Shahaadada caleenta waa ansax, silsiladda way dhacday: akhri qoto dheerka

Waxaad eegtaa shahaadada server-ka, waxaad ku aragtaa bisha haray saacadda, macmiilka weli wuu diidaa xiriirka fariin dhicitaan ah. Taariikhda aad akhriday waxaa leh caleenta, cabashaduna waxay ku saabsan kartaa wax qoto dheer oo jidka ku jira. Xaqiijintu waxay maraa silsilad, iyo shahaado kasta oo socodkani doorto waxay ku guuldareysan kartaa daaqadda ansaxnimadeeda. Akhri midkee ku guuldareystay ka hor intaadan wax cusboonaysiin.

Qoto dheerku waxay magacawdaa shahaadada ku guuldareysatay

Baaritaanka OpenSSL, qoto dheer 0 waa shahaadada bartilmaameedka iyo qoto dheer 1 waa soo-saareha saxeexay, iyadoo tirooyin waaweyn ay sii wadaan xagga aaminka kalsoonida. Dhicitaan lagu soo sheegay qoto dheer 1 lagama horjeedo notAfter hadda jira oo ku yaal caleenta, sidaas darteed mar labaad baaritaanka shahaadada la arki karo waligeed ma sharraxayo khaladka.

Qor raadka faraha shahaadada ku guuldareysatay iyo subject-keeda, sababtoo ah shahaadooyin kala duwan ayaa qaadi kara isla magaca CA. Saxeexidda isdhaafka ah waxay abuurtaa isla xaaladdaas: isla hay'adda waxay u muuqataa in ka badan hal mar, oo leh taariikho ansaxnimo kala duwan, xaqiijiyuhuna wuxuu doortay midka aadan filayn. Summad caan ah ma aha aqoonsi, raadka faruhuna waa waxa kala sooca laba shay oo magac wadaaga.

Sidoo kale fiiri alaabada leh in ka badan hal doorka shahaadada. OpenVPN Access Server, shahaadooyinka ilaaliya interface-ka web-ka waxay ka duwan yihiin kuwa loo isticmaalo xiriirada VPN, sidaas darteed browser-ka furaya bogga maamulka waxba kama caddeeyo jidka tunnel-ka.

Gelinta kalsoonidu la mid maaha musharraxiinta silsiladda

Xaqiijiyaha sii labada gelin si gooni ah oo cad. Faylka kalsoonidu waxa uu hayaa aaminnada aad aqbasho; xirmada aan la aamini karin waxay haysaa shahaadooyin dhexdhexaad ah oo la soo bandhigay dhismaha jidka. Isku darkooda waa sida dadku si shil ah ugu qaadaan shahaado dhexdhexaad ah ilaa xidid oo ay la yaabaan sababta khaladkaas isla ah ay uga daba kaco mishiinnada dhexdooda.

$ openssl verify -verbose -show_chain -purpose sslserver \
    -CAfile trusted-roots.pem -no-CApath -no-CAstore \
    -untrusted intermediates.pem server.pem

Dami jidka iyo kaydka caadiga ah ee -no-CApath -no-CAstore waxay imtixaanka ka dhigtaa mid daacad ah: natiijadu waxay ku xiran tahay faylashaad sheegtay, ma aha waxa shaqada-salaynta si shil ah u aaminsan tahay. Tixraaca xaqiijinta OpenSSL wuxuu diiwaangeliyaa doorashooyinkan iyo baaritaanka ay soo saaraan.

-show_chain wuxuu daabacaa silsiladda la dhisay marka xaqiijintu guulaysato, taas oo faa'iido leh si loo xaqiijiyo in jidku yahay kii aad doonaysay. Marka ay guuldareysato, hay qoto dheerka iyo subject-ka la soo sheegay; labadaas goobood waxay u sheegaan akhristaha xiga shahaadada la baarayo.

