පත්‍ර සහතිකය වලංගුයි, දාමය කල් ඉකුත් වී ඇත: ගැඹුර කියවන්න

ඔබ සේවාදායක සහතිකය පරීක්ෂා කරයි, ඔරලෝසුවේ තවමත් මාස ඉතිරිව ඇති බව දකියි, එහෙත් සේවාලාභියා කල් ඉකුත් වීමේ පණිවිඩයක් සමඟ සම්බන්ධතාවය ප්‍රතික්ෂේප කරයි. ඔබ කියවන දිනය පත්‍රයට අයත් වන අතර, පැමිණිල්ල මාර්ගයේ වඩාත් ගැඹුරු යමක් ගැන විය හැක. සත්‍යාපනය දාමයක් තරණය කරයි, සහ මෙම ගමන තෝරන ඕනෑම සහතිකයක් එහිම වලංගුතා කවුළුව තුළ අසාර්ථක විය හැක. යමක් අලුත් කිරීමට පෙර කුමක් අසාර්ථක වුණාද කියවන්න.

ගැඹුර අසාර්ථක වූ සහතිකය නම් කරයි

OpenSSL රෝග විනිශ්චයේදී, ගැඹුර 0 යනු ඉලක්ක සහතිකය වන අතර ගැඹුර 1 යනු එය අත්සන් කළ නිකුත් කරන්නාය; විශාල සංඛ්‍යා විශ්වාස ලංගරය දෙසට යයි. ගැඹුර 1 හි වාර්තා වූ කල් ඉකුත් වීම පත්‍රයේ පවතින notAfter මගින් ප්‍රතික්ෂේප නොවේ, එබැවින් දෘශ්‍ය සහතිකය නැවත පරීක්ෂා කිරීම දෝෂය කිසිදා විස්තර නොකරනු ඇත.

අසාර්ථක වූ සහතිකයේ ඇඟිලි සලකුණ එහි subject සමඟ සටහන් කරන්න, මන්ද විවිධ සහතික එකම CA නාමය දැරිය හැක. හරස් අත්සන් කිරීම එම තත්ත්වයම නිර්මාණය කරයි: එකම අධිකාරිය එක් වරකට වඩා, විවිධ වලංගුතා දින සමඟ දිස්වේ, සහ සත්‍යාපකයා ඔබ බලාපොරොත්තු නොවූ එක තෝරා ගත්තේය. හුරුපුරුදු ලේබලයක් හඳුනාගැනීමක් නොවේ, සහ ඇඟිලි සලකුණ යනු එකම නාමය බෙදාගන්නා වස්තු දෙකක් වෙන් කරන දෙයයි.

එකකට වඩා සහතික භූමිකාවක් ඇති නිෂ්පාදන දෙසද අවධානය යොමු කරන්න. OpenVPN Access Server හි, වෙබ් අතුරුමුහුණත් ආරක්ෂා කරන සහතික VPN සම්බන්ධතා සඳහා භාවිතා කරන ඒවාට වඩා වෙනස් ය, එබැවින් පරිපාලක පිටුව විවෘත කරන බ්‍රව්සරයක් උමං මාර්ගය ගැන කිසිවක් ඔප්පු නොකරයි.

විශ්වාස ආදාන දාම අපේක්ෂකයන්ට සමාන නොවේ

සත්‍යාපකයාට ආදාන දෙක වෙන් වෙන්ව සහ පැහැදිලිව දෙන්න. විශ්වාස ගොනුව ඔබ පිළිගන්නා ලංගර රඳවා ගනී; විශ්වාස නොකරන කදම්භය මාර්ගය ගොඩනැගීමට ඉදිරිපත් කරන අතරමැදි සහතික රඳවා ගනී. ඒවා මිශ්‍ර කිරීම යනු මිනිසුන් අහම්බෙන් අතරමැදි සහතිකයක් මූලයට උසස් කර පසුව එම දෝෂයම යන්ත්‍ර අතර ඔවුන් පසුපස එන්නේ මන්දැයි පුදුම වන ආකාරයයි.

$ openssl verify -verbose -show_chain -purpose sslserver \
    -CAfile trusted-roots.pem -no-CApath -no-CAstore \
    -untrusted intermediates.pem server.pem

පෙරනිමි මාර්ගය සහ ගබඩාව -no-CApath -no-CAstore සමඟ අබල කිරීම පරීක්ෂණය අවංකව තබයි: ප්‍රතිඵලය ඔබ නම් කළ ගොනු මත රඳා පවතී, කාර්ය ස්ථානය අහම්බෙන් විශ්වාස කරන දෙය මත නොවේ. OpenSSL සත්‍යාපන යොමුව මෙම විකල්ප සහ ඒවා නිපදවන රෝග විනිශ්චය ලේඛනගත කරයි.

සත්‍යාපනය සාර්ථක වූ විට -show_chain ගොඩනගන ලද දාමය මුද්‍රණය කරයි, එය මාර්ගය ඔබ අදහස් කළ එකම බව තහවුරු කිරීමට ප්‍රයෝජනවත් වේ. එය අසාර්ථක වූ විට, වාර්තා වූ ගැඹුර සහ subject රඳවා ගන්න; එම ක්ෂේත්‍ර දෙක ඊළඟ පාඨකයාට කුමන සහතිකය පරීක්ෂා කළ යුතුද යන්න කියයි.

