CA si iskudhaf ah loo saxeexay: furaha wuu iswaafajiyaa, isku-xirka AKI ma iswaafajiyo

Laba shahaadada CA waxay yeelan karaan isla furaha dadweynaha iyo isla subject oo weli aan la isweydaarsan karin. Mid waa is-saxeexan, kan kalena woowaha hore ayaa si iskudhaf ah u saxeexay, magacyada soo-saaraha, lambarrada taxanaha iyo saxeexyadoodu way kala duwan yihiin. Caleen waxay si gaar ah ula xiriiri kartaa mid ka mid ah iyada oo u maraysa Authority Key Identifier-keeda. Isku-xirkaas wuu qarsoonaanayaa ilaa macmiilku doorto silsiladda khaldan oo handshake-ku u guuldareysto sabab la'aan cad.

Samee shantan baaritaan si taxane ah: mid kastaa wuxuu meesha ka saaraa guul-darro kale.

Baaritaan 1: sawir labada silsiladood ka hor inta aanad taaban template-ka

Qor waddooyinka. Dadweynaha hore wuxuu aaminaa Woowaha Hore A, kaas oo soo saaray CA B, oo soo saaray caleenta server-ka. Dadweynaha cusub wuxuu si toos ah u aaminaa CA B is-saxeexan. Labada shahaado B waxay qaadaan isla furaha iyo subject, taasina waa sababta qofka akhrinaya sadarka subject uu u arko hal CA halka macmiilku u arko laba.

Nuqulka si iskudhaf ah loo saxeexay sidoo kale waa inuu noqdaa shahaado CA dhab ah, oo leh basic constraints iyo key usage oggol saxeex.

Baaritaan 2: isbarbardhig goobaha AKI, ma aha kaliya furaha

Magaca soo-saaraha caleentu waa inuu la jaanqaado subject-ka B, qaybtaasna inta badan way socotaa. Authority Key Identifier waa halka labada nuqul ay kala tagaan, sababtoo ah waxay qaadan kartaa aqoonsiga furaha, soo-saaraha shahaadada iyo lambarka taxanaha. Aqoonsiga furahu wuxuu la jaanqaadaa labada nuqul, maadaama furahu isku mid yahay. Goobaha soo-saaraha iyo taxanaha waxay la jaanqaadaan mid kaliya, taasina waa sababta silsilad lagu dhisay nuqulka is-saxeexan ay ugu guuldareysan karto kan si iskudhaf ah loo saxeexay.

Baadh caleenta halkii aad qiyaasi lahayd: openssl x509 -in server.pem -noout -ext authorityKeyIdentifier.

Kadib isbarbardhig labada musharrax openssl x509 -in b-cross.pem -noout -text | grep -A2 "Authority Key Identifier", oo isla amarkaas ku socodsii nuqulka is-saxeexan.

Haddii caleentu qaadato soo-saare iyo lambar taxane, kaliya shahaadada ay qeexaan qiyamyadaas ayaa dhammeystira silsiladda, nuqul kasta oo macmiilku soo raray.

Baaritaan 3: beddel siyaasadda soo-saarka, marnaba ha beddelin baytyada saxeexan

Kordhinta waxay ku nool yihiin gudaha saxeexa. Ku darista, ka saarista ama tafatirka mid ka mid ah caleen jirta ma aha hagaajin, waa shahaado kale, oo waxay u baahan tahay dib u soo saar. Isbeddelku wuxuu ku deelan yahay siyaasadda soo-saarka: authorityKeyIdentifier = keyid,issuer:always wuxuu ka dhigaa caleemaha cusub inay qaadaan isku-xirka shahaadada gaar u ah, halka keyid keligiis uu hayo qaabka dabacsan ee ku habboon kala-guurka si iskudhaf ah loo saxeexay ee ula kac ah. Go'aan ka gaar waxa PKI-gaagu rabo ka hor inta aan la saxeexin dufcadda xigta.

Tafatirka template la wadaago waxay sidoo kale beddelaa shahaado kasta oo mustaqbalka ah, ma aha kaliya server-ka hortaada.

Baaritaan 4: xaqiiji dadweyne kasta oo kalsooni si gooni ah

Tijaabi waddada hore iyo waddada cusub sidii orod gooni ah. openssl verify -purpose sslserver -verify_hostname vpn.example -CAfile old-root.pem -untrusted b-cross-signed.pem server.pem wuxuu tababaraa waddada si iskudhaf ah loo saxeexay, isla amarkaas oo leh woowaha cusub oo aan lahayn fayl untrusted wuxuu tababaraa waddada is-saxeexan. Labada woowaha ku darista hal xidhmo waxay qarinaysaa silsiladda la doortay. Kadib ku celi macmiillada dhabta ah, sababtoo ah backend VPN ayaa laga yaabaa inuu doorbido silsilad ama uu dhejiyo shahaado siyaabo aan openssl samayn.

Gaarsiiso shahaadada dhexdhexaadka ah iyada oo loo marayo habaynta adeegga uu macmiilku runtii akhriyo, ma aha bogga wiki.

Baaritaan 5: hay waddada hore saacadda hawlgabka

Saxeexa iskudhafku wuxuu nolol ku hayaa waddo kalsooni hore naqshad ahaan, taas oo labadaba ah ujeeddo iyo khatar. Ma daweeyo woowe hore oo waxyeelloobay, lamana tirito woowahaas macmiil kasta. Qor goorta waddada hore ay joojinayso kalsoonida, oo xaqiiji in maalintaas runtii timaado.

Haddii macmiil kastaa qaadan karo woowaha cusub ka hor inta aan caleemuhu dhaqaaqin, hirgelin laba-kalsooni oo fudud ayaa ka fudud saxeexa iskudhafka, oo waxay ka tagtaa hal shay oo ka yar oo la hawlgab geliyo.