openssl ca: taariikhda dhicitaanka aan ansax ahayn ee index.txt iyo sida loo saxo

Socodka soo saarista wuxuu ku joogsadaa entry 22: invalid expiry date, halka codsiga hortaada yaalla uu si buuxda u fiican yahay. Cabashada waxay ka timaaddaa falanqeeyaha keydka xogta CA, ma aha CSR-ka iyo ma aha macmiilka VPN ee ugu dambayn soo bandhigi doona shahaadada. Farqigaas ayaa go'aamiya wax kasta oo ka dambeeya: diiwaanku wuu qaldan yahay, sidaas darteed hagaajintu waxay ku deelan tahay xaaladda CA, ma aha codsiga ama habaynta lammaanaha. U qaado gelinta lambaraysan sida saf ku jira index.txt, iyo dhibaatadu waxay ku soo urtaa su'aal xog oo xaddidan oo leh jawaab la hubin karo.

U akhri qaladka cabasho ku saabsan keydka xogta

Kasta openssl ca wicitaan wuxuu dhex maraa keydkiisa qoraal ka hor inta uusan wax saxeexin. Saf kastu waxa uu qaadaa xaraf xaalad, shaabadda waqtiga dhicitaanka, shaabadda burinta ikhtiyaariga ah, lambarka taxanaha oo hex ah, magaca faylka iyo mawduuca. Marka hal goob lama falanqayn karo, amarku wuxuu soo sheegaa lambarka safka oo wuu istaagaa halkii uu ka qiyaasi lahaa inta ka hadhay diiwaanka.

Istaaggaas waa difaac, ma aha ad-adayg. Diiwaan ay qalabku akhriyi karin waxay ka dhigtaa mid aan go'aan ka gaari karin in mawduuca la codsaday hore u jiray, in lambar taxane la bixiyay, ama waxa CRL-ka xiga ay qaadan doonto. In la dhaafo saf xun waxay soo saari lahayd isku-dhac qarsoodi ah oo soo baxa bilo ka dib, badanaa inta lagu jiro burin aan cidina sharaxi karin. U akhri fariinta cabasho ku saabsan xogta, baadhitaankuna wuxuu ku sii socdaa gudaha galka CA.

Koobi xaaladda CA ka hor inta aanad wax taaban

Qaado sawir galka CA oo dhan, ma aha oo keliya faylka keydka xogta. Tilmaamaha, faylka astaamihiisa, faylasha lambarka taxanaha iyo lambarka CRL, furaha gaarka ah iyo shahaadooyinka la soo saaray dhammaantood waxay ka qayb qaataan hawlgallada dambe, hagaajin soo celisa mid oo seegta kuwa kale waxay abuurtaa dhacdo labaad. Meesha ay jirto isticmaal habka kaydinta CA laftiisa, oo jooji soo saarista la qorsheeyay inta shaqadu socoto.

Qor nooca OpenSSL iyo faylka habaynta ee amarka guuldaraystay uu runtii raray. Rakibaaduhu badanaa waxay hayaan in ka badan hal galka CA, qaladkuna wuxuu macne leeyahay oo keliya marka la eego keydka xogta ay sheegto habaynta la doortay.

Hel gelinta oo koodh fur goobta taariikhdeeda

Lambarka safka la sheegay waxaa laga tiriyayaa diiwaanka koowaad, sidaas darteed sed -n '22p' index.txt wuxuu ku dhacaa gelinta dhibaatada leh markaad hubiso in aanay safar madhan ama faallooyin ka sarrayn. Daabac safkaas iyadoo leh kala-soocayaal muuqda, sababtoo ah tab-yada iyo bannaanada dhammaadka waa caadi oo kama muuqdaan daaqadda tafatiraha caadiga ah.

Goobta dhicitaanku waa shaabad waqti oo ballaceedu ku xiran yahay sannadka. Qiimayaasha ilaa 2049 waxaa lagu qoraa UTCTime sida YYMMDDHHMMSSZ, halka qiimayaasha dambe ay u gudbaan GeneralizedTime oo leh sannad afar lambar ah. Diiwaan isku daraya labada qaab, ama sita sannad laba lambar ah meesha falanqeeyuhu hadda uu filayo afar, wuxuu ku guuldaraystaa isla goobtan. Sidoo kale goob la gooyay oo ka hadhay qoraal go'ay.

Isbarbar dhig diiwaanka shahaadada uu tilmaamayo, ma aha faylka CA kale. Shahaadada la saxeexay waa awoodda ku saabsan waxa ansaxnimadu ay tahay inay sheegto, oo hore ayay ugu jirtaa sidii shay la falanqayn karo.

Ku hagaaji diiwaanka shahaadada la saxeexay

Akhri taariikhaha dhabta ah iyadoo la adeegsanayo openssl x509 -in issued.pem -noout -dates -serial -subject. U beddel notAfter ballaca shaabadda ee noocaaga uu u qoro sannadkaas, oo ka hor inta aanad beddelin hal xaraf hubi in lambarka taxanuhu uu la jaanqaado gelinta aad wax ka beddeli doonto.

Wax ka beddel oo keliya goobta jabtay, hayso xarafka xaaladda iyo lambarka taxanaha, oo dhaaf inta ka hadhay safka. Haddii diiwaanka aan lala jaanqaadi karin shahaado la saxeexay, u qaado gelin lumay oo ka saar wadada burinta CA lafteeda halkii aad safka gacanta ku tirtiri lahayd.

Ha ku hagaajin adigoo gooya taariikhda si ay ugu habboonaato qiyaas ku saabsan sannadka. Gooyn laba xaraf ah lagama gudbi karo noocyada, waxayna si aamusnaan ah u beddelaa ansaxnimada ay keydka xogtu u sheegto hubinta mawduuca labanlaabma iyo CRL ee mustaqbalka. Marka qiimaha asalka ah aan la soo celin karin, dib u soo saar lambar taxane cusub oo qor sababta kii hore loo dayay. Raadka hantidhawrku waa qayb ka mid ah hagaajinta, ma aha waraaqo ku wareegsan.

Hubi soo saarista iyo abuurista CRL ka hor inta aanad bixin

Socodsii hal soo saaris isla habayntaas oo hubi in ay dhammaato iyada oo aan cabasho lambar saf ah lahayn. Kadib ku abuur CRL iyadoo la adeegsanayo openssl ca -gencrl -config openssl.cnf oo hubi in la falanqayn karo, sababtoo ah diiwaan waxyeelloobay ayaa inta badan halkaas ka soo baxa ee ma aha inta la saxeexayo.

Baadh shahaadada cusub iyadoo la adeegsanayo openssl x509 -noout -dates -serial oo la barbardhig safka ay CA hadda qortay. Hubi in xarafka xaaladda iyo taariikhda dhicitaanku ay la jaanqaadaan shahaadada, oo hubi in openssl verify -CAfile ca.pem issued.pem uu ku soo noqdo qalad la'aan. Kadib soo celi soo saarista la qorsheeyay oo daawo socodka koowaad, sababtoo ah safka labaad ee qaldan isla markiiba wuu isku muujin doonaa.