Ċertifikat tal-werqa validu, katina skaduta: aqra l-fond

Żball ta' skadenza jista' jappartjeni lil emittent, mhux lill-werqa. Aqra l-fond tal-verifika u l-inputs tal-fiduċja qabel ma ġġedded ċertifikat li għadu jidher kurrenti.

Tivverifika ċ-ċertifikat tas-server, tara xhur baqa' fuq l-arloġġ, u l-klijent xorta jirrifjuta l-konnessjoni b'messaġġ ta' skadenza. Id-data li taqra tappartjeni lill-werqa, u l-ilment jista' jkun dwar xi ħaġa aktar fil-fond fil-passaġġ. Il-verifika timxi tul katina, u kull ċertifikat li tagħżel din il-mixja jista' jonqos fit-tieqa tal-validità tiegħu stess. Aqra liema falla qabel ma ġġedded xi ħaġa.

Il-fond isemmi ċ-ċertifikat li falla

Fid-dijanjostika OpenSSL, il-fond 0 huwa ċ-ċertifikat fil-mira u l-fond 1 huwa l-emittent li ffirmah, b'numri ogħla jkomplu lejn l-ankra tal-fiduċja. Skadenza rrappurtata fil-fond 1 mhijiex kontradetta minn notAfter kurrenti fuq il-werqa, għalhekk iċ-ċertifikat viżibbli mill-ġdid qatt mhu se jispjega l-iżball.

Irreġistra l-impronta tas-swaba' taċ-ċertifikat li falla flimkien mas-subject tiegħu, għax ċertifikati differenti jistgħu jġorru l-istess isem CA. L-iffirmar inkroċjat joħloq eżatt dik is-sitwazzjoni: l-istess awtorità tidher aktar minn darba, b'dati tal-validità differenti, u l-verifikatur għażel dik li ma kontx qed tistenna. Tikketta familjari mhix identifikatur, u impronta tas-swaba' hija dak li jiddistingwi żewġ oġġetti li jaqsmu isem.

Innota wkoll prodotti b'aktar minn rwol wieħed ta' ċertifikat. Fuq OpenVPN Access Server, iċ-ċertifikati li jipproteġu l-interfaċċi web huma separati minn dawk użati għall-konnessjonijiet VPN, għalhekk browser li jiftaħ il-paġna tal-amministrazzjoni ma jipprova xejn dwar il-passaġġ tat-tunnel.

L-inputs tal-fiduċja mhumiex l-istess bħall-kandidati tal-katina

Agħti lill-verifikatur iż-żewġ inputs b'mod separat u espliċitu. Il-fajl tal-fiduċja jżomm l-ankri li taċċetta; il-pakkett mhux affidabbli jżomm ċertifikati intermedji offruti biex jinbena l-passaġġ. It-taħlit tagħhom huwa kif in-nies b'mod aċċidentali jgħollu intermedju għal għerq u mbagħad jistaqsu għaliex l-istess żball isegwihom bejn il-magni.

$ openssl verify -verbose -show_chain -purpose sslserver \
    -CAfile trusted-roots.pem -no-CApath -no-CAstore \
    -untrusted intermediates.pem server.pem

Id-diżattivazzjoni tal-passaġġ u l-maħżen awtomatiku b'-no-CApath -no-CAstore iżżomm it-test onest: ir-riżultat imbagħad jiddependi mill-fajls li semmejt, mhux minn dak li l-istazzjon tax-xogħol jafda b'kumbinazzjoni. Ir-referenza tal-verifika OpenSSL tiddokumenta dawn l-għażliet u d-dijanjostika li jipproduċu.

-show_chain jipprintja l-katina mibnija meta l-verifika tirnexxi, li hija utli biex tikkonferma li l-passaġġ huwa dak li kellek f'moħħok. Meta tonqos, żomm il-fond u s-subject irrappurtati; dawn iż-żewġ oqsma jgħidu lill-qarrej li jmiss liema ċertifikat għandu jiġi spezzjonat.

