openssl ca: index.txt дэх хүчингүй дуусах огноо ба түүнийг хэрхэн засах вэ

Олголтын ажиллагаа дараах дээр зогсдог: entry 22: invalid expiry date, харин таны өмнө байгаа хүсэлт бүрэн хэвийн байна. Гомдол нь CA-ийн мэдээллийн сангийн задлагчаас гардаг, CSR-ээс биш, эцэст нь гэрчилгээг үзүүлэх VPN клиентээс ч биш. Энэ ялгаа нь дараах бүхнийг тодорхойлно: бичлэг гэмтсэн тул засвар нь CA-ийн төлөвт хамаарна, хүсэлт эсвэл хамтрагчийн тохиргоонд биш. Дугаарласан бичлэгийг index.txt доторх нэг мөр гэж үзвэл асуудал шалгаж болох хариулттай хязгаарлагдмал өгөгдлийн асуулт болж хумигдана.

Алдааг мэдээллийн сангийн гомдол гэж уншина уу

Бүр openssl ca дуудлага ямар нэг зүйлд гарын үсэг зурахын өмнө өөрийн текст мэдээллийн санг туулдаг. Мөр бүрт төлөвийн үсэг, дуусах хугацааны тэмдэг, заавал бус хүчингүй болгох тэмдэг, арван зургаатын систем дэх цувралын дугаар, файлын нэр, субъект агуулагдана. Нэг талбар задалгдахгүй бол тушаал мөрийн дугаарыг мэдээлж, үлдсэн бичлэгийг таамаглахын оронд зогсдог.

Тэр зогсолт нь хатуу биш, хамгаалалт юм. Хэрэгсэл уншиж чадахгүй бичлэг нь хүссэн субъект аль хэдийн байгаа эсэх, цувралын дугаар олгогдсон эсэх, эсвэл дараагийн CRL юу агуулах ёстойг шийдэх боломжийг нь хаадаг. Гэмтсэн мөрийг давж гарах нь хэдэн сарын дараа, ихэвчлэн хэн ч тайлбарлаж чадахгүй хүчингүй болгох үеэр илэрдэг тэр чимээгүй зөрчлийг үүсгэх байсан. Мессежийг өгөгдлийн тухай гомдол гэж уншина уу, мөрдөн шалгалт CA-ийн хавтас дотор үлдэнэ.

Ямар нэг зүйлд хүрэхийн өмнө CA-ийн төлөвийг хуулна уу

Зөвхөн мэдээллийн сангийн файл биш, бүх CA хавтасны агшин агшны хуулбарыг авна уу. Индекс, түүний шинж чанарын файл, цуврал болон CRL дугаарын файлууд, хувийн түлхүүр, олгосон гэрчилгээнүүд бүгд дараагийн үйлдлүүдэд оролцдог бөгөөд нэгийг сэргээж, бусадыг орхигдуулсан засвар хоёр дахь осол үүсгэдэг. Байгаа бол CA-ийн өөрийн нөөц хуулах журам ашиглаж, ажлын турш төлөвлөсөн олголтыг зогсоо.

Бүтэлгүйтсэн тушаал бодитоор ачаалсан OpenSSL хувилбар болон тохиргооны файлыг тэмдэглэ. Суулгацууд ихэвчлэн нэгээс олон CA хавтас хадгалдаг бөгөөд алдаа нь сонгосон тохиргооны нэрлэсэн мэдээллийн сантай харьцуулахад л утгатай.

Бичлэгийг олж, түүний огнооны талбарыг тайл

Мэдээлсэн мөрийн дугаар эхний бичлэгээс эхлэн тоологддог тул sed -n '22p' index.txt дээр нь хоосон эсвэл тайлбар мөр байхгүйг баталсны дараа асуудалтай бичлэг дээр таарна. Тэр мөрийг харагдах тусгаарлагчтай хэвлэ, учир нь табулятор болон төгсгөлийн зай түгээмэл бөгөөд энгийн засварлагчийн цонхонд харагддаггүй.

Дуусах талбар нь өргөн нь жилээс хамаарах хугацааны тэмдэг юм. 2049 он хүртэлх утгуудыг UTCTime хэлбэрээр YYMMDDHHMMSSZ гэж бичдэг бол дараагийн утгууд дөрвөн оронтой жилтэй GeneralizedTime руу шилждэг. Хоёр хэлбэрийг хольсон, эсвэл задлагч одоо дөрөв хүлээж байгаа газарт хоёр оронтой жил агуулсан бичлэг яг энэ цэг дээр бүтэлгүйтдэг. Тасалдсан бичлэгээс үлдсэн тайрагдсан талбар ч мөн адил.

Бичлэгийг өөр CA-ийн файлтай биш, түүний заасан гэрчилгээтэй харьцуул. Гарын үсэг зурсан гэрчилгээ нь хүчинтэй хугацаа юу гэж хэлэх ёстойн тухай эрх мэдэл бөгөөд тэр нь аль хэдийн задалж болох объект болж байна.

Бичлэгийг гарын үсэг зурсан гэрчилгээний дагуу зас

Бодит огноог дараахаар унш: openssl x509 -in issued.pem -noout -dates -serial -subject. Дараахыг notAfter таны хувилбар тэр жилд бичдэг тэмдгийн өргөн рүү хөрвүүлж, нэг тэмдэгт ч солихоос өмнө цувралын дугаар засах гэж буй бичлэгтэй таарч байгааг батал.

Зөвхөн эвдэрсэн талбарыг зас, төлөвийн үсэг болон цувралын дугаарыг үлдээ, мөрийн үлдсэнийг хөндөхгүй. Хэрэв бичлэгийг ямар ч гарын үсэг зурсан гэрчилгээтэй нийцүүлж чадахгүй бол түүнийг төөрсөн бичлэг гэж үзэж, мөрийг гараар устгахын оронд CA-ийн өөрийн хүчингүй болгох замаар гарга.

Жилийн тухай таамаглалд нийцүүлэхийн тулд огноог тайрч засварлах хэрэггүй. Хоёр тэмдэгтийн тайралт хувилбаруудын хооронд зөөгдөхгүй бөгөөд мэдээллийн сан ирээдүйн давхардсан субъект болон CRL шалгалтад мэдээлдэг хүчинтэй хугацааг чимээгүй өөрчилдөг. Анхны утгыг сэргээх боломжгүй бол шинэ цувралын дугаараар дахин олго ба хуучныг яагаад орхигдуулсныг бичиж үлдээ. Аудитын мөр нь засварын хэсэг, түүний эргэн тойрны бичиг цаас биш.

Явахаасаа өмнө олголт болон CRL үүсгэлтийг шалга

Ижил тохиргоотой нэг олголт ажиллуулж, мөрийн дугаарын гомдолгүйгээр дуусдагийг батал. Дараа нь openssl ca -gencrl -config openssl.cnf ашиглан CRL үүсгэж, тэр задалдаж байгаа эсэхийг шалга, учир нь гэмтсэн бичлэг гарын үсэг зурах үед бус, ихэвчлэн яг тэнд илэрдэг.

Шинэ гэрчилгээг дараахаар шалга: openssl x509 -noout -dates -serial ба CA-ийн дөнгөж бичсэн мөртэй харьцуул. Төлөвийн үсэг болон дуусах огноо гэрчилгээтэй нийцэж байгааг, мөн openssl verify -CAfile ca.pem issued.pem алдаагүй буцаж байгааг батал. Дараа нь төлөвлөсөн олголтыг сэргээж, эхний ажиллагааг ажигла, учир нь хоёр дахь гэмтсэн мөр тэр даруй өөрийгөө мэдэгдэнэ.