erweiderter Schlësselbenotzung optional a, wann se do ass, aschränkend. En CA-Zertifikat ouni d'Extensioun huet deemno net „nee“ zur Serverauthentifikatioun gesot, wärend een, deen nëmmen en onpassenden Zweck oplëscht, eppes ganz Spezifescht gesot huet. Déi zwou Situatiounen als gläichwäerteg ze behandelen gëtt déi falsch Diagnos an, schlëmmer, déi falsch Reparatur. Den Ënnerscheed erkläert och, firwat zwou Autoritéiten, déi an enger Konsole ähnlech ausgesinn, sech an enger Kette ganz anescht behuelen.

D'Behuele vun de Bibliothéiken ass hei och net eenheetlech. OpenSSL-Dokument iwwer d'Iwwerpréifungsoptiounen beschreift seng eege Behandlung vun den Zweckkontrollen op CA-Zertifikater, an déi Behandlung ass eng Implementatiounspolitik an net eng Regel, déi all TLS-Stapel identesch follegt. Beschreift, wat Ären Iwwerpréifer mécht, a bestätegt et dann un der Versioun, déi Dir tatsächlech lafe léisst.

Reproduzéiert de Feeler offline, ier Dir nei ausstellt

Eng Offline-Iwwerpréifung hëlt d'Applikatioun aus der Fro. Wann d'Kette dee selwechte Wee ënnert deem selwechten Zweck feelt, ass den Zertifikat de Problem an eng Serverkonfiguratioun kann et net verstoppen. Wann d'Kette offline duerchgeet, wärend den Déngscht nach ëmmer refuséiert, freet d'Applikatioun en aneren Zweck un oder benotzt eng aner Kette wéi déi, déi Dir getest hutt.

openssl verify -purpose sslserver -show_chain -CAfile root-ca.pem -untrusted issuing-ca.pem vpn-server.pem

-show_chain zielt, well et de Wee dréckt, deen den Instrument opgebaut huet, an deen ass dacks net d'Dateireiefolleg, déi Dir uginn hutt. Dës Ausgab ass de séierste Wee, erauszefannen, datt en zweet mëttelt Zertifikat aus engem Vertrauensspäicher gezu gëtt, datt de Server eng kräizsignéiert Variant schéckt, déi Dir net virgesinn hutt, oder datt de Zweckflagg, deen Dir aus engem Tutorial kopéiert hutt, zu enger anerer Roll gehéiert wéi déi, déi zerwéiert gëtt.

Korrigéiert d'Ausstellpolitik, net den Iwwerpréifungsopruff

Déi dauerhaft Reparatur ass en mëttelt Zertifikat, deen ënnert enger Politik ausgestallt gouf, déi déi Zwecker erlaabt, déi en erfëlle muss, mam Aschränkung opgeschriwwen an iwwerpréift. All Zweck zu all Autoritéit bäizesetzen ass keng Politik; et hëlt den Aschränkung ewech, deen der Extensioun Sënn ginn huet, an et iwwerlieft meeschtens den Tëschefall, deen et ausgeléist huet. Eng kuerz Notiz am Profil, déi beschreift, wéi eng Rolle d'Autoritéit zertifizéiere kann, verhënnert, datt déi nächst Neiausstellung déi selwecht Diskussioun widderhëlt.

D'Iwwerpréifung ausschalten ass déi aner verlockend Ofkierzung, an et verwandelt e Zertifikatsproblem an e Vertrauensproblem. Halt d'Zweckkontroll op der Plaz, korrigéiert d'Kette, a loosst déi selwecht Offline-Iwwerpréifung nach eng Kéier lafen, fir ze bestätegen, datt de Wee elo déi virgesinn Roll erfëllt, ier Dir den Déngscht nach eng Kéier beréiert.