ca md too weak: ponovno izdati certifikat ili sniziti nivo?

OpenVPN klijent koji je prošlog meseca radio sada pada pri pokretanju sa ca md too weak, a profil na disku je bajt po bajt isti kao onaj koji je radio. Poruka se odnosi na potpis na certifikatu sertifikacionog tela, a ne na šifru podataka, auth digest ili lozinku naloga. Tri uslova odlučuju da li je popravka novi identitetski materijal, novi lanac ili namerna promena politike. Prođite ih po redu i izbeći ćete uobičajen ishod u kome se tunel vraća slabljenjem svake TLS veze na hostu.

Šta greška zapravo imenuje

OpenSSL podiže ovu grešku verifikacije dok gradi lanac, kada certifikat koji deluje kao CA nosi digest potpisa koji nivo bezbednosti biblioteke više ne prihvata. MD5 se odbija na podrazumevanom nivou, a SHA-1 se odbija kada se nivo podigne. Digest na listu certifikata je ovde manje važan od digesta izdavaoca koji ga potpisuje. Ista politika može odbiti koren koji je bio sasvim običan na dan izdavanja.

Zato uređivanje auth ili data-ciphers ne čini ništa za ovaj kvar. Te postavke uređuju kako su paketi zaštićeni posle rukovanja, dok je odbijeni objekat identitetski dokument koji se pregleda pre nego što tunel postoji. Certifikat može udobno stajati unutar svog perioda važenja i ipak nositi potpis koji biblioteka neće prihvatiti.

Držite provere odvojeno u glavi i greška prestaje da izgleda tajanstveno. Datumi važenja, upotreba ključa i digest potpisa su nezavisni testovi, i tačno jedan od njih je upravo pao.

Prvi uslov: da li je odbijeni objekat koren?

Štampajte svaki certifikat u profilu i pročitajte polja subject i issuer. Samopotpisani koren pokazuje istu vrednost u oba, a njegov algoritam potpisa je onaj na kome počiva ceo lanac. Kada slab digest stoji tamo, svaki list ispod njega nasleđuje problem. Zapišite algoritam pored subject da bi kasnije poređenje bilo mehaničko, a ne po pamćenju.

Objedinjeni CA fajlovi često sadrže nekoliko blokova, zato prepoznajte blok koji se zaista učitava umesto da pretpostavite da je prvi kriv. Komanda openssl x509 -in ca.pem -noout -subject -issuer -text opisuje jedan certifikat odjednom, što znači da se paket prvo mora razdvojiti ako sadrži više. Uporedite štampani algoritam potpisa sa digestom koji biste očekivali iz ere kada je koren napravljen.

List potpisan SHA-256 pod slabim korenom i dalje pada, jer provera lanca ide sve do vrha. Taj redosled je ono što sledeći uslov čini važnim.

Drugi uslov: da li kontrolišete izdavaoca?

Ako koren pripada vašoj organizaciji, trajna popravka je novi koren sa modernim digestom plus ponovo izdati listovi, isporučeni kao jedno ažuriranje profila. To košta prozor za održavanje i plan za uređaje koji ne mogu da prime ažuriranje istog dana.

Ako je lanac izdao treći, popravka je zahtev tom operatoru, a jedina korisna lokalna radnja je prestanak oslanjanja na stari materijal. Uređivanje PEM teksta ili ponovno čuvanje fajla ne menja ništa od onoga što potpis pokriva.

Jedan srednji slučaj zaslužuje ime: interni koren stariji od sadašnjih podrazumevanih vrednosti, ali koji i dalje potpisuje materijal kome druge sisteme veruju. Njegova zamena znači reviziju svakog potrošača, uključujući uređaje koji stari certifikat prikucavaju otiskom prsta. Prebrojte te potrošače pre zakazivanja promene, jer zamena korena koja propusti jednog menja grešku pri pokretanju za ispad.

Treći uslov: šta još prihvata snižavanje nivoa

Snižavanje nivoa bezbednosti, ili izbor nasleđenog profila certifikata OpenVPN-a, čini da klijent ponovo prihvati stari digest. To takođe popušta druge provere u istoj biblioteci, za svaku vezu koju taj proces napravi.

To može biti opravdano u laboratoriji, ili kao kratak most dok se priprema zamenski materijal, sve dok je izuzetak ograničen na jedan profil i ima datum završetka. Kao trajna postavka na deljenom hostu tiho širi ono čemu će svaki TLS klijent tamo verovati.

Zapišite izuzetak sa vlasnikom i korakom uklanjanja. Nedokumentovana promena nivoa se posle šest meseci ne razlikuje od greške, a sledeći inženjer neće znati da je to ikada bila odluka.

Odluka, zapisana kao pravilo

Zamenite lanac kada kontrolišete izdavaoca i možete nabrojati njegove potrošače. Eskalirajte izdavaocu kada ne kontrolišete. Snizite nivo samo kao datiran, ograničen izuzetak sa već zakazanom zamenom. Sve drugo ostavlja isti certifikat na mestu i premešta rizik negde manje vidljivo.

Zatim ponovo testirajte profil sa čistog klijenta, potvrdite da se rukovanje završava i sačuvajte tačan tekst odbijanja ako i dalje pada. Precizna poruka o grešci je najjeftinija stvar koju možete predati vlasniku sledećeg sloja.