ਲੀਫ਼ ਸਰਟੀਫਿਕੇਟ ਵੈਧ, ਚੇਨ ਖ਼ਤਮ: ਡੂੰਘਾਈ ਪੜ੍ਹੋ

ਤੁਸੀਂ ਸਰਵਰ ਸਰਟੀਫਿਕੇਟ ਦੀ ਜਾਂਚ ਕਰਦੇ ਹੋ, ਘੜੀ 'ਤੇ ਅਜੇ ਮਹੀਨੇ ਬਾਕੀ ਦਿਸਦੇ ਹਨ, ਅਤੇ ਕਲਾਇੰਟ ਫਿਰ ਵੀ ਸਮਾਪਤੀ ਸੰਦੇਸ਼ ਨਾਲ ਕਨੈਕਸ਼ਨ ਨੂੰ ਨਹੀਂ ਮੰਨਦਾ। ਤੁਸੀਂ ਜੋ ਤਾਰੀਖ਼ ਪੜ੍ਹਦੇ ਹੋ ਉਹ ਲੀਫ਼ ਦੀ ਹੈ, ਅਤੇ ਸ਼ਿਕਾਇਤ ਪਾਥ ਵਿੱਚ ਹੋਰ ਡੂੰਘੀ ਕਿਸੇ ਚੀਜ਼ ਬਾਰੇ ਹੋ ਸਕਦੀ ਹੈ। ਤਸਦੀਕ ਇੱਕ ਚੇਨ ਵਿੱਚੋਂ ਲੰਘਦੀ ਹੈ, ਅਤੇ ਇਸ ਫੇਰੀ ਵੱਲੋਂ ਚੁਣਿਆ ਕੋਈ ਵੀ ਸਰਟੀਫਿਕੇਟ ਆਪਣੀ ਹੀ ਵੈਧਤਾ-ਵਿੰਡੋ ਵਿੱਚ ਫੇਲ੍ਹ ਹੋ ਸਕਦਾ ਹੈ। ਕੁਝ ਵੀ ਨਵਿਆਉਣ ਤੋਂ ਪਹਿਲਾਂ ਪੜ੍ਹੋ ਕਿ ਕਿਹੜਾ ਫੇਲ੍ਹ ਹੋਇਆ।

ਡੂੰਘਾਈ ਫੇਲ੍ਹ ਹੋਏ ਸਰਟੀਫਿਕੇਟ ਦਾ ਨਾਮ ਦੱਸਦੀ ਹੈ

OpenSSL ਨਿਦਾਨ ਵਿੱਚ, ਡੂੰਘਾਈ 0 ਟਾਰਗਿਟ ਸਰਟੀਫਿਕੇਟ ਹੈ ਅਤੇ ਡੂੰਘਾਈ 1 ਉਸ 'ਤੇ ਦਸਤਖ਼ਤ ਕਰਨ ਵਾਲਾ ਜਾਰੀਕਰਤਾ ਹੈ, ਵੱਡੇ ਅੰਕ ਟਰੱਸਟ ਐਂਕਰ ਵੱਲ ਜਾਰੀ ਰਹਿੰਦੇ ਹਨ। ਡੂੰਘਾਈ 1 'ਤੇ ਰਿਪੋਰਟ ਕੀਤੀ ਸਮਾਪਤੀ ਦਾ ਖੰਡਨ ਲੀਫ਼ 'ਤੇ ਮੌਜੂਦਾ notAfter ਨਹੀਂ ਕਰਦਾ, ਇਸ ਲਈ ਦਿਸਦੇ ਸਰਟੀਫਿਕੇਟ ਨੂੰ ਦੁਬਾਰਾ ਜਾਂਚਣਾ ਗਲਤੀ ਕਦੇ ਨਹੀਂ ਸਮਝਾ ਸਕੇਗਾ।

