د پاڼې سند معتبر، زنځیر پای ته رسېدلی: ژوروالی ولولئ

تاسو د سرور سند ګورئ، په ساعت کې لاهم میاشتې پاتې وینئ، او کلاینټ لاهم د پای ته رسېدو پیغام سره اړیکه ردوي۔ هغه نېټه چې تاسو لولئ د پاڼې ده، او شکایت کېدای شي په لار کې د یو څه ژور وي۔ تایید د یوه زنځیر له لارې تېرېږي، او هر هغه سند چې دا تګ یې غوره کړي، کېدای شي په خپله اعتبار وینډو کې پاتې راشي۔ مخکې له دې چې څه نوي کړئ، ولولئ چې کوم یو پاتې راغی۔

ژوروالی هغه سند نوموي چې پاتې راغلی

د OpenSSL په تشخیص کې، ژوروالی 0 هدف سند دی او ژوروالی 1 هغه صادروونکی دی چې لاسلیک یې کړی، او لوی شمېرې د باور لنګر ته دوام کوي۔ په ژوروالی 1 کې راپور شوی پای ته رسېدل د پاڼې په اوسني notAfter سره مخالف نه دی، نو د لیدونکي سند بیا کتل به هېڅکله تېروتنه تشریح نه کړي۔

د پاتې راغلي سند د ګوتې نښه د هغه له subject سره یوځای ولیکئ، ځکه چې بېلابېل سندونه کېدای شي یو شان CA نوم ولري۔ کراس لاسلیک کول دقیقاً هغه حالت رامنځته کوي: هماغه واکمنه اداره له یو ځل څخه زیات، په بېلابېلو اعتبار نېټو سره ښکاري، او تاییدوونکي هغه غوره کړ چې تاسو یې تمه نه درلوده۔ پیژندل شوی لیبل پیژندونکی نه دی، او د ګوتې نښه هغه څه ده چې یو شان نوم لرونکي دوه شیان جلا کوي۔

هغو محصولاتو ته هم پام وکړئ چې له یوې څخه زیاتې د سند رول ولري۔ په OpenVPN Access Server کې، هغه سندونه چې د ویب انټرفیسونو ساتنه کوي د VPN اړیکو لپاره کارېدونکو څخه جلا دي، نو هغه براوزر چې د ادمین پاڼه پرانیزي د تونل د لارې په اړه هېڅ نه ثابتوي۔

د باور ننوتنې د زنځیر نوماندانو سره یو شان نه دي

تاییدوونکي ته دواړه ننوتنې جلا او په څرګند ډول ورکړئ۔ د باور فایل هغه لنګرونه لري چې تاسو یې منئ؛ ناباوره بنډل هغه منځني سندونه لري چې د لارې د جوړولو لپاره وړاندې کیږي۔ د دوی ګډول هغه لاره ده چې خلک په ناڅاپي ډول یو منځنی سند تر ریښې پورې پورته کوي او بیا حیرانېږي چې ولې هماغه تېروتنه د ماشینونو ترمنځ دوی تعقیبوي۔

$ openssl verify -verbose -show_chain -purpose sslserver \
    -CAfile trusted-roots.pem -no-CApath -no-CAstore \
    -untrusted intermediates.pem server.pem

د ډیفالټ لارې او زېرمې غیر فعالول د -no-CApath -no-CAstore سره ازموینه صادقه ساتي: نتیجه بیا ستاسو په نومول شوو فایلونو پورې اړه لري، نه په هغه څه چې کاري سټیشن ناڅاپي باور لري۔ د OpenSSL د تایید مرجع دا انتخابونه او هغه تشخیص چې دوی یې تولیدوي مستند کوي۔

-show_chain کله چې تایید بریالی شي جوړ شوی زنځیر چاپوي، کوم چې د دې لپاره ګټور دی چې تصدیق کړي لاره هماغه ده چې تاسو یې اراده درلوده۔ کله چې پاتې راشي، راپور شوی ژوروالی او subject وساتئ؛ هغه دوه ساحې بل لوستونکي ته وایي چې کوم سند وګوري۔

