дэмжигдээгүй гэрчилгээний зорилго: яагаад завсрын CA бүтэлгүйтдэг

Серверийн гэрчилгээний зорилго зөв харагдаж, түлхүүр нь таарч, огноонууд нь хэвийн байгаа ч холболт unsupported certificate purpose алдаатайгаар бүтэлгүйтсээр байна. Үүнийг шийддэг нарийн ширийн зүйл ихэвчлэн алдаатай нэг мөрөнд байдаг: гинжин хэлхээнд дээгүүр байгаа гэрчилгээг нэрлэх гүний утга болон subject. Хоёр өөр шалгалт явагдаж байгаа бөгөөд тэдгээрийн зөвхөн нэг нь төгсгөлийн гэрчилгээний тухай юм. Тэдгээрийг харьцуулбал серверийн гэрчилгээг солих нь яагаад юу ч өөрчлөхгүйг тайлбарлана.

Шалгагч яг аль гэрчилгээг татгалзсан

Гинжин хэлхээ бол гурван удаа давтагдсан нэг объект биш. Төгсгөлийн гэрчилгээ серверийн нэр, түлхүүрийг агуулж, завсрын гэрчилгээнүүд түүнийг үндэстэй холбож, тус бүр өөрийн хүчинтэй хугацаа, хязгаарлалт, хэрэглээтэй. Алдаа гүнийг нэрлэх үед тэр тоо нь шалгагчийн барьсан гинжин хэлхээний байрлалыг заадаг бөгөөд сервер санаандгүй гинжин хэлхээ илгээвэл энэ нь таны хүлээж буй байрлал биш байж болно.

Тухайн гүн дэх гэрчилгээний талбаруудыг уншина уу, буруутгасан гэж бодсон гэрчилгээнийх биш. Бүх талбарыг асгахын оронд олголтыг хязгаарладаг хоёр өргөтгөлийг асуугаарай, учир нь хариулт бараг үргэлж тэдгээрийн аль нэгэнд байдаг. Өргөтгөлийн гаралтыг хуваалцах нь аюулгүй; хувийн түлхүүрийг хэзээ ч биш.

openssl x509 -in issuing-ca.pem -noout -subject -issuer -ext basicConstraints -ext extendedKeyUsage

Хэрэв нэрлэгдсэн гэрчилгээ нь өргөтгөсөн түлхүүрийн хэрэглээ нь TLS серверийн баталгаажуулалттай холбоогүй зүйлийг дурддаг завсрын гэрчилгээ бол, үлдсэн алдаа нь механикаар дагана. Гинжин хэлхээг OpenVPN шаардсан зорилгод ашиглах боломжгүй.

Төгсгөлийн гэрчилгээний зорилго ба гинжин хэлхээний бодлого нь хоёр шалгалт

Төгсгөлийн гэрчилгээний шалгалт нарийн асуулт тавьдаг: энэ төгсгөлийн байгууллагын гэрчилгээ энэ нэрэнд серверийн баталгаажуулалтыг зөвшөөрөх үү? Гинжин хэлхээний шалгалт илүү өргөн асуулт тавьдаг: замын бүх гэрчилгээ тэр зорилгод үйлчилж болох уу? Зөвхөн клиентийн гэрчилгээ гаргах эрхтэй гэрчилгээний байгууллага өөрийн гарын үсгийн шалгалтыг давж, хоёр дахь шалгалтад бүтэлгүйтнэ, учир нь түүний зөвшөөрсөн зам нь програмын хэрэгцээтэй зорилгыг агуулаагүй. Хоёр шалгалт ижил үгээр бүтэлгүйтдэг бөгөөд огт өөр засвартай.

Тиймээс харагдах бүх талбартаа зөв шинээр гаргасан төгсгөлийн гэрчилгээ ч шууд бүтэлгүйтэж болно. Тиймээс засвар нь ихэвчлэн VPN тохиргоонд биш, харин гаргагч байгууллагын профайлд хамаарна.

