په کراس لاسلیک شوی CA: کیلي سمون خوري، د AKI تړاو نه

دوه CA سندونه کولای شي یوه عامه کیلي او یو subject ولري او بیا هم د بدلېدو وړ نه وي. یو ځان-لاسلیک شوی دی، بل د زوړ ریښې لخوا کراس لاسلیک شوی، او د هغوی د خپروونکي نومونه، سیریل شمېرې او لاسلیکونه توپیر لري. یوه پاڼه کولای شي په ځانګړي ډول د خپل Authority Key Identifier له لارې له یوې سره وتړل شي. هغه تړاو تر هغه پټ پاتې کېږي چې یو کلاینټ غلطه زنځیر وټاکي او handshake پرته له څرګند دلیل ناکام شي.

دا پنځه کتنې په ترتیب سره وکړئ: هر یو بېلابېل ناکامي لرې کوي.

کتنه 1: د کالب څخه مخکې دواړه زنځیرونه رسم کړئ

لارې ولیکئ. زوړ نفوس پر زوړ ریښه A باور لري، چې CA B یې خپور کړ، چې د سرور پاڼه یې خپره کړه. نوی نفوس په مستقیم ډول پر ځان-لاسلیک شوي CA B باور لري. دواړه B سندونه یوه کیلي او subject لري، او همدا لامل دی چې د subject کرښه لوستونکی یو CA ویني چېرې چې کلاینټ دوه ویني.

کراس لاسلیک شوې کاپي هم باید ریښتینی CA سند وي، چې basic constraints او key usage د لاسلیک اجازه ورکوي.

کتنه 2: د AKI ساحې پرتله کړئ، نه یوازې کیلي

د پاڼې د خپروونکي نوم باید د B له subject سره سمون ولري، او هغه برخه معمولاً ټینګه وي. Authority Key Identifier هغه ځای دی چې دوه کاپيانې جلا کېږي، ځکه کولای شي کیلي پېژندونکی، خپروونکی سند او سیریل شمېره ولري. کیلي پېژندونکی له دواړو کاپیانو سره سمون لري، ځکه کیلي یوه ده. خپروونکی او سیریل ساحې له یوې سره سمون لري، او نو ځکه هغه زنځیر چې د ځان-لاسلیک شوې کاپي پر وړاندې جوړېږي کولای شي د کراس لاسلیک شوې پر وړاندې ناکام شي.

د اټکل کولو پر ځای پاڼه وګورئ: openssl x509 -in server.pem -noout -ext authorityKeyIdentifier.

بیا دواړه نوماندان د openssl x509 -in b-cross.pem -noout -text | grep -A2 "Authority Key Identifier" سره پرتله کړئ، او همدا حکم د ځان-لاسلیک شوې کاپي پر وړاندې وچلوئ.

که پاڼه خپروونکی او سیریل ولري، یوازې هغه سند چې دا ارزښتونه یې بیانوي زنځیر بشپړوي، هر هغه کاپي چې کلاینټ بار کړې وي.

کتنه 3: د خپرولو تګلاره بدله کړئ، هېڅکله لاسلیک شوي بایټان نه

غځونې د لاسلیک په داخل کې ژوند کوي. په موجوده پاڼه کې یوه زیاتول، لرې کول یا سمول ترمیم نه دی، دا بله سند دی، او بیا خپرولو ته اړتیا لري. بدلون د خپرولو تګلارې ته اړه لري: authorityKeyIdentifier = keyid,issuer:always نویو پاڼو ته د سند ځانګړی تړاو ورکوي، پداسې حال کې چې یوازې keyid هغه خورا خلاص بڼه ساتي چې د ارادي کراس لاسلیک لیږد لپاره ښه ده. د راتلونکې ډلې له لاسلیک مخکې پرېکړه وکړئ چې ستاسو PKI کومه غواړي.

د شریک کالب سمول هر راتلونکی سند هم بدلوي، نه یوازې هغه سرور چې ستاسو مخې ته دی.

کتنه 4: هر باور نفوس په جلا ډول تایید کړئ

زوړه لار او نوې لار د جلا چلولو په توګه وآزموئ. openssl verify -purpose sslserver -verify_hostname vpn.example -CAfile old-root.pem -untrusted b-cross-signed.pem server.pem کراس لاسلیک شوې لار تمرینوي، او همدا حکم چې نوی ریښه او untrusted فایل نلري ځان-لاسلیک شوې لار تمرینوي. دواړه ریښې په یوه بنډل کې ګډول پټوي چې کومه زنځیر وټاکل شوه. بیا یې له ریښتینو کلاینټونو سره تکرار کړئ، ځکه یو VPN backend کولای شي زنځیر غوره کړي یا سند پن کړي په داسې لارو چې openssl نه کوي.

منځنی سند د هغه خدمت تنظیماتو له لارې وسپارئ چې کلاینټ یې واقعاً لولي، نه د ویکي پاڼې له لارې.

کتنه 5: زوړه لار د تقاعد ساعت پر مخ وساتئ

کراس لاسلیک په ډیزاین سره زوړ باور لار ژوندې ساتي، چې دا هم هدف او هم خطر دی. دا یوه زیانمنه زوړه ریښه نه سمه کوي، او هغه ریښه له هیچا کلاینټ څخه نه لرې کوي. ولیکئ چې زوړه لار کله باور ورکول بندوي، او تایید کړئ چې هغه ورځ واقعاً راځي.

که هر کلاینټ کولای شي نوی ریښه د پاڼو له حرکت مخکې ومني، یو ساده دوه-ګونې باور خپرول د کراس لاسلیک څخه ساده دي، او د تقاعد لپاره یو شی لږ پریږدي.