هغه څه چې دا نه کوي دا د هر کلاینټ پالیسي بیا تولیدول دي۔ پین، د هدف محدودیت یا د کلاینټ ځانګړې هویت ګوتنه په کلاینټ کې ژوند کوي، نه په دې کمانډ کې۔ هغه ترتیبات دي چې باید وګورل شي کله چې په سرور تایید تېر شي او اړیکه لاهم پاتې راشي۔ دواړه تشخیصونه جلا وساتئ، که نه نو د پینینګ تېروتنې په تعقیب کې به روغ سند نوی کړئ۔

ازموینه څه ثابتوي او څه پرېږدي

دا ستاسو د ورکړل شوي باور فایل په وړاندې د لارې او هدف ازموینه ده۔ د HTTPS نوم ازموینې لپاره د مناسب انتخاب له لارې تمه شوی هوسټ نوم اضافه کړئ؛ د VPN اړیکې لپاره د کلاینټ ترتیب شوې هویت ګوتنې وساتئ او هغه باور مواد وکاروئ چې هماغه کلاینټ واقعاً لولي۔

هغه څه چې سرور یې لیږي د نوماندانو یوه ټولګه ده، نه هغه لاره چې ستاسو کلاینټ به په پای کې جوړه کړي۔ ځایي باور او د کتابتون د جوړولو قواعد دواړه نتیجه جوړوي، له همدې امله یو ځواب کېدای شي په یوه ماشین کې تایید شي او په بل کې پاتې راشي۔ د یو شان ارزونې د فرض کولو دمخه د پاتې راغلي کلاینټ ساتل شوې باور زېرمه او TLS تطبیق د کاري کلاینټ سره پرتله کړئ۔ هلته توپیر ډېر راپورونه «یوازې دا لپټاپ پاتې راځي» تشریح کوي۔

د هر سند وینډو د یو یو پرځای د یوې ټولګې په توګه لیدلو لپاره، دوی داسې چاپ کړئ:

$ openssl x509 -in server.pem -noout -subject -dates
$ openssl crl2pkcs7 -nocrl -certfile intermediates.pem \
    | openssl pkcs7 -print_certs -noout

هغه دویم کمانډ هر فایل په لاسي ډول دیکوډ کولو پرته subjectونه او صادروونکي لیست کوي، همداسې تاسو هغه منځنی سند پېژنئ چې نېټه یې تېره شوې او پاڼه لا هم ښه ښکاري۔

لاره د تایید د کمزوري کولو پرته سمه کړئ

کله چې پای ته رسېدلی منځنی یا زوړ کراس لاسلیک شوی سند وړاندې شي، د صادروونکي اوسنی ملاتړ شوی زنځیر ترلاسه کړئ او د خدمت د مستند سند کاري بهیر له لارې ځای پر ځای یې کړئ۔ کله چې کلاینټ ته اراده شوی ساتل شوی لنګر نه وي، د هغه مدیریت شوی باور ترتیب یا کلاینټ سافټویر تازه کړئ۔ د پیغام د غلي کولو لپاره د بنډل هر سند د ریښې په توګه نښه کولو لنډې لارې سره مقاومت وکړئ۔

د ریښې سره چلند یو یادښت مستحق دی، ځکه چې لنډیزونه ډېری وختونه مبالغه کوي۔ RFC 5280 لنګر د راتلونکې لارې څخه بهر ننوتنه ګڼي، پداسې حال کې چې OpenSSL د اعتبار هغه ګوتنې مستند کوي چې د هغه ریښې CA سند پکې شامل دی۔ دواړه بیانونه د خپلو سیسټمونو لپاره سم دي؛ د یو کتابتون د ریښې پای ته رسېدو چلند هر کلاینټ ته عمومي کول باوري غلط ځوابونه ورکوي۔

د بدلون وروسته، په اغیزمن شوي کلاینټ باندې نوی تصدیق اجباري کړئ او ډاډ ترلاسه کړئ چې ځانګړی پای ته رسېدو پیغام ورک شوی۔ پاڼه یوازې هغه وخت نوی کړئ چې پاڼه پخپله نامناسبه وي۔ د وخت ګوتنې غیر فعالول یا تاریخي کراس سند بحالول معتبر اوسنی لاره نه جوړوي؛ دا یوازې بل پاتې راتلل ځنډوي۔