ca md too weak: сертификатыг дахин олгох уу, түвшинг буулгах уу?

OpenVPN клиент өнгөрсөн сар ажиллаж байсан бол одоо эхлэх үед дараах алдаатай бүтэлгүйтэж байна: ca md too weak, харин диск дээрх профайл ажиллаж байсан хувилбартай байт байтаар ижил. Мессеж нь сертификатын байгууллагын сертификатын гарын үсгийн тухай, өгөгдлийн шифр, auth дижест эсвэл бүртгэлийн нууц үгийн тухай биш. Гурван нөхцөл шийдэл нь шинэ таних материал, шинэ гинж эсвэл санаатай бодлогын өөрчлөлт эсэхийг тодорхойлно. Тэдгээрийг дарааллаар нь хийвэл хост дээрх бүх TLS холболтыг сулруулж туннелийг буцаах ердийн үр дүнгээс зайлсхийх болно.

Алдаа үнэндээ юуг нэрлэж байна

OpenSSL энэ баталгаажуулалтын алдааг гинж байгуулах үед гаргадаг, CA-гийн үүрэг гүйцэтгэж буй сертификат нь номын сангийн аюулгүй байдлын түвшин хүлээн зөвшөөрөхөө болиулсан гарын үсгийн дижестийг агуулж байвал. MD5 анхдагч түвшинд татгалзагдана, SHA-1 түвшинг өсгөмөгц татгалзагдана. Энд навч сертификатын дижест нь түүнд гарын үсэг зурж буй олгогчийн дижестээс бага ач холбогдолтой. Мөн адил бодлого нь олгогдсон өдрөө бүрэн энгийн байсан үндсийг ч татгалзаж болно.

Тиймээс auth эсвэл data-ciphers засах нь энэ алдаанд юу ч өгөхгүй. Тэдгээр тохиргоо нь гар барилдсаны дараа пакетыг хэрхэн хамгаалахыг зохицуулдаг бол татгалзсан объект нь туннель үүсэхээс өмнө шалгагддаг таних бичиг юм. Сертификат хүчинтэй хугацааныхаа дотор тав тухтай байрлаж байгаад ч номын сан хүлээн авахгүй гарын үсэг агуулж болно.

Шалгалтуудыг оюундаа тус тусад нь барь, тэгвэл алдаа нууцлаг харагдахаа болино. Хүчинтэй хугацаа, түлхүүрийн хэрэглээ болон гарын үсгийн дижест нь бие даасан шалгалт бөгөөд яг нэг нь дөнгөж сая бүтэлгүйтлээ.

Нэгдүгээр нөхцөл: татгалзсан объект үндэс мөн үү?

Профайл дахь сертификат бүрийг хэвлэж, subject болон issuer талбарыг унш. Өөртөө гарын үсэг зурсан үндэс хоёуланд нь ижил утгыг харуулах ба түүний гарын үсгийн алгоритм нь бүх гинжийг тэтгэдэг. Сул дижест тэнд байвал түүний доорх навч бүр асуудлыг өвлөнө. Дараагийн харьцуулалт санаанаас биш механик байхын тулд алгоритмыг subject-ийн хажууд бич.

Нэгтгэсэн CA файлууд ихэвчлэн хэд хэдэн блок агуулдаг тул эхнийх нь буруутан гэж таамаглахын оронд бодитоор ачаалагдаж буй блокийг тодорхойл. Команд openssl x509 -in ca.pem -noout -subject -issuer -text нэг удаад нэг сертификатыг дүрсэлдэг, өөрөөр хэлбэл багцад илүү олон байвал эхлээд хуваах хэрэгтэй. Хэвлэсэн гарын үсгийн алгоритмыг үндэс үүссэн үеэс хүлээж буй дижесттэй харьцуул.

Сул үндэс дор SHA-256-аар гарын үсэг зурсан навч ч бүтэлгүйтсээр байна, учир нь гинжийн шалгалт хамгийн дээд хүртэл явдаг. Яг энэ дараалал дараагийн нөхцлийг чухал болгодог.