ਫੇਲ੍ਹ ਹੋਏ ਸਰਟੀਫਿਕੇਟ ਦੀ ਫਿੰਗਰਪ੍ਰਿੰਟ ਉਸ ਦੇ subject ਨਾਲ ਦਰਜ ਕਰੋ, ਕਿਉਂਕਿ ਵੱਖ-ਵੱਖ ਸਰਟੀਫਿਕੇਟ ਇੱਕੋ CA ਨਾਮ ਰੱਖ ਸਕਦੇ ਹਨ। ਕ੍ਰਾਸ-ਸਾਈਨਿੰਗ ਠੀਕ ਉਹੀ ਸਥਿਤੀ ਬਣਾਉਂਦੀ ਹੈ: ਉਹੀ ਅਥਾਰਟੀ ਇੱਕ ਤੋਂ ਵੱਧ ਵਾਰ, ਵੱਖ-ਵੱਖ ਵੈਧਤਾ ਤਾਰੀਖ਼ਾਂ ਨਾਲ ਦਿਸਦੀ ਹੈ, ਅਤੇ ਤਸਦੀਕਕਰਤਾ ਨੇ ਉਹ ਚੁਣਿਆ ਜਿਸ ਦੀ ਤੁਸੀਂ ਆਸ ਨਹੀਂ ਸੀ ਕੀਤੀ। ਜਾਣਿਆ-ਪਛਾਣਿਆ ਲੇਬਲ ਪਛਾਣਕਰਤਾ ਨਹੀਂ ਹੈ, ਅਤੇ ਫਿੰਗਰਪ੍ਰਿੰਟ ਹੀ ਉਹ ਚੀਜ਼ ਹੈ ਜੋ ਇੱਕੋ ਨਾਮ ਵਾਲੀਆਂ ਦੋ ਵਸਤੂਆਂ ਨੂੰ ਵੱਖ ਕਰਦੀ ਹੈ।

ਇੱਕ ਤੋਂ ਵੱਧ ਸਰਟੀਫਿਕੇਟ ਭੂਮਿਕਾ ਵਾਲੇ ਉਤਪਾਦਾਂ 'ਤੇ ਵੀ ਧਿਆਨ ਦਿਓ। OpenVPN Access Server 'ਤੇ, ਵੈੱਬ ਇੰਟਰਫੇਸ ਦੀ ਸੁਰੱਖਿਆ ਕਰਨ ਵਾਲੇ ਸਰਟੀਫਿਕੇਟ VPN ਕਨੈਕਸ਼ਨਾਂ ਲਈ ਵਰਤੇ ਜਾਣ ਵਾਲਿਆਂ ਤੋਂ ਵੱਖਰੇ ਹਨ, ਇਸ ਲਈ ਐਡਮਿਨ ਪੇਜ ਖੋਲ੍ਹਣ ਵਾਲਾ ਬ੍ਰਾਊਜ਼ਰ ਟਨਲ ਦੇ ਪਾਥ ਬਾਰੇ ਕੁਝ ਵੀ ਸਾਬਤ ਨਹੀਂ ਕਰਦਾ।

