Навчны гэрчилгээ хүчинтэй, гинжин хэлхээ хугацаа хэтэрсэн: гүнийг уншина уу

Хугацаа дууссан алдаа нь навчинд биш, нийлүүлэгчид хамаарах байж болно. Одоо ч хүчинтэй мэт харагдах гэрчилгээг шинэчлэхийн өмнө баталгаажуулалтын гүн, итгэлцлийн оролтыг уншина уу.

Та серверийн гэрчилгээг шалгаж, цаг дээр хэдэн сар үлдсэнийг харж байгаа ч клиент хугацаа дууссан гэсэн мессежтэй холболтыг үгүйсгэсээр байна. Таны уншсан огноо навчинд хамаарна, гомдол нь замын илүү гүнд байгаа зүйлийн тухай байж болно. Баталгаажуулалт гинжин хэлхээгээр явдаг бөгөөд энэ явалтаас сонгосон аливаа гэрчилгээ өөрийн хүчинтэй байдлын цонхонд бүтэлгүйтэж болно. Ямар нэг зүйлийг шинэчлэхийн өмнө аль нь бүтэлгүйтсэнийг уншина уу.

Гүн нь бүтэлгүйтсэн гэрчилгээг нэрлэнэ

OpenSSL оношилгоонд гүн 0 нь зорилтот гэрчилгээ, гүн 1 нь түүнд гарын үсэг зурсан нийлүүлэгч бөгөөд илүү том тоо нь итгэлцлийн зангуу руу үргэлжилнэ. Гүн 1 дээр мэдээлсэн хугацаа дуусах нь навчны одоогийн notAfter-тэй зөрчилдөхгүй тул харагдах гэрчилгээг дахин шалгах нь алдааг хэзээ ч тайлбарлахгүй.

Бүтэлгүйтсэн гэрчилгээний хурууны хээг түүний subject-тэй хамт тэмдэглээрэй, учир нь өөр өөр гэрчилгээ ижил CA нэртэй байж болно. Хөндлөн гарын үсэг яг энэ байдлыг үүсгэдэг: ижил байгууллага нэгээс олон удаа, өөр хүчинтэй хугацаатайгаар гарч ирдэг бөгөөд шалгагч таны хүлээгээгүйг сонгосон. Танил шошго нь танигч биш, хурууны хээ нь ижил нэрийг хуваалцдаг хоёр объектыг ялгадаг зүйл юм.

Нэгээс олон гэрчилгээний үүрэгтэй бүтээгдэхүүнд анхаарлаа хандуулаарай. OpenVPN Access Server дээр вэб интерфэйсийг хамгаалдаг гэрчилгээ нь VPN холболтод ашиглагддагаас тусдаа байдаг тул админы хуудсыг нээж буй хөтөч туннелийн замд юу ч нотлохгүй.

Итгэлцлийн оролт нь гинжин хэлхээний нэр дэвшигчтэй ижил биш

Шалгагчид хоёр оролтыг тус тусад нь, тодорхой өгнө үү. Итгэлцлийн файл таны хүлээн зөвшөөрсөн зангууг хадгална; итгэмжлэгдээгүй багц нь зам барихад санал болгосон завсрын гэрчилгээг хадгална. Тэдгээрийг холих нь хүмүүс санамсаргүйгээр завсрын гэрчилгээг үндэс болгон дээшлүүлж, дараа нь яагаад ижил алдаа тэднийг машинуудын хооронд дагаж байгааг гайхах арга юм.

$ openssl verify -verbose -show_chain -purpose sslserver \
    -CAfile trusted-roots.pem -no-CApath -no-CAstore \
    -untrusted intermediates.pem server.pem

Өгөгдмөл зам, агуулахыг -no-CApath -no-CAstore-оор идэвхгүй болгох нь шалгалтыг шударга байлгана: үр дүн нь таны нэрлэсэн файлуудаас хамаарна, ажлын станц санамсаргүйгээр итгэдэг зүйлээс биш. OpenSSL баталгаажуулалтын лавлагаа эдгээр сонголт болон тэдгээрийн үүсгэдэг оношилгоог баримтжуулдаг.

-show_chain баталгаажуулалт амжилттай болоход барьсан гинжийг хэвлэдэг бөгөөд энэ нь зам таны зорьсон зам мөн эсэхийг баталгаажуулахад хэрэгтэй. Амжилтгүй болбол мэдээлсэн гүн, subject-ийг хадгална уу; эдгээр хоёр талбар дараагийн уншигчид аль гэрчилгээг шалгахыг хэлнэ.

