ca md too weak: ਸਰਟੀਫਿਕੇਟ ਦੁਬਾਰਾ ਜਾਰੀ ਕਰੀਏ ਜਾਂ ਪੱਧਰ ਘਟਾਈਏ?

OpenVPN ਕਲਾਇੰਟ ਪਿਛਲੇ ਮਹੀਨੇ ਕੰਮ ਕਰਦਾ ਸੀ, ਹੁਣ ਸ਼ੁਰੂ ਹੁੰਦਿਆਂ ਇਸ ਗਲਤੀ ਨਾਲ ਫੇਲ ਹੁੰਦਾ ਹੈ: ca md too weak, ਅਤੇ ਡਿਸਕ ਉੱਤੇ ਪ੍ਰੋਫਾਈਲ ਕੰਮ ਕਰਨ ਵਾਲੇ ਨਾਲ ਬਾਈਟ-ਬਾਈਟ ਇੱਕੋ ਜਿਹੀ ਹੈ। ਸੁਨੇਹਾ ਸਰਟੀਫਿਕੇਟ ਅਥਾਰਟੀ ਦੇ ਸਰਟੀਫਿਕੇਟ ਉੱਤੇ ਦਸਤਖਤ ਬਾਰੇ ਹੈ, ਡੇਟਾ ਸਾਈਫਰ, auth ਡਾਇਜੈਸਟ ਜਾਂ ਖਾਤੇ ਦੇ ਪਾਸਵਰਡ ਬਾਰੇ ਨਹੀਂ। ਤਿੰਨ ਸ਼ਰਤਾਂ ਤੈਅ ਕਰਦੀਆਂ ਹਨ ਕਿ ਹੱਲ ਨਵੀਂ ਪਛਾਣ ਸਮੱਗਰੀ ਹੈ, ਨਵੀਂ ਚੇਨ ਹੈ, ਜਾਂ ਜਾਣ-ਬੁੱਝ ਕੇ ਨੀਤੀ ਬਦਲਾਅ ਹੈ। ਇਹਨਾਂ ਨੂੰ ਕ੍ਰਮ ਵਿੱਚ ਕਰੋ, ਤਾਂ ਹੋਸਟ ਉੱਤੇ ਹਰ TLS ਕਨੈਕਸ਼ਨ ਨੂੰ ਕਮਜ਼ੋਰ ਕਰਕੇ ਟਨਲ ਵਾਪਸ ਲਿਆਉਣ ਵਾਲਾ ਆਮ ਨਤੀਜਾ ਟਲ ਜਾਵੇਗਾ।

ਗਲਤੀ ਅਸਲ ਵਿੱਚ ਕਿਸ ਦਾ ਨਾਂ ਲੈਂਦੀ ਹੈ

OpenSSL ਇਹ ਤਸਦੀਕ ਗਲਤੀ ਚੇਨ ਬਣਾਉਂਦਿਆਂ ਉਠਾਉਂਦਾ ਹੈ, ਜਦੋਂ CA ਵਜੋਂ ਕੰਮ ਕਰਨ ਵਾਲੇ ਸਰਟੀਫਿਕੇਟ ਉੱਤੇ ਅਜਿਹਾ ਦਸਤਖਤ ਡਾਇਜੈਸਟ ਹੁੰਦਾ ਹੈ ਜਿਸਨੂੰ ਲਾਇਬ੍ਰੇਰੀ ਦਾ ਸੁਰੱਖਿਆ ਪੱਧਰ ਹੁਣ ਸਵੀਕਾਰ ਨਹੀਂ ਕਰਦਾ। MD5 ਡਿਫਾਲਟ ਪੱਧਰ ਉੱਤੇ ਰੱਦ ਹੁੰਦਾ ਹੈ, ਅਤੇ SHA-1 ਪੱਧਰ ਵਧਾਉਣ ਤੇ ਰੱਦ ਹੁੰਦਾ ਹੈ। ਇੱਥੇ ਪੱਤੇ ਦੇ ਸਰਟੀਫਿਕੇਟ ਦਾ ਡਾਇਜੈਸਟ ਉਸ ਜਾਰੀਕਰਤਾ ਦੇ ਡਾਇਜੈਸਟ ਨਾਲੋਂ ਘੱਟ ਮਹੱਤਵਪੂਰਨ ਹੈ ਜੋ ਇਸ ਉੱਤੇ ਦਸਤਖਤ ਕਰਦਾ ਹੈ। ਉਹੀ ਨੀਤੀ ਉਸ ਰੂਟ ਨੂੰ ਵੀ ਰੱਦ ਕਰ ਸਕਦੀ ਹੈ ਜੋ ਜਾਰੀ ਹੋਣ ਦੇ ਦਿਨ ਪੂਰੀ ਤਰ੍ਹਾਂ ਆਮ ਸੀ।