Байхгүй EKU нь хязгаарладаг EKU биш

RFC 5280 өргөтгөсөн түлхүүрийн хэрэглээний өргөтгөлийг сонголтоор болгож, байгаа үед хязгаарладаг. Тиймээс өргөтгөлгүй CA гэрчилгээ серверийн баталгаажуулалтад «үгүй» гэж хэлээгүй, харин зөвхөн холбоогүй зорилгыг жагсаасан гэрчилгээ маш тодорхой зүйл хэлсэн. Эдгээр хоёр төлвийг адилтгаж үзэх нь буруу онош, түүнээс ч дор буруу засвар авчирна. Энэ ялгаа нь консолд адил харагдах хоёр байгууллага гинжин хэлхээнд яагаад огт өөр авирладагийг ч тайлбарлана.

Номын сангуудын авирлал энд ч нэг жигд биш. OpenSSL-ийн шалгалтын сонголтын баримт бичиг нь CA гэрчилгээний зорилгын шалгалтад хандах өөрийн хандлагыг тайлбарладаг бөгөөд энэ хандлага нь хэрэгжүүлэлтийн бодлого бөгөөд бүх TLS стек ижилээр дагадаг дүрэм биш. Шалгагч тань юу хийдгийг тайлбарлаад, дараа нь таны үнэхээр ажиллуулж буй хувилбар дээр баталгаажуулаарай.

Дахин гаргахаас өмнө алдааг офлайнаар давтана уу

Офлайн шалгалт програм хангамжийг тэгшитгэлээс гаргадаг. Хэрэв гинжин хэлхээ ижил зорилгын дор ижилхэн бүтэлгүйтвэл асуудал гэрчилгээнд байгаа бөгөөд ямар ч серверийн тохиргоо үүнийг нуухгүй. Хэрэв гинжин хэлхээ офлайн давж, үйлчилгээ татгалзсээр байвал програм өөр зорилго шаардаж байна эсвэл таны шалгаснаас өөр гинжин хэлхээ ашиглаж байна.

openssl verify -purpose sslserver -show_chain -CAfile root-ca.pem -untrusted issuing-ca.pem vpn-server.pem

-show_chain чухал, учир нь хэрэгсэл барьсан замыг хэвлэдэг бөгөөд энэ нь ихэвчлэн таны өгсөн файлын дараалал биш. Тэр гаралт нь хоёр дахь завсрын гэрчилгээ итгэлцлийн сангаас татагдаж байгаа, сервер таны зориогүй хөндлөн гарын үсэгтэй хувилбар илгээж байгаа, эсвэл зааварчилгаанаас хуулсан зорилгын туг үйлчилж буй дүрээс өөр дүрд хамаарахыг олж мэдэх хамгийн хурдан арга.

Гаргах бодлогыг засаарай, шалгалтын дуудлагыг биш

Урт хугацааны засвар бол үйлчлэх ёстой зорилгуудыг зөвшөөрдөг бодлогын дагуу гаргасан завсрын гэрчилгээ бөгөөд хязгаарлалт нь бичигдэж, хянагдсан байна. Бүх байгууллагад бүх зорилгыг нэмэх нь бодлого биш; энэ нь өргөтгөлд утга өгсөн хязгаарлалтыг арилгаж, ихэвчлэн үүнийг үүсгэсэн тохиолдлоос илүү удаан оршино. Профайлд байгууллага ямар дүрд гэрчилгээ олгож болохыг тайлбарласан богино тэмдэглэл дараагийн дахин гаргалгыг ижил маргааныг давтахаас сэргийлнэ.

Шалгалтыг унтраах нь өөр нэг уруу татдаг товч зам бөгөөд гэрчилгээний асуудлыг итгэлцлийн асуудал болгоно. Зорилгын шалгалтыг хэвээр үлдээж, гинжин хэлхээг засаж, зам нь одоо зоригдсон дүрд үйлчилж байгааг баталгаажуулахын тулд ижил офлайн шалгалтыг дахин ажиллуулж, дараа нь үйлчилгээнд дахин хүрнэ үү.