نه ملاتړ شوی د سند هدف: ولې منځنی CA ناکامېږي

د سرور د سند هدف سم ښکاري، کیلي سره سمون لري، نېټې سمې دي، او اړیکه بیا هم unsupported certificate purpose سره ناکامېږي۔ هغه تفصیل چې دا حل کوي معمولاً د تېروتنې په همدې کرښه کې وي: د ژوروالي ارزښت او subject چې په زنځیر کې لوړ سند نوموي۔ دوه مختلفې ازموینې روانې دي، او یوازې یوه یې د پای سند په اړه ده۔ د دوی پرتله کول څرګندوي چې ولې د سرور سند بدلول هیڅ نه بدلوي۔

کوم سند چې تصدیق کوونکي په رښتیا رد کړ

زنځیر یو شی نه دی چې درې ځله تکرار شوی وي۔ پای سند د سرور نوم او کیلي لري، منځني سندونه هغه له ریښې سره نښلوي، او هر یو خپل د اعتبار موده، محدودیتونه او کارونې لري۔ کله چې تېروتنه ژوروالی نوموي، هغه شمېره په زنځیر کې یوه موقعیت په نښه کوي چې تصدیق کوونکي جوړ کړی، او کېدای شي هغه موقعیت نه وي چې تاسو یې تمه لرئ که سرور ناڅاپي زنځیر واستوي۔

د هغه ژوروالي د سند ساحې ولولئ، نه د هغه سند چې تاسو یې ګناهکار ګڼلی و۔ د هرې ساحې تویولو پرځای هغه دوه extensions وغواړئ چې صادرول محدودوي، ځکه چې ځواب نږدې تل په یوه کې وي۔ د extensions پایله شریکول خوندي دي؛ شخصي کیلي هیڅکله نه۔

openssl x509 -in issuing-ca.pem -noout -subject -issuer -ext basicConstraints -ext extendedKeyUsage

که نومول شوی سند منځنی وي او د هغه پراخه کیل کارونه د TLS سرور تصدیق سره نااړونده څه یاد کړي، نو پاتې ناکامي په میخانیکي ډول راځي۔ زنځیر د هغه هدف لپاره کارول کېدای نه شي چې OpenVPN غوښتی و۔

د پای سند هدف او د زنځیر پالیسي دوه ازموینې دي

د پای سند ازموینه یوه تنګه پوښتنه کوي: آیا دا پای سند د دې نوم لپاره د سرور تصدیق اجازه ورکوي؟ د زنځیر ازموینه پراخه پوښتنه کوي: آیا د لارې هر سند کولای شي هغه هدف ته خدمت وکړي؟ د سند واکمني چې یوازې د کليینټ سندونو صادرولو اجازه لري به خپلې لاسلیک څېړنې پاس کړي او بیا هم په دوهمه ازموینه کې ناکامه شي، ځکه چې هغه لاره چې اجازه ورکوي د اپلیکیشن اړین هدف نه لري۔ دواړه ازموینې په یوو کلمو ناکامېږي او په بشپړ ډول مختلف سمونونه لري۔

له همدې امله نوی صادر شوی پای سند، چې په هر لیدل کېدونکي ساحه کې سم دی، سمدلاسه ناکامېدای شي۔ له همدې امله سمون معمولاً د صادروونکي واکمني پروفایل ته اړه لري، نه د VPN تنظیماتو ته۔

نه شته EKU محدودوونکی EKU نه دی

RFC 5280 د پراخه کیل کارونې extension اختیاري کوي او کله چې موجود وي، محدودوونکی۔ نو د extension پرته CA سند سرور تصدیق ته 'نه' نه دی ویلي، په داسې حال کې چې یوازې نااړونده هدف لیست کوونکی ډېر ځانګړی څه ویلي۔ د دې دوو حالتونو سره د مساوي چلند کول غلط تشخیص او، تر هغه بدتره، غلط سمون ورکوي۔ دا توپیر دا هم څرګندوي چې ولې دوه واکمنۍ چې په کنسول کې ورته ښکاري په زنځیر کې په بشپړ ډول بېل چلند کوي۔

د کتابتونونو چلند هم دلته یو شان نه دی۔ د OpenSSL د تصدیق انتخابونو په اړه سند د CA سندونو په هدف څېړنو خپل چلند بیانوي، او هغه چلند د تطبیق پالیسي ده، نه هغه قاعده چې هر TLS سټک یې په یو شان پلي کوي۔ بیان کړئ چې ستاسو تصدیق کوونکی څه کوي، بیا یې هغه نسخه کې تایید کړئ چې تاسو یې په رښتیا چلوئ۔

د بیا صادرولو دمخه ناکامي آفلاین بیا تولید کړئ

آفلاین تصدیق اپلیکیشن له معادلې وباسي۔ که زنځیر د همدې هدف لاندې په همدې ډول ناکام شي، ستونزه په سند کې ده او هیڅ سرور تنظیم یې نشي پټولای۔ که زنځیر آفلاین تېر شي خو خدمت بیا هم انکار کوي، اپلیکیشن بل هدف غواړي یا له هغه زنځیر څخه بېل زنځیر کاروي چې تاسو ازمویلی و۔

openssl verify -purpose sslserver -show_chain -CAfile root-ca.pem -untrusted issuing-ca.pem vpn-server.pem

-show_chain مهم دی ځکه چې هغه لاره چاپوي چې وسایل جوړه کړې، او دا اکثراً د هغو فایلونو ترتیب نه دی چې تاسو ورکړی و۔ هغه پایله د دې موندلو تر ټولو ګړندې لاره ده چې دوهم منځنی سند د باور ذخیرې څخه کش کېږي، سرور هغه کراس لاسلیک شوی بڼه لېږي چې تاسو یې قصد نه درلود، یا له یوې لارښودنې کاپي شوی هدف بیرغ له هغې رول څخه بېل رول ته اړه لري چې خدمت ورته کېږي۔

د صادرولو پالیسي سمه کړئ، نه د تصدیق غږ

دوامداره سمون هغه منځنی سند دی چې د دې پالیسۍ لاندې صادر شوی وي چې هغه هدفونه اجازه ورکوي چې باید ورته خدمت وکړي، او محدودیت لیکل شوی او بیاکتنه شوی وي۔ هر هدف هرې واکمنۍ ته زیاتول پالیسي نه ده؛ دا هغه محدودیت لیرې کوي چې extension ته معنا ورکوله، او معمولاً تر هغه پېښې اوږد ژوند کوي چې هغه یې رامنځته کړې۔ په پروفایل کې یوه لنډه یادونه چې بیانوي واکمني کوم رولونه تصدیق کولای شي، بله بیا صادرونه له همدې جنجال څخه منع کوي۔

تصدیق بندول بله هڅوونکې لنډه لاره ده، او د سند ستونزه د باور ستونزې ته اړوي۔ د هدف څېړنه په خپل ځای وساتئ، زنځیر سم کړئ او هماغه آفلاین تصدیق بیا وچلوئ ترڅو تایید شي چې لاره اوس په ټاکل شوې رول خدمت کوي، بیا خدمت ته لاس ورکړئ۔