ਟਰੱਸਟ ਇਨਪੁੱਟ ਅਤੇ ਚੇਨ ਉਮੀਦਵਾਰ ਇੱਕੋ ਨਹੀਂ ਹਨ

ਤਸਦੀਕਕਰਤਾ ਨੂੰ ਦੋਵੇਂ ਇਨਪੁੱਟ ਵੱਖਰੇ ਅਤੇ ਸਪਸ਼ਟ ਰੂਪ ਵਿੱਚ ਦਿਓ। ਟਰੱਸਟ ਫਾਈਲ ਉਹ ਐਂਕਰ ਰੱਖਦੀ ਹੈ ਜੋ ਤੁਸੀਂ ਸਵੀਕਾਰ ਕਰਦੇ ਹੋ; ਭਰੋਸੇਯੋਗ ਨਾ ਹੋਣ ਵਾਲਾ ਬੰਡਲ ਪਾਥ ਬਣਾਉਣ ਲਈ ਪੇਸ਼ ਕੀਤੇ ਮੱਧਵਰਤੀ ਸਰਟੀਫਿਕੇਟ ਰੱਖਦਾ ਹੈ। ਇਨ੍ਹਾਂ ਨੂੰ ਮਿਲਾਉਣਾ ਹੀ ਉਹ ਤਰੀਕਾ ਹੈ ਜਿਸ ਨਾਲ ਲੋਕ ਗਲਤੀ ਨਾਲ ਮੱਧਵਰਤੀ ਸਰਟੀਫਿਕੇਟ ਨੂੰ ਰੂਟ ਤੱਕ ਉੱਚਾ ਕਰ ਦਿੰਦੇ ਹਨ ਅਤੇ ਫਿਰ ਹੈਰਾਨ ਹੁੰਦੇ ਹਨ ਕਿ ਉਹੀ ਗਲਤੀ ਮਸ਼ੀਨਾਂ ਵਿਚਕਾਰ ਉਨ੍ਹਾਂ ਦਾ ਪਿੱਛਾ ਕਿਉਂ ਕਰਦੀ ਹੈ।

$ openssl verify -verbose -show_chain -purpose sslserver \
    -CAfile trusted-roots.pem -no-CApath -no-CAstore \
    -untrusted intermediates.pem server.pem

ਡਿਫਾਲਟ ਪਾਥ ਅਤੇ ਸਟੋਰ ਨੂੰ -no-CApath -no-CAstore ਨਾਲ ਬੰਦ ਕਰਨਾ ਟੈਸਟ ਨੂੰ ਇਮਾਨਦਾਰ ਰੱਖਦਾ ਹੈ: ਨਤੀਜਾ ਤੁਹਾਡੇ ਨਾਮ ਵਾਲੀਆਂ ਫਾਈਲਾਂ 'ਤੇ ਨਿਰਭਰ ਕਰਦਾ ਹੈ, ਵਰਕਸਟੇਸ਼ਨ ਦੀ ਅਚਾਨਕ ਭਰੋਸੇਯੋਗਤਾ 'ਤੇ ਨਹੀਂ। OpenSSL ਤਸਦੀਕ ਸੰਦਰਭ ਇਨ੍ਹਾਂ ਵਿਕਲਪਾਂ ਅਤੇ ਉਨ੍ਹਾਂ ਵੱਲੋਂ ਪੈਦਾ ਕੀਤੇ ਨਿਦਾਨ ਦਾ ਦਸਤਾਵੇਜ਼ੀਕਰਨ ਕਰਦਾ ਹੈ।

ਤਸਦੀਕ ਸਫਲ ਹੋਣ 'ਤੇ -show_chain ਬਣਾਈ ਗਈ ਚੇਨ ਪ੍ਰਿੰਟ ਕਰਦਾ ਹੈ, ਜੋ ਇਹ ਪੁਸ਼ਟੀ ਕਰਨ ਲਈ ਲਾਭਦਾਇਕ ਹੈ ਕਿ ਪਾਥ ਉਹੀ ਹੈ ਜੋ ਤੁਸੀਂ ਚਾਹੁੰਦੇ ਸੀ। ਫੇਲ੍ਹ ਹੋਣ 'ਤੇ, ਰਿਪੋਰਟ ਕੀਤੀ ਡੂੰਘਾਈ ਅਤੇ subject ਰੱਖੋ; ਉਹ ਦੋ ਖੇਤਰ ਅਗਲੇ ਪਾਠਕ ਨੂੰ ਦੱਸਦੇ ਹਨ ਕਿ ਕਿਹੜਾ ਸਰਟੀਫਿਕੇਟ ਜਾਂਚਣਾ ਹੈ।

