හරස්-අත්සන් කළ CA: යතුර ගැළපේ, AKI බැඳීම ගැළපෙන්නේ නැත
පත්‍රයකට එහි නිකුත් කරන්නා යතුරු හඳුනාගැනීම සමඟ නිකුත් කරන්නා සහ අනුක්‍රම අංකය මගින් සවි කළ හැක. හරස්-අත්සන් කළ දාමයක් හුවමාරු කළ හැකි ලෙස සැලකීමට පෙර එම බැඳීම පරීක්ෂා කරන්න.
CA සහතික දෙකකට එකම පොදු යතුර සහ එකම subject තිබිය හැකි අතර එසේ වුවත් ඒවා හුවමාරු කළ නොහැක. එකක් ස්වයං-අත්සන් කළ, අනෙක පැරණි මූලය විසින් හරස්-අත්සන් කළ, සහ ඒවායේ නිකුත් කරන්නාගේ නම්, අනුක්‍රම අංක සහ අත්සන් වෙනස් වේ. පත්‍රයකට එහි Authority Key Identifier හරහා විශේෂයෙන් එකකට බැඳිය හැක. එම බැඳීම දෘශ්‍ය නොවන ලෙස පවතින්නේ සේවා ලාභියෙක් වැරදි දාමය තෝරා ගන්නා තෙක් සහ handshake පැහැදිලි හේතුවකින් තොරව අසාර්ථක වන තෙක් ය.
මෙම පරීක්ෂණ පහ අනුපිළිවෙලින් කරන්න: එකින් එක වෙනස් අසාර්ථකත්වයක් බැහැර කරයි.
පරීක්ෂණය 1: අච්චුව ස්පර්ශ කිරීමට පෙර දාම දෙකම අඳින්න
මාර්ග ලියන්න. පැරණි ජනගහනය පැරණි මූල A විශ්වාස කරයි, එය CA B නිකුත් කළ අතර, එය සේවාදායකයාගේ පත්‍රය නිකුත් කළේය. නව ජනගහනය ස්වයං-අත්සන් කළ CA B සෘජුවම විශ්වාස කරයි. B සහතික දෙකම එකම යතුර සහ subject දරයි, එබැවින්ම subject පේළියක් කියවන පුද්ගලයෙක් එක් CA එකක් දකින තැන සේවා ලාභියා දෙකක් දකී.
හරස්-අත්සන් කළ පිටපතද සැබෑ CA සහතිකයක් විය යුතුය, basic constraints සහ key usage අත්සන් කිරීමට ඉඩ දෙන.
පරීක්ෂණය 2: යතුර පමණක් නොව AKI ක්ෂේත්‍ර සසඳන්න
පත්‍රයේ නිකුත් කරන්නාගේ නම B හි subject සමඟ ගැළපිය යුතු අතර, එම කොටස සාමාන්‍යයෙන් රැඳේ. පිටපත් දෙක අපසරන තැන Authority Key Identifier වේ, මන්ද එයට යතුරු හඳුනාගැනීම, නිකුත් කරන්නාගේ සහතිකය සහ අනුක්‍රම අංකය දරාගත හැක. යතුර සමාන බැවින් යතුරු හඳුනාගැනීම පිටපත් දෙකටම ගැළපේ. නිකුත් කරන්නා සහ අනුක්‍රම අංක ක්ෂේත්‍ර ගැළපෙන්නේ එකකට පමණි, එබැවින් ස්වයං-අත්සන් පිටපතට එරෙහිව ගොඩනඟන දාමය හරස්-අත්සන් පිටපතට එරෙහිව අසාර්ථක විය හැක.
අනුමාන නොකර පත්‍රය පරීක්ෂා කරන්න: openssl x509 -in server.pem -noout -ext authorityKeyIdentifier.
පසුව අපේක්ෂකයන් දෙදෙනා openssl x509 -in b-cross.pem -noout -text | grep -A2 "Authority Key Identifier" සමඟ සසඳන්න, සහ එම විධානයම ස්වයං-අත්සන් පිටපතට එරෙහිව ධාවනය කරන්න.