ਇਸੇ ਲਈ auth ਜਾਂ data-ciphers ਸੋਧਣ ਨਾਲ ਇਸ ਫੇਲ ਲਈ ਕੁਝ ਨਹੀਂ ਹੁੰਦਾ। ਉਹ ਸੈਟਿੰਗਾਂ ਦੱਸਦੀਆਂ ਹਨ ਕਿ ਹੈਂਡਸ਼ੇਕ ਤੋਂ ਬਾਅਦ ਪੈਕਟ ਕਿਵੇਂ ਸੁਰੱਖਿਅਤ ਹੁੰਦੇ ਹਨ, ਜਦਕਿ ਰੱਦ ਕੀਤੀ ਵਸਤੂ ਪਛਾਣ ਦਸਤਾਵੇਜ਼ ਹੈ ਜੋ ਟਨਲ ਬਣਨ ਤੋਂ ਪਹਿਲਾਂ ਜਾਂਚਿਆ ਜਾਂਦਾ ਹੈ। ਸਰਟੀਫਿਕੇਟ ਆਪਣੀ ਵੈਧਤਾ ਅਵਧੀ ਵਿੱਚ ਆਰਾਮ ਨਾਲ ਰਹਿ ਸਕਦਾ ਹੈ ਅਤੇ ਫਿਰ ਵੀ ਲਾਇਬ੍ਰੇਰੀ ਵੱਲੋਂ ਨਾ-ਸਵੀਕਾਰ ਹੋਣ ਵਾਲਾ ਦਸਤਖਤ ਰੱਖ ਸਕਦਾ ਹੈ।

ਜਾਂਚਾਂ ਨੂੰ ਦਿਮਾਗ ਵਿੱਚ ਵੱਖਰਾ ਰੱਖੋ, ਤਾਂ ਗਲਤੀ ਭੇਤ ਭਰੀ ਲੱਗਣੀ ਬੰਦ ਹੋ ਜਾਵੇਗੀ। ਵੈਧਤਾ ਤਾਰੀਖਾਂ, ਕੁੰਜੀ ਦੀ ਵਰਤੋਂ ਅਤੇ ਦਸਤਖਤ ਡਾਇਜੈਸਟ ਆਜ਼ਾਦ ਟੈਸਟ ਹਨ, ਅਤੇ ਇਹਨਾਂ ਵਿਚੋਂ ਠੀਕ ਇੱਕ ਹੁਣੇ ਫੇਲ ਹੋਇਆ ਹੈ।

ਪਹਿਲੀ ਸ਼ਰਤ: ਕੀ ਰੱਦ ਕੀਤੀ ਵਸਤੂ ਰੂਟ ਹੈ?

ਪ੍ਰੋਫਾਈਲ ਦਾ ਹਰ ਸਰਟੀਫਿਕੇਟ ਛਾਪੋ ਅਤੇ subject ਤੇ issuer ਖੇਤਰ ਪੜ੍ਹੋ। ਆਪਣੇ ਆਪ ਉੱਤੇ ਦਸਤਖਤ ਕੀਤਾ ਰੂਟ ਦੋਵਾਂ ਵਿੱਚ ਇੱਕੋ ਮੁੱਲ ਦਿਖਾਉਂਦਾ ਹੈ, ਅਤੇ ਉਸਦਾ ਦਸਤਖਤ ਐਲਗੋਰਿਦਮ ਹੀ ਪੂਰੀ ਚੇਨ ਦਾ ਆਧਾਰ ਹੈ। ਕਮਜ਼ੋਰ ਡਾਇਜੈਸਟ ਉੱਥੇ ਹੋਵੇ, ਤਾਂ ਉਸ ਹੇਠਾਂ ਦਾ ਹਰ ਪੱਤਾ ਸਮੱਸਿਆ ਵਿਰਾਸਤ ਵਿੱਚ ਲੈਂਦਾ ਹੈ। ਬਾਅਦ ਦੀ ਤੁਲਨਾ ਯਾਦ ਤੋਂ ਨਹੀਂ, ਮਸ਼ੀਨੀ ਹੋਵੇ, ਇਸ ਲਈ ਐਲਗੋਰਿਦਮ subject ਦੇ ਕੋਲ ਲਿਖੋ।