Waxa aanay tan samaynayn waa soo saarista siyaasadda macmiil kasta. Pin, xaddidnaan ujeeddo ama baaritaan aqoonsi oo macmiil-gaar ah waxay ku nool yihiin macmiilka, ma aha amarkan. Kuwaas waa dejimaha la baarayo marka xaqiijinta server-ka ay gudubto oo xiriirku weli guuldareysto. Kala hay labada baaritaan, haddii kale waxaad cusboonaysiin doontaa shahaado caafimaad qabta adigoo eryanaya khalad pinning.

Waxa baaritaanku caddeeyo iyo waxa uu ka tago

Kani waa baaritaan jid iyo ujeeddo oo ka horyimid fayl kalsoonida aad bixisay. Baaritaanka magaca HTTPS, ku dar magaca martigeliyaha la filayo iyada oo loo marayo doorashada ku habboon; xiriirka VPN, hay baaritaannada aqoonsiga ee macmiilka loo habeeyay oo isticmaal qalabka kalsoonida ee macmiilkaas dhab ahaan akhriyo.

Waxa server-ku soo diraa waa koox musharrax ah, ma aha jidka uu macmiilkaagu ugu dambayn dhisan doono. Kalsoonida gudaha iyo xeerarka dhismaha maktabadda labaduba waxay qaabeeyaan natiijada, taas ayaa sababta jawaab isku mid ah ay ugu xaqiijin karto hal mishiin oo ku guuldareysan karto mid kale. Isbarbardhig kaydka kalsoonida la maareeyay iyo hirgelinta TLS ee macmiilka guuldareystay iyo kan macmiil shaqeeya ka hor intaadan u qaadan qiimeyn isku mid ah. Farqiga halkaas jira waxa uu sharraxayaa warbixinno badan oo ah „kombuyuutarkan qaadka ah oo kaliya ayaa guuldareysta“.

Si aad u aragto daaqadda shahaado kasta halkii mid mid, u daabac sidii koox:

$ openssl x509 -in server.pem -noout -subject -dates
$ openssl crl2pkcs7 -nocrl -certfile intermediates.pem \
    | openssl pkcs7 -print_certs -noout

Amarka labaad wuxuu taxaa subject-yo iyo soo-saareyaal iyada oo aan gacan ku dejin fayl kasta, sidaas ayaad u ogaataa shahaado dhexdhexaad ah oo taariikhdeedu dhaaftay iyadoo caleentu weli u muuqato mid fiican.

Hagaaji jidka adigoon daciifin xaqiijinta

Marka la bixiyo shahaado dhexdhexaad ah oo dhacday ama mid isdhaaf saxeex ah oo duugoobay, hel silsiladda hadda taageeran ee soo-saareha oo ku dhaqangel iyada oo loo marayo habka shahaadada ee adeegga diiwaangashan. Marka macmiilka uu ka maqan yahay aaminka la maareeyay ee loogu talagalay, cusboonaysii habaynta kalsoonida la maareeyay ama software-ka macmiilka. Ka hortag marinka gaaban ee ah in shahaado kasta oo xirmada ku jirta loo calaamadiyo xidid si loo aamusiyo fariinta oo keliya.

Xallinta xididka waxay mudan tahay qoraal, sababtoo ah soo-koobayaashu inta badan way buunbuuniyaan. RFC 5280 waxay u tixgelisaa aaminka gelin ka baxsan jidka la filayo, halka OpenSSL ay diiwaangeliso baaritaanno ansaxnimo oo ay ku jirto shahaadada CA xididkeeda. Labada hadalba waa run systemadooda u gaar ah; guud ahaan dhaqanka dhicitaanka xididka maktabad hal loo geeyo macmiil kasta waxay soo saartaa jawaabo khaldan oo kalsooni leh.

Isbeddelka ka dib, ku qasab macmiilka la saameeyay xaqiijin cusub oo xaqiiji in fariinta dhicitaanka gaarka ah ay tagtay. Cusboonaysii caleenta kaliya haddii caleenta lafteedu aanay habboonayn. Daminta baaritaannada waqtiga ama soo celinta shahaado isdhaaf taariikhi ah ma soo saarto jid hadda ansax ah; waxay kaliya dib u dhigtaa guuldareysiga xiga.