ujeedka shahaadada aan la taageerin: sababta CA dhexe u guuldareysato

Ujeedka shahaadada serverka wuxuu u muuqdaa mid saxan, furaha wuu is waafajiyaa, taariikhaha waa hagaagsan yihiin, haddana xiriirku wuu guuldareystaa unsupported certificate purpose. Faahfaahinta taas xallisa badanaa waxay ku taal isla safka khaladka: qiimaha qoto dheer iyo subject tilmaamaya shahaado sare oo silsiladda ku jirta. Laba imtixaan oo kala duwan ayaa la socda, oo mid keliya ayaa ku saabsan caleenta. Isbarbardhiggooda ayaa sharraxaya sababta beddelka shahaadada serverku aanay waxba beddelin.

Shahaadada ay hubiyaha dhab ahaan diiday

Silsilad ma aha hal shay oo saddex jeer lagu celiyay. Caleentu waxay qaaddaa magaca serverka iyo furaha, kuwa dhexe waxay ku xiraan xidid, oo mid kasta wuxuu leeyahay muddadiisa ansax, xaddidaadihiisa iyo isticmaalkiisa. Marka khaladku sheego qoto dheer, lambarkaas wuxuu tilmaamaa boos ku yaal silsiladda uu hubiyuhu dhisay, oo waxaa laga yaabaa inuusan ahayn booska aad filayso haddii serverku soo diro silsilad lama filaan ah.

Akhri goobaha shahaadada qoto dheerkaas, ee ma aha shahaadada aad u qaatay inay tahay dembiilaha. Weydii labada extension ee xaddidaya soo saarista halkii aad daadin lahayd goob kasta, maxaa yeelay jawaabtu badanaa waxay ku jirtaa mid ka mid ah. Natiijada extensions waa ammaan in la wadaago; furayaasha gaarka ah marnaba.

openssl x509 -in issuing-ca.pem -noout -subject -issuer -ext basicConstraints -ext extendedKeyUsage

Haddii shahaadada la magacaabay ay tahay mid dhexe oo isticmaalka furaha la ballaariyay uu sheegayo wax aan la xiriirin xaqiijinta serverka TLS, guuldarada inta kale waxay ku timaaddaa si farsamo ah. Silsiladda lama isticmaali karo ujeedka uu OpenVPN codsaday.

Ujeedka caleenta iyo siyaasadda silsiladdu waa laba imtixaan

Imtixaanka caleentu wuxuu weydiiyaa su'aal cidhiidhi ah: shahaadadan qaybta ugu dambeysa ma u ogolaataa xaqiijinta serverka magacan? Imtixaanka silsiladdu wuxuu weydiiyaa mid ballaadhan: ma jirtaa shahaado kasta oo ku jirta waddada oo u adeegi karta ujeedkaas? Hay'adda shahaadooyinka oo loo ogolaaday inay soo saarto kaliya shahaadooyinka macmiilka waxay dhaafi doontaa hubintii saxeexkeeda laakiin waxay ku guuldareysan doontaa imtixaanka labaad, maxaa yeelay waddada ay ogolaatay kuma jirto ujeedka uu codsaday barnaamijka. Labada imtixaan waxay ku guuldareystaan isla erayo isla leh oo waxay leeyihiin hagaajinno gebi ahaan kala duwan.

Taasi waa sababta caleen dhowaan la soo saaray, oo saxan goob kasta oo muuqata, uu isla markiiba ku guuldareysan karo. Taasi sidoo kale waa sababta hagaajintu badanaa ay uga tirsanaanayso borofaylka hay'adda soo saarta ee ma aha habaynta VPN.

EKU maqan ma aha EKU xaddidaya

RFC 5280 wuxuu ka dhigaa extensionka isticmaalka furaha la ballaariyay mid ikhtiyaari ah, oo marka uu jiro, xaddidaya. Sidaa darteed shahaadada CA oo aan lahayn extensionka ma sheegin 'maya' xaqiijinta serverka, halka tan kaliya ujeed do aan la xiriirin u taxday ay sheegtay wax aad u gaar ah. U qaadashada labadan xaaladood sidii isku mid waxay soo saartaa ogaansho khaldan iyo, ka sii xun, hagaajin khaldan. Farqiga ayaa sidoo kale sharraxaya sababta laba hay'adood oo console-ka isku eg ay silsiladda ugu dhaqmaan si gebi ahaan u kala duwan.

Dhaqanka maktabadaha sidoo kale halkan isku mid ma aha. dokumentiga OpenSSL ee ku saabsan xulashooyinka hubinta wuxuu sharraxayaa habkiisa u gaar ah ee hubinta ujeedka shahaadooyinka CA, habkaasna waa siyaasad hirgelin ee ma aha qaanuun ay TLS stack kastaa si isku mid ah u raacdo. Sharrax waxa hubiyahaagu sameeyo, kadibna ku xaqiiji nooca aad dhab ahaan ku shaqeysid.

Ku soo celi guuldarada offline ka hor intaadan dib u soo saarin

Hubinta offline waxay barnaamijka ka saartaa isla'egta. Haddii silsiladdu isla ujeedkaas hoostiisa isla si la mid ah ugu guuldareysato, shahaadada ayaa dhibaatada ah oo habayn server kasta ma qarinayso. Haddii silsiladdu offline ku gudubto halka adeeggu wali diidayo, barnaamijku wuxuu codsanayaa ujeed kale ama wuxuu isticmaalayaa silsilad ka duwan tii aad imtixaantay.

openssl verify -purpose sslserver -show_chain -CAfile root-ca.pem -untrusted issuing-ca.pem vpn-server.pem

-show_chain waa muhiim maxaa yeelay wuxuu daabacaa waddada ay qalabku dhistay, taas oo badanaa aan ahayn nidaamka faylasha aad bixisay. Natiijadaas waa habka ugu dhaqsiyaha badan ee lagu ogaado in shahaado dhexe labaad laga soo jiidanayo keydka kalsoonida, in serverku soo dirayo nooc iskutallaab loo saxeexay oo aadan ula jeedin, ama in calanka ujeedka aad ka koobiyeysay casharka uu ka tirsan yahay door ka duwan kan la adeegayo.

Hagaaji siyaasadda soo saarista, ee ma aha wicitaanka hubinta

Hagaajinta waarta waa shahaado dhexe oo lagu soo saaray siyaasad ogolaanaysa ujeeddada ay tahay inay u adeegto, xaddidaadduna qoran tahay oo dib loo eegay. Ku darista ujeed kasta hay'ad kasta ma aha siyaasad; waxay meesha ka saaraysaa xaddidaadda ujeedka macne u siisay extensionka, oo badanaa way ka badbaadaysaa dhacdada keentay. Qoraal gaaban oo borofaylka ku jira oo sharraxaya doorka ay hay'addu shahaadadi karto ayaa ka hortagaya in soo saarista xigta ay isla dooddaas ku celiso.

Dami hubinta waa dariiqa kale ee soo jiidashada leh, oo wuxuu dhibaatada shahaadada u beddelaa dhibaatada kalsoonida. Hayso hubinta ujeedka, hagaaji silsiladda, oo mar kale socodsii isla hubinta offline si aad u xaqiijiso in waddadu hadda u adeegto doorka loogu talagalay ka hor intaadan mar kale taaban adeegga.