Dak li ma jagħmilx dan huwa li jirriproduċi l-politika ta' kull klijent. Pin, restrizzjoni tal-iskop jew verifika tal-identità speċifika għall-klijent tgħix fil-klijent, mhux f'dan il-kmand. Dawk huma s-settings li għandhom jiġu spezzjonati meta l-verifika tgħaddi fuq is-server u l-konnessjoni xorta tonqos. Żomm id-dijanjosti separati, inkella ġġedded ċertifikat b'saħħtu waqt li tiġri wara żball tal-pinning.

X'jipprova l-verifika u x'ma jinkludix

Din hija verifika tal-passaġġ u l-iskop kontra fajl tal-fiduċja li pprovdejt int. Għal verifika ta' isem HTTPS, żid l-isem tal-host mistenni permezz tal-għażla xierqa; għal konnessjoni VPN, żomm il-verifiki tal-identità konfigurati tal-klijent u uża l-materjal tal-fiduċja li dak il-klijent fil-fatt jaqra.

Dak li jibgħat server huwa sett ta' kandidati, mhux il-passaġġ li l-klijent tiegħek fl-aħħar se jibni. Il-fiduċja lokali u r-regoli tal-bini tal-librerija t-tnejn ifasslu r-riżultat, u għalhekk l-istess risposta tista' tiġi verifikata fuq magna u tonqos fuq oħra. Qabbel il-maħżen tal-fiduċja miżmum u l-implimentazzjoni TLS tal-klijent li qed jonqos ma' dawk ta' klijent li jaħdem qabel ma tassumi valutazzjoni identika. Differenza hemmhekk tispjega ħafna rapporti „biss dan il-laptop jonqos“.

Biex tara t-tieqa ta' kull ċertifikat minflok wieħed wieħed, ipprintjahom bħala sett:

$ openssl x509 -in server.pem -noout -subject -dates
$ openssl crl2pkcs7 -nocrl -certfile intermediates.pem \
    | openssl pkcs7 -print_certs -noout

Dak it-tieni kmand jelenka subjects u emittenti mingħajr ma jiddekodifika kull fajl bl-idejn, hekk tinduna b'intermedju li d-data tiegħu għaddiet filwaqt li l-werqa għadha tidher tajba.

Sejjaħ il-passaġġ mingħajr ma ddgħajjef il-verifika

Meta jiġi pprovdut intermedju skadut jew ċertifikat iffirmat inkroċjat skadut, ikseb il-katina attwalment appoġġjata tal-emittent u skjeraha permezz tal-fluss tax-xogħol tad-dejta taċ-ċertifikat dokumentat tas-servizz. Meta l-klijent ma jkollux l-ankra miżmuma maħsuba, aġġorna l-konfigurazzjoni tal-fiduċja mmaniġġjata tiegħu jew is-software tal-klijent. Irreżisti l-shortcut li timmarka kull ċertifikat fil-pakkett bħala għerq biss biex issikket il-messaġġ.

It-trattament tal-għerq jistħoqqlu nota, għax is-sommarji spiss jesaġerawh. RFC 5280 jittratta l-ankra bħala input li jinsab barra mill-passaġġ prospettiv, filwaqt li OpenSSL jiddokumenta verifiki tal-validità li jinkludu ċ-ċertifikat CA għerq tiegħu. Iż-żewġ dikjarazzjonijiet huma veri għas-sistemi tagħhom stess; li tiġġeneralizza l-imġiba tal-iskadenza tal-għerq ta' librerija waħda għal kull klijent tipproduċi tweġibiet żbaljati b'kunfidenza.

Wara l-bidla, iġġieled awtentikazzjoni ġdida fuq il-klijent affettwat u kkonferma li l-messaġġ ta' skadenza speċifiku telaq. Ġedded il-werqa biss jekk il-werqa stess mhijiex xierqa. Id-diżattivazzjoni tal-verifiki tal-ħin jew ir-restawr ta' ċertifikat inkroċjat storiku ma jipproduċix passaġġ kurrenti validu; dan sempliċiment jittardja l-falliment li jmiss.

Artikli relatati