ਇਕੱਠੀਆਂ CA ਫਾਈਲਾਂ ਵਿੱਚ ਅਕਸਰ ਕਈ ਬਲਾਕ ਹੁੰਦੇ ਹਨ, ਇਸ ਲਈ ਪਹਿਲਾ ਹੀ ਦੋਸ਼ੀ ਮੰਨਣ ਦੀ ਥਾਂ ਉਹ ਬਲਾਕ ਪਛਾਣੋ ਜੋ ਅਸਲ ਵਿੱਚ ਲੋਡ ਹੁੰਦਾ ਹੈ। ਕਮਾਂਡ openssl x509 -in ca.pem -noout -subject -issuer -text ਇੱਕ ਵਾਰ ਵਿੱਚ ਇੱਕ ਸਰਟੀਫਿਕੇਟ ਦੱਸਦੀ ਹੈ, ਭਾਵ ਜੇ ਬੰਡਲ ਵਿੱਚ ਹੋਰ ਵੀ ਹਨ ਤਾਂ ਪਹਿਲਾਂ ਉਸਨੂੰ ਵੱਖ ਕਰਨਾ ਪਵੇਗਾ। ਛਾਪੇ ਗਏ ਦਸਤਖਤ ਐਲਗੋਰਿਦਮ ਦੀ ਤੁਲਨਾ ਉਸ ਡਾਇਜੈਸਟ ਨਾਲ ਕਰੋ ਜਿਸਦੀ ਤੁਸੀਂ ਰੂਟ ਬਣਨ ਦੇ ਦੌਰ ਤੋਂ ਆਸ ਰੱਖਦੇ ਹੋ।

ਕਮਜ਼ੋਰ ਰੂਟ ਹੇਠਾਂ SHA-256 ਨਾਲ ਦਸਤਖਤ ਕੀਤਾ ਪੱਤਾ ਵੀ ਫੇਲ ਹੁੰਦਾ ਹੈ, ਕਿਉਂਕਿ ਚੇਨ ਜਾਂਚ ਸਭ ਤੋਂ ਉੱਪਰ ਤੱਕ ਜਾਂਦੀ ਹੈ। ਇਹੀ ਕ੍ਰਮ ਅਗਲੀ ਸ਼ਰਤ ਨੂੰ ਮਹੱਤਵਪੂਰਨ ਬਣਾਉਂਦਾ ਹੈ।

ਦੂਜੀ ਸ਼ਰਤ: ਕੀ ਜਾਰੀਕਰਤਾ ਤੁਹਾਡੇ ਕੰਟਰੋਲ ਵਿੱਚ ਹੈ?

ਜੇ ਰੂਟ ਤੁਹਾਡੀ ਸੰਸਥਾ ਦਾ ਹੈ, ਤਾਂ ਟਿਕਾਊ ਹੱਲ ਆਧੁਨਿਕ ਡਾਇਜੈਸਟ ਵਾਲਾ ਨਵਾਂ ਰੂਟ ਅਤੇ ਦੁਬਾਰਾ ਜਾਰੀ ਕੀਤੇ ਪੱਤੇ ਹਨ, ਜੋ ਇੱਕੋ ਪ੍ਰੋਫਾਈਲ ਅਪਡੇਟ ਵਜੋਂ ਦਿੱਤੇ ਜਾਂਦੇ ਹਨ। ਇਸ ਲਈ ਰੱਖ-ਰਖਾਅ ਖਿੜਕੀ ਅਤੇ ਉਹਨਾਂ ਯੰਤਰਾਂ ਲਈ ਯੋਜਨਾ ਚਾਹੀਦੀ ਹੈ ਜੋ ਉਸੇ ਦਿਨ ਅਪਡੇਟ ਨਹੀਂ ਲੈ ਸਕਦੇ।

