සහාය නොදක්වන සහතික අරමුණ: අතරමැදි CA ඇයි අසාර්ථක වන්නේ

සේවාදායක සහතිකයේ අරමුණ නිවැරදි බව පෙනෙයි, යතුර ගැළපෙයි, දිනයන් හොඳයි, නමුත් සම්බන්ධතාවය තවමත් unsupported certificate purpose සමඟ අසාර්ථක වේ. මෙය විසඳන විස්තරය සාමාන්‍යයෙන් දෝෂයේ එකම පේළියේ ඇත: අගුළේ ඉහළින් ඇති සහතිකයක් නම් කරන ගැඹුරු අගයක් සහ subject එකක්. වෙනස් පරීක්ෂණ දෙකක් ධාවනය වන අතර, ඉන් එකක් පමණක් කොළය ගැනය. ඒවා සසඳන විට සේවාදායක සහතිකය මාරු කිරීමෙන් කිසිවක් නොවෙනස් වන්නේ ඇයිද යන්න පැහැදිලි වේ.

සත්‍යාපකය ඇත්තටම ප්‍රතික්ෂේප කළේ කුමන සහතිකයද

අගුළ එකම වස්තුව තුන් වරක් පුනරාවර්තනය කිරීමක් නොවේ. කොළය සේවාදායකයේ නම සහ යතුර දරයි, අතරමැදි සහතික එය මූලයකට සම්බන්ධ කරයි, සහ එක් එක් එකට තමන්ගේම වලංගු කාලය, සීමා සහ භාවිතයන් ඇත. දෝෂය ගැඹුරක් නම් කරන විට, එම සංඛ්‍යාව සත්‍යාපකය ගොඩනැගූ අගුළේ ස්ථානයක් හඳුනා ගනී, සහ සේවාදායකය අනපේක්ෂිත අගුළක් යවන්නේ නම් එය ඔබ බලාපොරොත්තු වන ස්ථානය නොවිය හැක.

එම ගැඹුරේ ඇති සහතිකයේ ක්ෂේත්‍ර කියවන්න, ඔබ වැරදිකරු යැයි සිතූ සහතිකයේ නොව. සෑම ක්ෂේත්‍රයක්ම වත් කිරීම වෙනුවට නිකුත් කිරීම සීමා කරන extensions දෙක ඉල්ලන්න, මන්ද පිළිතුර සෑම විටම පාහේ ඒවායින් එකක ඇත. extensions හි ප්‍රතිදානය බෙදාගැනීම ආරක්ෂිතය; පෞද්ගලික යතුරු කිසි විටෙකත් නොවේ.

openssl x509 -in issuing-ca.pem -noout -subject -issuer -ext basicConstraints -ext extendedKeyUsage

නම් කළ සහතිකය අතරමැදි එකක් නම් සහ එහි දිගු කළ යතුරු භාවිතය TLS සේවාදායක සත්‍යාපනයට සම්බන්ධ නොවන දෙයක් සඳහන් කරන්නේ නම්, ඉතිරි අසාර්ථකත්වය යාන්ත්‍රිකව පහළ වේ. OpenVPN ඉල්ලූ අරමුණ සඳහා අගුළ භාවිත කළ නොහැක.

කොළයේ අරමුණ සහ අගුළේ ප්‍රතිපත්තිය පරීක්ෂණ දෙකකි

කොළ පරීක්ෂණය පටු ප්‍රශ්නයක් අසයි: මෙම අවසන් ආයතන සහතිකය මෙම නම සඳහා සේවාදායක සත්‍යාපනයට අවසර දෙයිද? අගුළ පරීක්ෂණය වඩාත් පුළුල් එකක් අසයි: මාර්ගයේ සෑම සහතිකයක්ම එම අරමුණට සේවය කළ හැකිද? සේවාදායක සහතික පමණක් නිකුත් කිරීමට අවසර ඇති සහතික අධිකාරියක් තමන්ගේම අත්සන් පරීක්ෂණ සමත් වී දෙවන පරීක්ෂණයේ අසාර්ථක වේ, මන්ද එය අවසර දෙන මාර්ගයට යෙදුමට අවශ්‍ය අරමුණ ඇතුළත් නොවේ. පරීක්ෂණ දෙකම එකම වචනවලින් අසාර්ථක වන අතර සම්පූර්ණයෙන්ම වෙනස් නිවැරදි කිරීම් ඇත.

එබැවින් සෑම දෘශ්‍ය ක්ෂේත්‍රයකම නිවැරදිව අලුතින් නිකුත් කළ කොළයක් වහාම අසාර්ථක විය හැක. එබැවින් නිවැරදි කිරීම සාමාන්‍යයෙන් VPN වින්‍යාසයට නොව නිකුත් කරන අධිකාරියේ පැතිකඩට අයත් වේ.