Үүний хийдэггүй зүйл бол клиент бүрийн бодлогыг дахин бүтээх явдал юм. Пин, зорилгын хязгаарлалт эсвэл клиентэд хамаарах таних шалгалт нь клиент дотор амьдардаг, энэ командад биш. Сервер дээр баталгаажуулалт давж, холболт бүтэлгүйтсээр байх үед шалгах тохиргоо нь тэдгээр юм. Хоёр оношилгоог тусад нь байлгаарай, эс бөгөөс пиннинг алдааны араас хөөцөлдөж эрүүл гэрчилгээг шинэчилнэ.

Шалгалт юуг нотолж, юуг орхидог вэ

Энэ нь таны өгсөн итгэлцлийн файлын эсрэг зам, зорилгын шалгалт юм. HTTPS нэрийн шалгалтад тохирох сонголтоор хүлээгдэж буй хостын нэрийг нэмнэ үү; VPN холболтод клиентийн тохируулсан таних шалгалтыг хадгалж, тухайн клиент үнэхээр уншдаг итгэлцлийн материалыг ашиглана уу.

Серверийн илгээдэг зүйл нь нэр дэвшигчдийн багц бөгөөд таны клиент эцэст нь барих зам биш. Орон нутгийн итгэлцэл болон сангийн барилгын дүрэм хоёулаа үр дүнг бүрдүүлдэг тул ижил хариулт нэг машин дээр баталгаажиж, нөгөө дээр бүтэлгүйтэж болно. Ижил үнэлгээ гэж үзэхийн өмнө бүтэлгүйтэж буй клиентийн арчилгаатай итгэлцлийн агуулах, TLS хэрэгжүүлэлтийг ажиллаж буй клиенттэй харьцуулна уу. Тэнд байгаа ялгаа нь „зөвхөн энэ зөөврийн компьютер дээр бүтэлгүйтдэг“ гэсэн олон тайланг тайлбарладаг.

Гэрчилгээ бүрийн цонхыг нэг нэгээр нь биш, багц хэлбэрээр харахын тулд дараах байдлаар хэвлэ:

$ openssl x509 -in server.pem -noout -subject -dates
$ openssl crl2pkcs7 -nocrl -certfile intermediates.pem \
    | openssl pkcs7 -print_certs -noout

Тэр хоёр дахь команд нь файл бүрийг гараар тайлахгүйгээр subject, нийлүүлэгчдийг жагсаадаг бөгөөд ингэснээр навч одоо ч сайн харагдаж байхад огноо нь өнгөрсөн завсрын гэрчилгээг анзаарна.

Баталгаажуулалтыг сулруулахгүйгээр замыг засна уу

Хугацаа дууссан завсрын эсвэл хуучирсан хөндлөн гарын үсэгтэй гэрчилгээ нийлүүлэгдэх үед нийлүүлэгчийн одоо дэмжигдэж буй гинжийг авч, үйлчилгээний баримтжуулсан гэрчилгээний ажлын урсгалаар байрлуулна уу. Клиентэд зорьсон арчилгаатай зангуу байхгүй бол түүний удирдлагатай итгэлцлийн тохиргоо эсвэл клиентийн програмыг шинэчилнэ үү. Мессежийг чимээгүй болгохын тулд багц дахь гэрчилгээ бүрийг үндэс гэж тэмдэглэх богино замаас татгалзаарай.

Үндэстэй харьцах нь тэмдэглэл хүртэх ёстой, учир нь хураангуй түүнийг ихэвчлэн хэтрүүлдэг. RFC 5280 зангууг хүлээгдэж буй замаас гадуур байх оролт гэж үздэг бол OpenSSL өөрийн үндсэн CA гэрчилгээг багтаасан хүчинтэй байдлын шалгалтыг баримтжуулдаг. Хоёр мэдэгдэл хоёулаа өөрсдийн системд үнэн; нэг сангийн үндэс дуусах зан төлөвийг бүх клиентэд ерөнхийлөх нь итгэлтэй буруу хариулт өгдөг.

Өөрчлөлтийн дараа өртсөн клиентэд шинэ баталгаажуулалтыг албадаж, тодорхой хугацаа дууссан мессеж арилсныг баталгаажуулна уу. Навч өөрөө тохиромжгүй тохиолдолд л навчийг шинэчилнэ үү. Цагийн шалгалтыг идэвхгүй болгох эсвэл түүхэн хөндлөн гэрчилгээг сэргээх нь хүчинтэй одоогийн зам үүсгэхгүй; энэ нь дараагийн бүтэлгүйтлийг л хойшлуулна.

Холбоотой нийтлэлүүд