Хоёрдугаар нөхцөл: олгогчийг та хянаж байна уу?

Хэрэв үндэс танай байгууллагынх бол бат бөх шийдэл нь орчин үеийн дижесттэй шинэ үндэс ба дахин олгосон навчууд бөгөөд нэг профайлын шинэчлэлт хэлбэрээр хүргэгдэнэ. Энэ нь засвар үйлчилгээний цонх болон шинэчлэлтийг тухайн өдөр нь хүлээж авах боломжгүй төхөөрөмжүүдийн төлөвлөгөөг шаардана.

Хэрэв гинжийг гуравдагч тал олгосон бол шийдэл нь тэр операторт хүсэлт гаргах бөгөөд орон нутгийн цорын ганц ашигтай үйлдэл нь хуучин материалд найдахыг зогсоох юм. PEM текстийг засах эсвэл файлыг дахин хадгалах нь гарын үсгийн хамрах зүйлд юу ч өөрчлөхгүй.

Нэг завсрын тохиолдол нэрлэх ёстой: одоогийн анхдагчаас хуучин боловч бусад системд итгэгддэг материалд гарын үсэг зурсаар байгаа дотоод үндэс. Түүнийг солих нь бүх хэрэглэгчийг, тэр дундаа хуучин сертификатыг хурууны хээгээр бэхэлдэг төхөөрөмжүүдийг аудитлахыг хэлнэ. Өөрчлөлтийг төлөвлөхөөс өмнө тэдгээр хэрэглэгчийг тоол, учир нь нэгийг нь алдсан үндэс солилт нь эхлэх алдааг тасалдалаар сольдог.

Гуравдугаар нөхцөл: түвшинг буулгах нь өөр юуг хүлээн авдаг

Аюулгүй байдлын түвшинг буулгах эсвэл OpenVPN-ийн хуучин сертификатын профайлыг сонгох нь клиентийг хуучин дижестийг дахин хүлээн авахад хүргэдэг. Мөн энэ нь нэг номын сангийн бусад шалгалтыг тэр процесс үүсгэх холболт бүрд сулруулдаг.

Зөвхөн нэг профайлд хязгаарлагдаж, дуусах хугацаатай бол лабораторид эсвэл орлуулах материал бэлтгэгдэж буй хугацаанд богино гүүр болгон энэ нь зөвтгөгдөж болно. Хамтарсан хост дээр байнгын тохиргоо болж, тэндхийн TLS клиент бүрийн итгэх зүйлийг чимээгүй өргөжүүлдэг.

Үл хамаарах зүйлийг хариуцагч болон хасах алхамтай нь бичиж тэмдэглэ. Зургаан сарын дараа баримтжуулаагүй түвшний өөрчлөлт алдаанаас ялгагдахгүй бөгөөд дараагийн инженер үүнийг хэзээ нэгэн цагт шийдвэр байсан гэдгийг мэдэхгүй.

Шийдэл, дүрэм хэлбэрээр бичихэд

Олгогчийг хянаж, түүний хэрэглэгчдийг тоолж чадвал гинжийг соль. Хянаж чадахгүй бол олгогч руу ханда. Түвшинг зөвхөн огноо, хязгаартай, орлуулах нь аль хэдийн төлөвлөгдсөн үл хамаарах зүйл болгон буулга. Бусад бүх зүйл ижил сертификатыг байранд нь үлдээж, эрсдэлийг бага харагдах газарт шилжүүлдэг.

Дараа нь профайлыг цэвэр клиентээс дахин туршиж, гар барилдаан дууссан эсэхийг баталгаажуул, дахиад бүтэлгүйтвэл татгалзлын яг текстийг хадгал. Нарийвчилсан алдааны мессеж нь дараагийн давхаргын эзэнд өгч болох хамгийн хямд зүйл юм.