නොමැති EKU එක සීමාකාරී EKU එකක් නොවේ

RFC 5280 දිගු කළ යතුරු භාවිතයේ extension එක අත්‍යවශ්‍ය නොවන ලෙස කරන අතර, එය ඇති විට සීමාකාරී වේ. එබැවින් extension නොමැති CA සහතිකය සේවාදායක සත්‍යාපනයට 'නැත' කියා නැත, නමුත් සම්බන්ධ නොවන අරමුණක් පමණක් ලැයිස්තුගත කරන එකක් ඉතා නිශ්චිත දෙයක් කියා ඇත. මෙම තත්ත්ව දෙක සමාන ලෙස සැලකීම වැරදි රෝග විනිශ්චයක් සහ, ඊටත් නරක ලෙස, වැරදි නිවැරදි කිරීමක් ලබා දෙයි. මෙම වෙනස කොන්සෝලයේ සමානව පෙනෙන අධිකාරි දෙකක් අගුළක වෙනස් ලෙස හැසිරෙන්නේ ඇයිද යන්නද පැහැදිලි කරයි.

පුස්තකාලවල හැසිරීමද මෙහි ඒකාකාරී නොවේ. OpenSSL හි සත්‍යාපන විකල්ප පිළිබඳ ලේඛනය CA සහතිකවල අරමුණු පරීක්ෂණ සඳහා තමන්ගේම ප්‍රවේශය විස්තර කරන අතර, එම ප්‍රවේශය ක්‍රියාත්මක කිරීමේ ප්‍රතිපත්තියක් මිස සෑම TLS තට්ටුවක්ම එකම ලෙස අනුගමනය කරන රීතියක් නොවේ. ඔබේ සත්‍යාපකය කරන්නේ කුමක්දැයි විස්තර කරන්න, පසුව ඔබ ඇත්තටම ධාවනය කරන අනුවාදය සමඟ එය තහවුරු කරන්න.

නැවත නිකුත් කිරීමට පෙර අසාර්ථකත්වය නොබැඳි ලෙස පුනරුත්පාදනය කරන්න

නොබැඳි සත්‍යාපනය යෙදුම සමීකරණයෙන් ඉවත් කරයි. එකම අරමුණ යටතේ අගුළ එකම ආකාරයට අසාර්ථක වන්නේ නම්, ගැටලුව සහතිකයේම වන අතර කිසිදු සේවාදායක වින්‍යාසයක් එය සඟවන්නේ නැත. අගුළ නොබැඳි ලෙස සමත් වන නමුත් සේවාව තවමත් ප්‍රතික්ෂේප කරන්නේ නම්, යෙදුම වෙනත් අරමුණක් ඉල්ලනවා හෝ ඔබ පරීක්ෂා කළ එකට වඩා වෙනස් අගුළක් භාවිත කරනවා.

openssl verify -purpose sslserver -show_chain -CAfile root-ca.pem -untrusted issuing-ca.pem vpn-server.pem

-show_chain වැදගත් වන්නේ එය මෙවලම ගොඩනැගූ මාර්ගය මුද්‍රණය කරන නිසාය, එය බොහෝ විට ඔබ ලබා දුන් ගොනු අනුපිළිවෙල නොවේ. එම ප්‍රතිදානය දෙවන අතරමැදි සහතිකයක් විශ්වාස ගබඩාවකින් ඇද ගනිමින් සිටින බව, සේවාදායකය ඔබ අදහස් නොකළ හරස්-අත්සන් කළ ප්‍රභේදයක් යවන බව, හෝ නිබන්ධනයකින් පිටපත් කළ අරමුණු ධජය සේවය කරන භූමිකාවට වඩා වෙනස් භූමිකාවකට අයත් බව සොයා ගැනීමට වේගවත්ම මාර්ගයයි.

නිකුත් කිරීමේ ප්‍රතිපත්තිය නිවැරදි කරන්න, සත්‍යාපන ඇමතුම නොව

දිගුකාලීන නිවැරදි කිරීම වන්නේ එය සේවය කළ යුතු අරමුණුවලට අවසර දෙන ප්‍රතිපත්තියක් යටතේ නිකුත් කළ අතරමැදි සහතිකයක් වන අතර, සීමාව ලියා සමාලෝචනය කර ඇත. සෑම අධිකාරියකටම සෑම අරමුණක්ම එකතු කිරීම ප්‍රතිපත්තියක් නොවේ; එය extension එකට අර්ථය දුන් සීමාව ඉවත් කරන අතර, සාමාන්‍යයෙන් එය ඇති කළ සිදුවීමට වඩා දිගු කල් පවතී. පැතිකඩෙහි අධිකාරියට කුමන භූමිකා සහතික කළ හැකිද යන්න විස්තර කරන කෙටි සටහනක් ඊළඟ නැවත නිකුත් කිරීම එම තර්කයම පුනරාවර්තනය කිරීම වළක්වයි.

සත්‍යාපනය අක්‍රීය කිරීම අනෙක් පෙළඹවීමේ කෙටි මාර්ගය වන අතර, එය සහතික ගැටලුවක් විශ්වාස ගැටලුවක් බවට පත් කරයි. අරමුණු පරීක්ෂණය එහි තබන්න, අගුළ නිවැරදි කරන්න, සහ මාර්ගය දැන් අපේක්ෂිත භූමිකාවට සේවය කරන බව තහවුරු කිරීමට එම නොබැඳි සත්‍යාපනය නැවත ධාවනය කරන්න, ඉන්පසු සේවාවට නැවත ස්පර්ශ කරන්න.