ਜੇ ਚੇਨ ਕਿਸੇ ਤੀਜੀ ਧਿਰ ਨੇ ਜਾਰੀ ਕੀਤੀ ਹੈ, ਤਾਂ ਹੱਲ ਉਸ ਆਪਰੇਟਰ ਨੂੰ ਬੇਨਤੀ ਹੈ, ਅਤੇ ਇੱਕੋ ਕਾਰਗਰ ਸਥਾਨਕ ਕਦਮ ਪੁਰਾਣੀ ਸਮੱਗਰੀ ਉੱਤੇ ਨਿਰਭਰ ਕਰਨਾ ਬੰਦ ਕਰਨਾ ਹੈ। PEM ਟੈਕਸਟ ਸੋਧਣ ਜਾਂ ਫਾਈਲ ਦੁਬਾਰਾ ਸੰਭਾਲਣ ਨਾਲ ਉਸ ਚੀਜ਼ ਵਿੱਚ ਕੁਝ ਨਹੀਂ ਬਦਲਦਾ ਜਿਸਨੂੰ ਦਸਤਖਤ ਢਕਦਾ ਹੈ।

ਇੱਕ ਵਿਚਕਾਰਲੀ ਹਾਲਤ ਨਾਂ ਲੈਣ ਯੋਗ ਹੈ: ਅੰਦਰੂਨੀ ਰੂਟ ਜੋ ਮੌਜੂਦਾ ਡਿਫਾਲਟਾਂ ਤੋਂ ਪੁਰਾਣਾ ਹੈ ਪਰ ਫਿਰ ਵੀ ਅਜਿਹੀ ਸਮੱਗਰੀ ਉੱਤੇ ਦਸਤਖਤ ਕਰਦਾ ਹੈ ਜਿਸ ਉੱਤੇ ਹੋਰ ਸਿਸਟਮ ਭਰੋਸਾ ਕਰਦੇ ਹਨ। ਇਸਨੂੰ ਬਦਲਣ ਦਾ ਮਤਲਬ ਹਰ ਖਪਤਕਾਰ ਦਾ ਆਡਿਟ ਹੈ, ਉਹਨਾਂ ਉਪਕਰਣਾਂ ਸਮੇਤ ਜੋ ਪੁਰਾਣੇ ਸਰਟੀਫਿਕੇਟ ਨੂੰ ਉਂਗਲ ਦੇ ਨਿਸ਼ਾਨ ਨਾਲ ਪਿੰਨ ਕਰਦੇ ਹਨ। ਬਦਲਾਅ ਦੀ ਯੋਜਨਾ ਬਣਾਉਣ ਤੋਂ ਪਹਿਲਾਂ ਉਹ ਖਪਤਕਾਰ ਗਿਣੋ, ਕਿਉਂਕਿ ਇੱਕ ਵੀ ਛੱਡਣ ਵਾਲਾ ਰੂਟ ਬਦਲਾਅ ਸ਼ੁਰੂਆਤੀ ਗਲਤੀ ਨੂੰ ਰੁਕਾਵਟ ਵਿੱਚ ਬਦਲ ਦਿੰਦਾ ਹੈ।

ਤੀਜੀ ਸ਼ਰਤ: ਪੱਧਰ ਘਟਾਉਣ ਨਾਲ ਹੋਰ ਕੀ ਸਵੀਕਾਰ ਹੁੰਦਾ ਹੈ

ਸੁਰੱਖਿਆ ਪੱਧਰ ਘਟਾਉਣਾ, ਜਾਂ OpenVPN ਦਾ ਪੁਰਾਣਾ ਸਰਟੀਫਿਕੇਟ ਪ੍ਰੋਫਾਈਲ ਚੁਣਨਾ, ਕਲਾਇੰਟ ਨੂੰ ਪੁਰਾਣਾ ਡਾਇਜੈਸਟ ਦੁਬਾਰਾ ਸਵੀਕਾਰ ਕਰਨ ਲਈ ਮਜਬੂਰ ਕਰਦਾ ਹੈ। ਇਹ ਉਸੇ ਲਾਇਬ੍ਰੇਰੀ ਦੀਆਂ ਹੋਰ ਜਾਂਚਾਂ ਵੀ ਢਿੱਲੀਆਂ ਕਰਦਾ ਹੈ, ਉਸ ਪ੍ਰਕਿਰਿਆ ਵੱਲੋਂ ਕੀਤੇ ਹਰ ਕਨੈਕਸ਼ਨ ਲਈ।

