Ismijiet alternattivi tas-suġġett: kif jiġi identifikat server VPN

Il-klijent tiegħek jirrifjuta ċertifikat li l-katina tiegħu tiġi vvalidata b’mod nadif, u l-iżball jgħid li l-isem ma jaqbilx. Dak il-messaġġ mhuwiex dwar min iffirma ċ-ċertifikat. Huwa dwar l-estensjoni tal-ismijiet alternattivi tas-suġġett, li ġġorr l-identitajiet li ċ-ċertifikat jista’ jirrappreżenta, u dwar jekk l-identità li kkonfigurajt tidhirx hemm fil-forma t-tajba. Il-fiduċja twieġeb min iffirmah, filwaqt li l-verifika tal-isem twieġeb lil liema host jappartjeni.

X’qed iqabbel il-klijent tassew

Il-klijent ibiddel il-konfigurazzjoni tiegħek f’identità ta’ referenza: isem tal-host, indirizz, jew identifikatur speċifiku għall-protokoll. Imbagħad ifittex dik l-identità fiċ-ċertifikat, billi japplika r-regoli ta’ tqabbil tal-protokoll li jintuża. Jingħaddu biss entrati tal-istess tip, għalhekk entrata DNS ma tistax tissodisfa indirizz, u t-tqabbil isir kemm jekk xi ħadd iħares leċ-ċertifikat u kemm jekk le.

Meta l-identità ta’ referenza tkun nieqsa minn dik l-estensjoni, il-verifika tfalli anki jekk l-isem komuni l-antik jaqbel. Ċertifikat jista’ jinħareġ b’mod leġittimu lil kumpanija u xorta jkun żbaljat għal vpn.example.com jekk l-isem qatt ma ġie inkluż. Il-falliment huwa nuqqas ta’ qbil fl-isem anki jekk iċ-ċertifikat huwa awtentiku.

L-ismijiet DNS u l-indirizzi IP huma entrati separati

Profil li jindika lejn 203.0.113.10 filwaqt li ċ-ċertifikat jelenka biss vpn.example.com jiġi rrifjutat, għax il-pakketti jaslu imma l-identità ma taqbilx. L-ismijiet DNS u l-indirizzi litterali jinħażnu bħala tipi ta’ entrata differenti, u wieħed qatt ma jieħu post l-ieħor. Għalhekk servizz jista’ jkun aċċessibbli bl-indirizz u xorta jkun inutilizzabbli permezz ta’ profil li juża dak l-indirizz.

Il-wildcards ukoll jobdu r-regoli tagħhom: wildcard ikopri tikketta waħda, mhux kull isem taħt dominju. It-tqabbil DNS mhuwiex sensittiv għall-każ tal-ittri, filwaqt li tipi oħra ta’ identifikatur huma, għalhekk valur li jidher identiku fuq l-iskrin jista’ jfalli fi tqabbil strett. Iċċekkja r-regoli ta’ tqabbil għat-tip ta’ identità li jintuża minflok ma tqabbel is-strings bl-għajn. Li żżid isem mal-estensjoni hija deċiżjoni tal-ħruġ, mhux xi ħaġa li setting tal-klijent tista’ tipprovdi.

Spezzjona ċ-ċertifikat li l-konnessjoni użat tassew

Aqra l-materjal li jippreżenta l-punt tat-tmiem ħaj, mhux fajl ikkupjat minn paġna amministrattiva. Bilanċ tal-load jew istanza ta’ sostituzzjoni tista’ tippreżenta xi ħaġa differenti miċ-ċertifikat li tella’ xhur ilu, u dik id-differenza hija inviżibbli f’console.

openssl s_client -connect vpn.example.com:443 -showcerts </dev/null | openssl x509 -noout -text

Il-blokk tal-ismijiet alternattivi tas-suġġett, il-katina tal-emittent u l-perjodu tal-validità kollha jappartjenu għal qari wieħed, għax nuqqas ta’ qbil fl-isem u skadenza jipproduċu żbalji differenti. Qabbel kull isem fid-dak il-blokk mal-identità kkonfigurata fil-profil, karattru b’karattru, u innota ta’ liema tip huwa. Li tirrepeti l-kmand fuq il-forma tal-indirizz tal-punt tat-tmiem juri jekk iċ-ċertifikat ikoprix iż-żewġ identitajiet jew waħda biss. Wiri tas-suġġett ħbiberija f’console tal-ġestjoni mhuwiex riżultat ta’ validazzjoni u ma jgħid xejn dwar liema ismijiet fih l-estensjoni.

L-isem komuni mhuwiex is-sors modern tal-verità

Il-browsers u l-biċċa l-kbira tal-libreriji TLS issa jinjoraw l-isem komuni għat-tqabbil tal-isem tal-host u jikkonsultaw l-estensjoni. Xi klijenti VPN għadhom iqabblu l-isem komuni l-ewwel jew jaqgħu lura għalih meta l-estensjoni tkun nieqsa, u hekk ċertifikat wieħed jista’ jgħaddi fil-browser u jfalli fil-klijent. L-istess verifika tal-isem tista’ tgħaddi fuq pjattaforma u tfalli fuq oħra mingħajr ma ċ-ċertifikat jinbidel xejn.

Sib liema qasam jaqra l-klijent tiegħek qabel ma tiddeċiedi li ċ-ċertifikat huwa żbaljat. Żewġ klijenti fuq l-istess punt tat-tmiem jistgħu ma jaqblux, u n-nuqqas ta’ qbil huwa informazzjoni dwar il-klijent, mhux dwar iċ-ċertifikat.

Sewwi l-ħruġ jew il-profil, mhux il-verifika

Meta profil inbena madwar alias, jew jerġa’ jindika lejn l-isem tal-host dokumentat jew erġa’ ħareġ iċ-ċertifikat għall-alias u ġibu fis-seħħ fi tmiem ta’ ħin ippjanat. L-iskiet tal-avviż mhuwiex it-tielet għażla, għax il-verifika hija l-unika pass li jorbot ċertifikat iffirmat ma’ dan il-host partikolari. Li tneħħiha jfisser li kwalunkwe ċertifikat mill-istess awtorità jista’ joqgħod minflok is-server li ridt tilħaq.

It-tiġdid għandu jippreserva l-ismijiet u l-għan maħsuba minflok ma jċaqlaq biss id-data tal-iskadenza ’l quddiem. Tiġdid li jaqla’ isem huwa waqfa ġdida skedata għar-restart li jmiss, u normalment jiġi mingħajr avviż għax iċ-ċertifikat antik kien għadu validu meta sar it-tibdil.

Irreġistra l-identità mistennija, l-ismijiet ippreżentati u l-katina li ffirmathom. Dak ir-reġistru jagħmel it-tiġdid li jmiss tqabbil minflok investigazzjoni. Id-definizzjoni tal-estensjoni tinsab fi RFC 5280 jekk ikollok bżonn tivverifika ħruġ partikolari.