skop taċ-ċertifikat mhux appoġġat: għaliex tonqos is-CA intermedja

L-iskop taċ-ċertifikat tas-server jidher tajjeb, il-muftieħ jaqbel, id-dati huma tajbin, u l-konnessjoni xorta tonqos bi unsupported certificate purpose. Id-dettall li jsolvi dan normalment jinsab fl-istess linja tal-iżball: valur tal-fond u subject li jsemmu ċertifikat ogħla fil-katina. Jitmexxew żewġ testijiet differenti, u wieħed biss minnhom jirrigwarda l-werqa. Li tqabbilhom jispjega għaliex is-sostituzzjoni taċ-ċertifikat tas-server ma tibdel xejn.

Liema ċertifikat fil-fatt irrifjuta l-verifikatur

Katina mhix oġġett wieħed ripetut tliet darbiet. Il-werqa ġġorr l-isem u l-muftieħ tas-server, l-intermedjarji jgħaqqduha ma' għerq, u kull wieħed għandu l-perjodu ta' validità, il-limitazzjonijiet u l-użi tiegħu. Meta l-iżball isemmi fond, dak in-numru jidentifika pożizzjoni fil-katina li bena l-verifikatur, u jista' ma jkunx il-pożizzjoni li tistenna jekk is-server jibgħat katina mhux mistennija.

Aqra l-oqsma taċ-ċertifikat f'dak il-fond mhux taċ-ċertifikat li ħsibt li kien ħati. Itlob iż-żewġ estensjonijiet li jillimitaw il-ħruġ minflok ma tarmi kull qasam, għax it-tweġiba kważi dejjem tinsab f'waħda minnhom. L-output tal-estensjonijiet hu sigur li jinqasam; il-mwieftieħ privati qatt.

openssl x509 -in issuing-ca.pem -noout -subject -issuer -ext basicConstraints -ext extendedKeyUsage

Jekk iċ-ċertifikat imsemmi huwa intermedju li l-użu estiż tal-muftieħ tiegħu jsemmi xi ħaġa mhux relatata mal-awtentikazzjoni tas-server TLS, il-bqija tal-falliment issegwi b'mod mekkaniku. Il-katina ma tistax tintuża għall-iskop li talab OpenVPN.

L-iskop tal-werqa u l-politika tal-katina huma żewġ testijiet

It-test tal-werqa jistaqsi domanda dejqa: dan iċ-ċertifikat tal-entità finali jippermetti l-awtentikazzjoni tas-server għal dan l-isem? It-test tal-katina jistaqsi waħda usa': jistax kull ċertifikat fil-mogħdija jaqdi dak l-iskop? Awtorità taċ-ċertifikati li titħalla toħroġ biss ċertifikati tal-klijent tgħaddi l-kontrolli tal-firma tagħha stess u xorta tonqos fit-tieni test, għax il-mogħdija li tawtorizza ma tinkludix l-iskop li l-applikazzjoni teħtieġ. Iż-żewġ testijiet jonqsu bl-istess kliem u għandhom tiswijiet kompletament differenti.

Għalhekk werqa maħruġa ġdid, korretta f'kull qasam viżibbli, tista' tonqos minnufih. Għalhekk it-tiswija normalment tappartjeni għall-profil tal-awtorità li toħroġ u mhux għall-konfigurazzjoni tal-VPN.

EKU assenti mhix EKU restrittiva

RFC 5280 tagħmel l-estensjoni tal-użu estiż tal-muftieħ fakultattiva u, meta tkun preżenti, restrittiva. Ċertifikat CA mingħajr l-estensjoni għalhekk ma qalx «le» għall-awtentikazzjoni tas-server, filwaqt li wieħed li jelenka biss skop mhux relatat qal xi ħaġa speċifika ħafna. Li ttratta dawn iż-żewġ stati bħala ekwivalenti jipproduċi dijanjosi żbaljata u, agħar, tiswija żbaljata. Id-differenza tispjega wkoll għaliex żewġ awtoritajiet li jidhru simili f'console iġibu ruħhom b'mod kompletament differenti f'katina.

L-imġiba tal-libreriji mhix uniformi hawnhekk lanqas. dokument ta' OpenSSL dwar l-għażliet tal-verifika jiddeskrivi t-trattament tiegħu stess tal-kontrolli tal-iskop fuq ċertifikati CA, u dak it-trattament huwa politika ta' implimentazzjoni, mhux regola li kull stack TLS isegwi b'mod identiku. Iddeskrivi x'jagħmel il-verifikatur tiegħek, imbagħad ikkonferma dan mal-verżjoni li tassew qed tħaddem.

Irriproduċi l-falliment offline qabel terġa' toħroġ

Verifika offline tneħħi l-applikazzjoni mill-ekwazzjoni. Jekk il-katina tonqos bl-istess mod taħt l-istess skop, iċ-ċertifikat huwa l-problema u ebda konfigurazzjoni tas-server ma taħbiha. Jekk il-katina tgħaddi offline filwaqt li s-servizz għadu jirrifjuta, l-applikazzjoni qed titlob skop differenti jew qed tuża katina differenti minn dik li ttestjajt.

openssl verify -purpose sslserver -show_chain -CAfile root-ca.pem -untrusted issuing-ca.pem vpn-server.pem

-show_chain hu importanti għax jistampa l-mogħdija li bena l-għodda, u din spiss mhix l-ordni tal-fajls li tajt. Dak l-output huwa l-eħfef mod kif tiskopri li t-tieni intermedju qed jinġibed minn maħżen ta' fiduċja, li s-server qed jibgħat varjant iffirmat b'mod inkroċjat li ma kellokx f'moħħok, jew li l-bandiera tal-iskop li kkupjajt minn tutorial tappartjeni għal rwol differenti minn dak li qed jiġi servut.

Sejjaħ il-politika tal-ħruġ, mhux is-sejħa tal-verifika

It-tiswija fit-tul hija intermedju maħruġ taħt politika li tippermetti l-iskopijiet li għandu jaqdi, bil-limitazzjoni miktuba u riveduta. Li żżid kull skop ma' kull awtorità mhix politika; tneħħi l-limitazzjoni li tat sens lill-estensjoni, u normalment tgħix itwal mill-inċident li ġegħlitha. Nota qasira fil-profil li tiddeskrivi liema rwoli l-awtorità tista' tiċċertifika tipprevjeni l-ħruġ mill-ġdid li jmiss milli jtenni l-istess dibattitu.

Li titfi l-verifika hija l-aħħar shortcut li tħajjar, u tbiddel problema taċ-ċertifikat fi problema ta' fiduċja. Żomm il-kontroll tal-iskop, sewwi l-katina u erġa' ħaddem l-istess verifika offline biex tikkonferma li l-mogħdija issa qed taqdi r-rwol previst qabel ma terġa' tmiss is-servizz.