ਇਹ ਜੋ ਨਹੀਂ ਕਰਦਾ ਉਹ ਹੈ ਹਰ ਕਲਾਇੰਟ ਦੀ ਨੀਤੀ ਦਾ ਮੁੜ-ਉਤਪਾਦਨ। ਪਿੰਨ, ਉਦੇਸ਼ ਸੀਮਾ ਜਾਂ ਕਲਾਇੰਟ-ਖਾਸ ਪਛਾਣ ਜਾਂਚ ਕਲਾਇੰਟ ਵਿੱਚ ਰਹਿੰਦੀ ਹੈ, ਇਸ ਕਮਾਂਡ ਵਿੱਚ ਨਹੀਂ। ਸਰਵਰ 'ਤੇ ਤਸਦੀਕ ਪਾਸ ਹੋਣ ਅਤੇ ਕਨੈਕਸ਼ਨ ਫਿਰ ਵੀ ਫੇਲ੍ਹ ਹੋਣ 'ਤੇ ਇਹੀ ਸੈਟਿੰਗਾਂ ਜਾਂਚਣੀਆਂ ਹੁੰਦੀਆਂ ਹਨ। ਦੋਵੇਂ ਨਿਦਾਨ ਵੱਖਰੇ ਰੱਖੋ, ਨਹੀਂ ਤਾਂ ਪਿੰਨਿੰਗ ਗਲਤੀ ਦਾ ਪਿੱਛਾ ਕਰਦਿਆਂ ਤੰਦਰੁਸਤ ਸਰਟੀਫਿਕੇਟ ਨਵਿਆਉਗੇ।

ਜਾਂਚ ਕੀ ਸਾਬਤ ਕਰਦੀ ਹੈ ਅਤੇ ਕੀ ਛੱਡ ਦਿੰਦੀ ਹੈ

ਇਹ ਤੁਹਾਡੇ ਦਿੱਤੇ ਟਰੱਸਟ ਫਾਈਲ ਦੇ ਵਿਰੁੱਧ ਪਾਥ ਅਤੇ ਉਦੇਸ਼ ਦੀ ਜਾਂਚ ਹੈ। HTTPS ਨਾਮ ਜਾਂਚ ਲਈ ਢੁਕਵੇਂ ਵਿਕਲਪ ਰਾਹੀਂ ਉਮੀਦ ਕੀਤਾ ਹੋਸਟਨਾਮ ਜੋੜੋ; VPN ਕਨੈਕਸ਼ਨ ਲਈ ਕਲਾਇੰਟ ਦੀਆਂ ਸੰਰਚਿਤ ਪਛਾਣ ਜਾਂਚਾਂ ਰੱਖੋ ਅਤੇ ਉਹ ਟਰੱਸਟ ਸਮੱਗਰੀ ਵਰਤੋ ਜੋ ਉਹ ਕਲਾਇੰਟ ਸੱਚਮੁੱਚ ਪੜ੍ਹਦਾ ਹੈ।

ਸਰਵਰ ਜੋ ਭੇਜਦਾ ਹੈ ਉਹ ਉਮੀਦਵਾਰਾਂ ਦਾ ਸਮੂਹ ਹੈ, ਤੁਹਾਡੇ ਕਲਾਇੰਟ ਦੁਆਰਾ ਅੰਤ ਵਿੱਚ ਬਣਾਇਆ ਜਾਣ ਵਾਲਾ ਪਾਥ ਨਹੀਂ। ਸਥਾਨਕ ਟਰੱਸਟ ਅਤੇ ਲਾਇਬ੍ਰੇਰੀ ਦੇ ਨਿਰਮਾਣ ਨਿਯਮ ਦੋਵੇਂ ਨਤੀਜਾ ਬਣਾਉਂਦੇ ਹਨ, ਇਸ ਲਈ ਉਹੀ ਜਵਾਬ ਇੱਕ ਮਸ਼ੀਨ 'ਤੇ ਤਸਦੀਕ ਹੋ ਸਕਦਾ ਹੈ ਅਤੇ ਦੂਜੀ 'ਤੇ ਫੇਲ੍ਹ। ਸਮਾਨ ਮੁਲਾਂਕਣ ਮੰਨਣ ਤੋਂ ਪਹਿਲਾਂ ਫੇਲ੍ਹ ਹੋਣ ਵਾਲੇ ਕਲਾਇੰਟ ਦੇ ਸੰਭਾਲੇ ਟਰੱਸਟ ਸਟੋਰ ਅਤੇ TLS ਲਾਗੂਕਰਨ ਦੀ ਤੁਲਨਾ ਕੰਮ ਕਰਦੇ ਕਲਾਇੰਟ ਨਾਲ ਕਰੋ। ਉੱਥੋਂ ਦਾ ਫ਼ਰਕ „ਸਿਰਫ਼ ਇਹ ਲੈਪਟਾਪ ਫੇਲ੍ਹ ਹੁੰਦਾ ਹੈ“ ਵਰਗੀਆਂ ਕਈ ਰਿਪੋਰਟਾਂ ਦੀ ਵਿਆਖਿਆ ਕਰਦਾ ਹੈ।

