openssl ca: data tal-iskadenza invalida f’index.txt u kif tissewwa

Eżekuzzjoni ta’ ħruġ tieqaf b’ entry 22: invalid expiry date, filwaqt li t-talba quddiemek hija perfettament tajba. L-ilment ġej mill-parser tad-database tas-CA, mhux mis-CSR u mhux mill-klijent VPN li fl-aħħar se jippreżenta ċ-ċertifikat. Dik id-distinzjoni tiddetermina kollox warajha: rekord huwa ħżiena fil-forma, għalhekk it-tiswija tappartjeni għall-istat tas-CA u mhux għat-talba jew għall-konfigurazzjoni tal-pari. Ittratta d-dħul immumerat bħala linja f’index.txt, u l-problema tinġibed għal mistoqsija tad-data limitata b’tweġiba li tista’ tiġi vverifikata.

Aqra l-iżball bħala lment dwar id-database

Kull openssl ca sejħa tgħaddi mid-database testwali tagħha qabel ma tiffirma xi ħaġa. Kull linja jkollha ittra tal-istat, timbru tal-ħin tal-iskadenza, timbru tal-ħin tar-revoka mhux obbligatorju, numru tas-serje f’esadeċimali, isem tal-fajl u s-suġġett. Meta qasam wieħed ma jistax jiġi analizzat, il-kmand jirrapporta n-numru tal-linja u jieqaf minflok ma jaqta’ x’inhu l-bqija tar-rekord.

Dak it-twaqqif huwa protettiv u mhux pedantiku. Rekord li l-għodda ma tistax taqra jħalliha bla ħila tiddeċiedi jekk is-suġġett mitlub diġà jeżistix, jekk in-numru tas-serje ngħatax, jew x’għandu jkun fih ir-CRL li jmiss. Li tkompli lil hinn minn linja ħażina kienet se tipproduċi eżatt dik l-inkonsistenza siekta li toħroġ fix-xhur wara, normalment waqt revoka li ħadd ma jista’ jispjega. Aqra l-messaġġ bħala lment dwar id-data, u l-investigazzjoni tibqa’ ġewwa d-direttorju tas-CA.

Ikkopja l-istat tas-CA qabel ma tmiss xejn

Ħu snapshot tad-direttorju kollu tas-CA, mhux biss tal-fajl tad-database. L-indiċi, il-fajl tal-attributi tiegħu, il-fajls tan-numru tas-serje u tan-numru tal-CRL, il-muftieħ privat u ċ-ċertifikati maħruġa kollha jieħdu sehem fl-operazzjonijiet ta’ wara, u tiswija li tirrestawra waħda filwaqt li żżomm lill-oħrajn barra toħloq it-tieni inċident. Uża r-rutina tat-tfaddil tas-CA nnifisha fejn teżisti, u waqqaf il-ħruġ skedat għat-tul tax-xogħol.

Nota l-build ta’ OpenSSL u l-fajl tal-konfigurazzjoni li l-kmand fallut tassew illum għabba. L-installazzjonijiet spiss iżommu aktar minn direttorju wieħed tas-CA, u l-iżball biss ifisser xi ħaġa mqabbel mad-database li jisimha l-konfigurazzjoni magħżula.

Sib id-dħul u ddekodifika l-qasam tad-data tiegħu

In-numru tal-linja rrapportat jingħadd mill-ewwel rekord, għalhekk sed -n '22p' index.txt jinżel fuq id-dħul inkwistjoni ladarba tkun ikkonfermajt li m’hemmx linji vojta jew kummenti fuqu. Ipprintja dik il-linja b’delimitaturi viżibbli, għax tabs u spazji fl-aħħar huma komuni u inviżibbli f’tieqa tal-editur ordinarja.

Il-qasam tal-iskadenza huwa timbru tal-ħin li l-wisa’ tiegħu jiddependi mis-sena. Il-valuri sa 2049 jinkitbu f’UTCTime bħala YYMMDDHHMMSSZ, filwaqt li valuri aktar tard jaqbdu għal GeneralizedTime b’sena ta’ erba’ ċifri. Rekord li jħallat iż-żewġ forom, jew li jġorr sena ta’ żewġ ċifri fejn il-parser issa jistenna erba’, ifalli eżatt f’dan il-punt. Hekk ukoll qasam maqtugħ li ħalla wara tiegħu kitba interrotta.

Qabbel ir-rekord maċ-ċertifikat li jirreferi għalih u mhux mal-fajl ta’ CA oħra. Iċ-ċertifikat iffirmat huwa l-awtorità dwar x’għandha tgħid il-validità, u huwa diġà jeżisti bħala oġġett li jista’ jiġi analizzat.

Sejjes ir-rekord fuq iċ-ċertifikat iffirmat

Aqra d-dati veri b’openssl x509 -in issued.pem -noout -dates -serial -subject. Ikkonverti notAfter għall-wisa’ tat-timbru li l-build tiegħek jikteb għal dik is-sena, u kkonferma li n-numru tas-serje jaqbel mad-dħul li se teditja qabel ma tibdel karattru wieħed.

Editja biss il-qasam imkisser, żomm l-ittra tal-istat u n-numru tas-serje, u ħalli l-bqija tal-linja. Jekk ir-rekord ma jistax jiġi rikonċiljat ma’ ebda ċertifikat iffirmat, ittrattah bħala dħul mitluf u rtirah mill-mogħdija tar-revoka tas-CA nnifisha minflok ma tħassar il-linja bl-idejn.

Tissewwiex billi tqaċċat data biex taqbel ma’ preżunzjoni dwar is-sena. Qatgħa ta’ żewġ karattri mhix trasferibbli bejn il-builds, u tinbidel bil-kwiet il-validità li d-database tirrapporta lill-verifiki futuri tas-suġġett doppju u tal-CRL. Meta l-valur oriġinali ma jistax jiġi rkuprat, ħareġ mill-ġdid taħt numru tas-serje ġdid u ikteb għaliex dak il-qadim ġie abbandunat. Il-traċċa tal-awditjar hija parti mit-tiswija, mhux karti madwarha.

Ivverifika l-ħruġ u l-ġenerazzjoni tal-CRL qabel ma titlaq

Mexxi ħruġ wieħed bl-istess konfigurazzjoni u kkonferma li jitlesta mingħajr ilment dwar numru tal-linja. Imbagħad iġġenera CRL b’openssl ca -gencrl -config openssl.cnf u iċċekkja li jiġi analizzat, għax rekord bil-ħsara spiss joħroġ hemm u mhux waqt l-iffirmar.

Spezzjona ċ-ċertifikat il-ġdid b’openssl x509 -noout -dates -serial u qabblu mal-linja li s-CA għadha kemm kitbet. Ikkonferma li l-ittra tal-istat u d-data tal-iskadenza jaqblu maċ-ċertifikat, u kkonferma li openssl verify -CAfile ca.pem issued.pem terġa’ lura mingħajr żball. Imbagħad erġa’ stabbilixxi l-ħruġ skedat u osservah l-ewwel eżekuzzjoni, għax it-tieni linja ħżiena tħabbar lilha nnifisha mill-ewwel.