පත්‍රය නිකුත් කරන්නා සහ අනුක්‍රම අංකය දරන්නේ නම්, එම අගයන් විස්තර කරන සහතිකය පමණක් දාමය සම්පූර්ණ කරයි, සේවා ලාභියා කුමන පිටපතක් පූරණය කළත්.
පරීක්ෂණය 3: නිකුත් කිරීමේ ප්‍රතිපත්තිය වෙනස් කරන්න, අත්සන් කළ බයිට් කිසි විටෙක නොවේ
දිගු කිරීම් අත්සන තුළ ජීවත් වේ. පවතින පත්‍රයක එකක් එකතු කිරීම, ඉවත් කිරීම හෝ සංස්කරණය කිරීම අලුත්වැඩියාවක් නොවේ, එය වෙනස් සහතිකයකි, සහ නැවත නිකුත් කිරීම අවශ්‍ය වේ. වෙනස නිකුත් කිරීමේ ප්‍රතිපත්තියට අයත් වේ: authorityKeyIdentifier = keyid,issuer:always නව පත්‍ර සහතිකයට විශේෂිත බැඳීම දරන ලෙස සලසයි, එහෙත් තනිව keyid හිතාමතා හරස්-අත්සන් සංක්‍රාන්තියකට ගැළපෙන වඩා ලිහිල් ස්වරූපය රඳවා ගනී. ඊළඟ කණ්ඩායම අත්සන් කිරීමට පෙර ඔබේ PKI ට අවශ්‍ය කුමක්ද යන්න තීරණය කරන්න.
හවුල් අච්චුවක් සංස්කරණය කිරීම ඔබ ඉදිරියේ ඇති සේවාදායකයා පමණක් නොව සෑම අනාගත සහතිකයක්ම ද වෙනස් කරයි.
පරීක්ෂණය 4: සෑම විශ්වාස ජනගහනයක්ම වෙන් වෙන්ව තහවුරු කරන්න
පැරණි මාර්ගය සහ නව මාර්ගය වෙනස් ධාවන ලෙස පරීක්ෂා කරන්න. openssl verify -purpose sslserver -verify_hostname vpn.example -CAfile old-root.pem -untrusted b-cross-signed.pem server.pem හරස්-අත්සන් මාර්ගය පුහුණු කරයි, සහ නව මූලය සහ untrusted ගොනුවක් නොමැති එම විධානයම ස්වයං-අත්සන් මාර්ගය පුහුණු කරයි. මූල දෙකම එකම බණ්ඩලයක මිශ්‍ර කිරීම කුමන දාමය තෝරා ගත්තේද යන්න සඟවයි. පසුව සැබෑ සේවා ලාභීන් සමඟ නැවත කරන්න, මන්ද VPN පසුතලයක් දාමයකට මුල් තැන දිය හැක හෝ සහතිකයක් සවි කළ හැක openssl නොකරන ආකාරවලින්.
අතරමැදි සහතිකය සේවා ලාභියා සැබවින්ම කියවන සේවා වින්‍යාසය හරහා ලබා දෙන්න, විකි පිටුවක් හරහා නොවේ.
පරීක්ෂණය 5: පැරණි මාර්ගය විශ්‍රාම ඔරලෝසුවක තබන්න
හරස්-අත්සන් කිරීම නිර්මාණයෙන්ම පැරණි විශ්වාස මාර්ගයක් ජීවමානව තබයි, එය එකවර අරමුණ සහ අවදානමයි. එය අවදානමට ලක් වූ පැරණි මූලයක් සුවපත් නොකරයි, සහ එම මූලය කිසිදු සේවා ලාභියෙකුගෙන් ඉවත් නොකරයි. පැරණි මාර්ගය කවදා විශ්වාසය දීම නතර කරයිද යන්න ලියන්න, සහ එම දිනය සැබවින්ම පැමිණෙන බව තහවුරු කරන්න.
සෑම සේවා ලාභියෙකුටම පත්‍ර චලනය වීමට පෙර නව මූලය ගත හැකි නම්, සරල ද්විත්ව-විශ්වාස පිහිටුවීම හරස්-අත්සන් කිරීමට වඩා සරලය, සහ විශ්‍රාම ගැන්වීමට එක් දෙයක් අඩුවෙන් ඉතිරි කරයි.