ਹਰ ਸਰਟੀਫਿਕੇਟ ਦੀ ਵਿੰਡੋ ਇੱਕ-ਇੱਕ ਕਰਕੇ ਦੇਖਣ ਦੀ ਥਾਂ ਸਮੂਹ ਵਜੋਂ ਦੇਖਣ ਲਈ, ਇਨ੍ਹਾਂ ਨੂੰ ਇੰਝ ਪ੍ਰਿੰਟ ਕਰੋ:

$ openssl x509 -in server.pem -noout -subject -dates
$ openssl crl2pkcs7 -nocrl -certfile intermediates.pem \
    | openssl pkcs7 -print_certs -noout

ਉਹ ਦੂਜੀ ਕਮਾਂਡ ਹਰ ਫਾਈਲ ਨੂੰ ਹੱਥੀਂ ਡੀਕੋਡ ਕੀਤੇ ਬਿਨਾਂ subject ਅਤੇ ਜਾਰੀਕਰਤਾਵਾਂ ਦੀ ਸੂਚੀ ਦਿੰਦੀ ਹੈ, ਇੰਝ ਤੁਸੀਂ ਉਹ ਮੱਧਵਰਤੀ ਸਰਟੀਫਿਕੇਟ ਲੱਭਦੇ ਹੋ ਜਿਸ ਦੀ ਤਾਰੀਖ਼ ਲੰਘ ਚੁੱਕੀ ਹੈ ਜਦੋਂ ਕਿ ਲੀਫ਼ ਅਜੇ ਵੀ ਠੀਕ ਦਿਸਦਾ ਹੈ।

ਤਸਦੀਕ ਕਮਜ਼ੋਰ ਕੀਤੇ ਬਿਨਾਂ ਪਾਥ ਦੀ ਮੁਰੰਮਤ ਕਰੋ

ਜਦੋਂ ਸਮਾਪਤ ਹੋਇਆ ਮੱਧਵਰਤੀ ਜਾਂ ਪੁਰਾਣਾ ਕ੍ਰਾਸ-ਦਸਤਖ਼ਤ ਸਰਟੀਫਿਕੇਟ ਦਿੱਤਾ ਜਾਂਦਾ ਹੈ, ਜਾਰੀਕਰਤਾ ਦੀ ਮੌਜੂਦਾ ਸਮਰਥਿਤ ਚੇਨ ਲੈ ਕੇ ਸੇਵਾ ਦੇ ਦਸਤਾਵੇਜ਼ੀ ਸਰਟੀਫਿਕੇਟ ਵਰਕਫ਼ਲੋ ਰਾਹੀਂ ਤੈਨਾਤ ਕਰੋ। ਜੇ ਕਲਾਇੰਟ ਕੋਲ ਇੱਛਤ ਸੰਭਾਲਿਆ ਐਂਕਰ ਨਹੀਂ ਹੈ, ਤਾਂ ਉਸ ਦੀ ਪ੍ਰਬੰਧਿਤ ਟਰੱਸਟ ਸੰਰਚਨਾ ਜਾਂ ਕਲਾਇੰਟ ਸੌਫਟਵੇਅਰ ਅੱਪਡੇਟ ਕਰੋ। ਸਿਰਫ਼ ਸੰਦੇਸ਼ ਚੁੱਪ ਕਰਾਉਣ ਲਈ ਬੰਡਲ ਦੇ ਹਰ ਸਰਟੀਫਿਕੇਟ ਨੂੰ ਰੂਟ ਵਜੋਂ ਚਿੰਨ੍ਹਿਤ ਕਰਨ ਦੇ ਸ਼ਾਰਟਕੱਟ ਦਾ ਵਿਰੋਧ ਕਰੋ।