මෙය නොකරන දෙය නම් සෑම සේවාලාභියෙකුගේ ප්‍රතිපත්තිය නැවත නිපදවීමයි. පින්, අරමුණු සීමාව හෝ සේවාලාභී-විශේෂිත අනන්‍යතා පරීක්ෂාව සේවාලාභියා තුළ ජීවත් වේ, මෙම විධානයේ නොවේ. සේවාදායකයේ සත්‍යාපනය සමත් වී සම්බන්ධතාවය තවමත් අසාර්ථක වන විට පරීක්ෂා කළ යුතු සැකසුම් ඒවාය. රෝග විනිශ්චය දෙක වෙන් කර තබන්න, නැතහොත් පින් කිරීමේ දෝෂයක් හඹා යමින් නිරෝගී සහතිකයක් අලුත් කරනු ඇත.

පරීක්ෂාව ඔප්පු කරන දේ සහ ඉවත් කරන දේ

මෙය ඔබ සැපයූ විශ්වාස ගොනුවකට එරෙහි මාර්ග සහ අරමුණු පරීක්ෂාවකි. HTTPS නාම පරීක්ෂාවක් සඳහා සුදුසු විකල්පය හරහා අපේක්ෂිත සත්කාරක නාමය එක් කරන්න; VPN සම්බන්ධතාවයක් සඳහා සේවාලාභියාගේ වින්‍යාසගත අනන්‍යතා පරීක්ෂා රඳවා ගෙන එම සේවාලාභියා සැබවින්ම කියවන විශ්වාස ද්‍රව්‍ය භාවිත කරන්න.

සේවාදායකයක් යවන්නේ අපේක්ෂකයන්ගේ කුලකයක් මිස ඔබේ සේවාලාභියා අවසානයේ ගොඩනගන මාර්ගය නොවේ. ස්ථානීය විශ්වාසය සහ පුස්තකාලයේ ගොඩනැගීම් නීති දෙකම ප්‍රතිඵලය හැඩගස්වයි, එබැවින් එකම ප්‍රතිචාරය එක් යන්ත්‍රයක සත්‍යාපනය වී තවත් එකක අසාර්ථක විය හැක. සමාන ඇගයීමක් උපකල්පනය කිරීමට පෙර අසාර්ථක සේවාලාභියාගේ නඩත්තු කරන ලද විශ්වාස ගබඩාව සහ TLS ක්‍රියාත්මක කිරීම ක්‍රියාකාරී සේවාලාභියෙකුගේ ඒවා සමඟ සසඳන්න. එහි ඇති වෙනස „මේ ලැප්ටොප් එකේ පමණක් අසාර්ථක වේ“ යන බොහෝ වාර්තා විස්තර කරයි.

සෑම සහතිකයකම කවුළුව එකින් එක වෙනුවට කුලකයක් ලෙස බැලීමට, ඒවා මෙසේ මුද්‍රණය කරන්න:

$ openssl x509 -in server.pem -noout -subject -dates
$ openssl crl2pkcs7 -nocrl -certfile intermediates.pem \
    | openssl pkcs7 -print_certs -noout

එම දෙවන විධානය සෑම ගොනුවක්ම අතින් විකේතනය නොකර subject සහ නිකුත් කරන්නන් ලැයිස්තුගත කරයි, එසේ ඔබ පත්‍රය තවමත් හොඳින් පෙනෙන අතරේ දිනය ඉකුත් වූ අතරමැදි සහතිකයක් දකියි.

සත්‍යාපනය දුර්වල නොකර මාර්ගය අලුත්වැඩියා කරන්න

කල් ඉකුත් වූ අතරමැදි හෝ යල් පැන ගිය හරස්-අත්සන් කළ සහතිකයක් සපයන විට, නිකුත් කරන්නාගේ දැනට ආධාරක දාමය ලබාගෙන සේවාවේ ලේඛනගත සහතික කාර්ය ප්‍රවාහය හරහා යොදවන්න. සේවාලාභියාට අදහස් කළ නඩත්තු ලංගරය නොමැති විට, ඔහුගේ කළමනාකරණය කරන විශ්වාස වින්‍යාසය හෝ සේවාලාභී මෘදුකාංගය යාවත්කාලීන කරන්න. පණිවිඩය නිහඬ කිරීමට පමණක් කදම්භයේ සෑම සහතිකයක්ම මූලය ලෙස සලකුණු කිරීමේ කෙටි මාර්ගයට විරුද්ධ වන්න.

මූලය හැසිරවීම සටහනක් ලැබිය යුතුය, මන්ද සාරාංශ බොහෝ විට එය අතිශයෝක්තියට පත් කරයි. RFC 5280 ලංගරය අනාගත මාර්ගයෙන් පිටත පවතින ආදානයක් ලෙස සලකයි, නමුත් OpenSSL එහි මූල CA සහතිකය ඇතුළත් වලංගුතා පරීක්ෂා ලේඛනගත කරයි. දෙප්‍රකාශයම ඒවායේම පද්ධති සඳහා සත්‍යය; එක් පුස්තකාලයක මූල-කල් ඉකුත් වීමේ හැසිරීම සෑම සේවාලාභියෙකුටම සාමාන්‍යකරණය කිරීම විශ්වාසයෙන් යුතු වැරදි පිළිතුරු ලබා දෙයි.

වෙනසෙන් පසු, බලපෑමට ලක් වූ සේවාලාභියා මත නව සත්‍යාපනයක් බලකර නිශ්චිත කල් ඉකුත් වීමේ පණිවිඩය ගොස් ඇති බව තහවුරු කරන්න. පත්‍රයම නුසුදුසු නම් පමණක් පත්‍රය අලුත් කරන්න. කාල පරීක්ෂා අබල කිරීම හෝ ඓතිහාසික හරස් සහතිකයක් ප්‍රතිස්ථාපනය කිරීම වලංගු වර්තමාන මාර්ගයක් නිපදවන්නේ නැත; එය ඊළඟ අසාර්ථකත්වය පමණක් ප්‍රමාද කරයි.