ਪ੍ਰਯੋਗਸ਼ਾਲਾ ਵਿੱਚ, ਜਾਂ ਬਦਲਵੀਂ ਸਮੱਗਰੀ ਤਿਆਰ ਹੋਣ ਦੌਰਾਨ ਛੋਟੇ ਪੁਲ ਵਜੋਂ, ਇਹ ਜਾਇਜ਼ ਹੋ ਸਕਦਾ ਹੈ, ਬਸ਼ਰਤੇ ਛੋਟ ਇੱਕੋ ਪ੍ਰੋਫਾਈਲ ਤੱਕ ਸੀਮਿਤ ਹੋਵੇ ਅਤੇ ਅੰਤਿਮ ਤਾਰੀਖ ਰੱਖਦੀ ਹੋਵੇ। ਸਾਂਝੇ ਹੋਸਟ ਉੱਤੇ ਪੱਕੀ ਸੈਟਿੰਗ ਵਜੋਂ ਇਹ ਚੁੱਪਚਾਪ ਉਹ ਫੈਲਾਉਂਦਾ ਹੈ ਜਿਸ ਉੱਤੇ ਉੱਥੇ ਦਾ ਹਰ TLS ਕਲਾਇੰਟ ਭਰੋਸਾ ਕਰੇਗਾ।

ਛੋਟ ਨੂੰ ਜ਼ਿੰਮੇਵਾਰ ਵਿਅਕਤੀ ਅਤੇ ਹਟਾਉਣ ਦੇ ਕਦਮ ਸਮੇਤ ਲਿਖੋ। ਛੇ ਮਹੀਨੇ ਬਾਅਦ ਬਿਨਾਂ ਦਰਜ ਪੱਧਰ ਬਦਲਾਅ ਗਲਤੀ ਤੋਂ ਵੱਖਰਾ ਨਹੀਂ ਪਛਾਣਿਆ ਜਾ ਸਕਦਾ, ਅਤੇ ਅਗਲੇ ਇੰਜੀਨੀਅਰ ਨੂੰ ਪਤਾ ਨਹੀਂ ਹੋਵੇਗਾ ਕਿ ਇਹ ਕਦੇ ਫੈਸਲਾ ਸੀ।

ਫੈਸਲਾ, ਨਿਯਮ ਵਜੋਂ ਲਿਖਿਆ

ਚੇਨ ਬਦਲੋ ਜਦੋਂ ਜਾਰੀਕਰਤਾ ਤੁਹਾਡੇ ਕੰਟਰੋਲ ਵਿੱਚ ਹੈ ਅਤੇ ਤੁਸੀਂ ਉਸਦੇ ਖਪਤਕਾਰ ਗਿਣ ਸਕਦੇ ਹੋ। ਜਦੋਂ ਕੰਟਰੋਲ ਵਿੱਚ ਨਹੀਂ ਤਾਂ ਜਾਰੀਕਰਤਾ ਤੱਕ ਉਠਾਓ। ਪੱਧਰ ਸਿਰਫ਼ ਤਾਰੀਖ ਅਤੇ ਸੀਮਾ ਵਾਲੀ ਛੋਟ ਵਜੋਂ ਹੀ ਘਟਾਓ, ਜਿਸ ਵਿੱਚ ਬਦਲ ਪਹਿਲਾਂ ਹੀ ਤੈਅ ਹੋਵੇ। ਬਾਕੀ ਕੁਝ ਵੀ ਉਹੀ ਸਰਟੀਫਿਕੇਟ ਉੱਥੇ ਛੱਡਦਾ ਹੈ ਅਤੇ ਜੋਖਮ ਘੱਟ ਦਿਸਣ ਵਾਲੀ ਥਾਂ ਤੇ ਭੇਜਦਾ ਹੈ।

ਫਿਰ ਸਾਫ਼ ਕਲਾਇੰਟ ਤੋਂ ਪ੍ਰੋਫਾਈਲ ਦੁਬਾਰਾ ਟੈਸਟ ਕਰੋ, ਹੈਂਡਸ਼ੇਕ ਪੂਰਾ ਹੋਣ ਦੀ ਪੁਸ਼ਟੀ ਕਰੋ, ਅਤੇ ਜੇ ਫਿਰ ਵੀ ਫੇਲ ਹੋਵੇ ਤਾਂ ਰੱਦ ਕਰਨ ਦਾ ਠੀਕ ਟੈਕਸਟ ਸੰਭਾਲੋ। ਸਹੀ ਗਲਤੀ ਸੁਨੇਹਾ ਅਗਲੀ ਪਰਤ ਦੇ ਮਾਲਕ ਨੂੰ ਦੇਣ ਯੋਗ ਸਭ ਤੋਂ ਸਸਤੀ ਚੀਜ਼ ਹੈ।