ਰੂਟ ਨਾਲ ਨਜਿੱਠਣਾ ਇੱਕ ਨੋਟ ਦੇ ਯੋਗ ਹੈ, ਕਿਉਂਕਿ ਸਾਰਾਂਸ਼ ਅਕਸਰ ਇਸ ਨੂੰ ਵਧਾ-ਚੜ੍ਹਾ ਕੇ ਪੇਸ਼ ਕਰਦੇ ਹਨ। RFC 5280 ਐਂਕਰ ਨੂੰ ਭਵਿੱਖੀ ਪਾਥ ਤੋਂ ਬਾਹਰ ਰਹਿੰਦੇ ਇਨਪੁੱਟ ਵਜੋਂ ਮੰਨਦਾ ਹੈ, ਜਦੋਂ ਕਿ OpenSSL ਆਪਣੇ ਰੂਟ CA ਸਰਟੀਫਿਕੇਟ ਨੂੰ ਸ਼ਾਮਲ ਕਰਨ ਵਾਲੀਆਂ ਵੈਧਤਾ ਜਾਂਚਾਂ ਦਾ ਦਸਤਾਵੇਜ਼ੀਕਰਨ ਕਰਦਾ ਹੈ। ਦੋਵੇਂ ਬਿਆਨ ਆਪਣੀਆਂ ਹੀ ਪ੍ਰਣਾਲੀਆਂ ਲਈ ਸਹੀ ਹਨ; ਇੱਕ ਲਾਇਬ੍ਰੇਰੀ ਦੇ ਰੂਟ-ਸਮਾਪਤੀ ਵਿਵਹਾਰ ਨੂੰ ਹਰ ਕਲਾਇੰਟ 'ਤੇ ਆਮ ਬਣਾਉਣਾ ਭਰੋਸੇਯੋਗ ਗਲਤ ਜਵਾਬ ਦਿੰਦਾ ਹੈ।

ਬਦਲਾਅ ਤੋਂ ਬਾਅਦ, ਪ੍ਰਭਾਵਿਤ ਕਲਾਇੰਟ 'ਤੇ ਨਵੀਂ ਪ੍ਰਮਾਣਿਕਤਾ ਲਾਜ਼ਮੀ ਕਰੋ ਅਤੇ ਪੁਸ਼ਟੀ ਕਰੋ ਕਿ ਖਾਸ ਸਮਾਪਤੀ ਸੰਦੇਸ਼ ਗਿਆ ਹੈ। ਲੀਫ਼ ਦੀ ਨਵਿਆਈ ਸਿਰਫ਼ ਤਦ ਕਰੋ ਜੇ ਲੀਫ਼ ਆਪ ਹੀ ਅਣਉਚਿਤ ਹੈ। ਸਮਾਂ ਜਾਂਚਾਂ ਬੰਦ ਕਰਨਾ ਜਾਂ ਇਤਿਹਾਸਕ ਕ੍ਰਾਸ-ਸਰਟੀਫਿਕੇਟ ਬਹਾਲ ਕਰਨਾ ਵੈਧ ਮੌਜੂਦਾ ਪਾਥ ਨਹੀਂ ਬਣਾਉਂਦਾ; ਇਹ ਸਿਰਫ਼ ਅਗਲੀ ਅਸਫਲਤਾ ਨੂੰ ਲੰਮਾ ਕਰਦਾ ਹੈ।