CA iliyotiwa sahihi kwa njia ya msalaba: ufunguo unalingana, kiungo cha AKI hakilingani

Vyeti viwili vya CA vinaweza kuwa na ufunguo wa umma sawa na subject sawa na bado visibadilishwe. Kimoja kinatiwa sahihi na chenyewe, kingine kinatiwa sahihi kwa msalaba na mzizi wa zamani, na majina ya mtoaji, namba za mfululizo na sahihi zao zinatofautiana. Jani linaweza kujifunga hasa kwa moja yao kupitia Authority Key Identifier yake. Kiungo hicho kinabaki kisichoonekana hadi mteja achague mnyororo usiofaa na handshake ishindwe bila sababu ya wazi.

Fanya ukaguzi huu watano kwa mpangilio: kila mmoja unaondoa hitilafu tofauti.

Ukaguzi 1: chora minyororo yote miwili kabla ya kugusa kiolezo

Andika njia. Idadi ya zamani inaamini Mzizi wa Zamani A, ambao ulitoa CA B, ambao ulitoa jani la seva. Idadi mpya inaamini CA B iliyotiwa sahihi na yenyewe moja kwa moja. Vyeti vyote viwili vya B vina ufunguo na subject sawa, na ndiyo sababu mtu anayesoma mstari wa subject anaona CA moja mahali ambapo mteja anaona mbili.

Nakala iliyotiwa sahihi kwa msalaba pia lazima iwe cheti halisi cha CA, na basic constraints na key usage zinazoruhusu kutia sahihi.

Ukaguzi 2: linganisha sehemu za AKI, sio ufunguo pekee

Jina la mtoaji wa jani lazima lilingane na subject ya B, na sehemu hiyo kwa kawaida inashikilia. Authority Key Identifier ndipo nakala mbili zinapotofautiana, kwa sababu inaweza kubeba kitambulisho cha ufunguo, mtoaji wa cheti na namba ya mfululizo. Kitambulisho cha ufunguo kinalingana na nakala zote mbili, kwa kuwa ufunguo ni sawa. Sehemu za mtoaji na mfululizo zinalingana na moja tu, na ndiyo sababu mnyororo unaojengwa dhidi ya nakala iliyotiwa sahihi na yenyewe unaweza kushindwa dhidi ya ile iliyotiwa sahihi kwa msalaba.

Kagua jani badala ya kukisia: openssl x509 -in server.pem -noout -ext authorityKeyIdentifier.

Kisha linganisha wagombea wote wawili na openssl x509 -in b-cross.pem -noout -text | grep -A2 "Authority Key Identifier", na amri hiyo hiyo dhidi ya nakala iliyotiwa sahihi na yenyewe.

Ikiwa jani lina mtoaji na namba ya mfululizo, ni cheti kinachoelezwa na thamani hizo pekee kinachokamilisha mnyororo, nakala yoyote ambayo mteja alipakia.

Ukaguzi 3: badilisha sera ya utoaji, kamwe si baiti zilizotiwa sahihi

Upanuzi unaishi ndani ya sahihi. Kuongeza, kuondoa au kuhariri mmoja kwenye jani lililopo sio ukarabati, ni cheti kingine, na kinahitaji utoaji upya. Mabadiliko yako kwenye sera ya utoaji: authorityKeyIdentifier = keyid,issuer:always hufanya majani mapya yabebe kiungo maalum cha cheti, wakati keyid peke yake huhifadhi umbo lililolegea linalofaa mpito wa kutia sahihi kwa msalaba uliofanywa kwa makusudi. Amua lipi PKI yako inataka kabla kundi linalofuata kutiwa sahihi.

Kuhariri kiolezo kilichoshirikiwa pia hubadilisha kila cheti cha baadaye, sio seva iliyo mbele yako pekee.

Ukaguzi 4: thibitisha kila idadi ya uaminifu kwa mbali

Jaribu njia ya zamani na njia mpya kama matoleo tofauti. openssl verify -purpose sslserver -verify_hostname vpn.example -CAfile old-root.pem -untrusted b-cross-signed.pem server.pem hufanya mazoezi ya njia iliyotiwa sahihi kwa msalaba, na amri hiyo hiyo na mzizi mpya na bila faili ya untrusted hufanya mazoezi ya njia iliyotiwa sahihi na yenyewe. Kuchanganya mizizi yote miwili katika kifurushi kimoja huficha ni mnyororo upi ulichaguliwa. Kisha rudia na wateja halisi, kwa sababu backend ya VPN inaweza kupendelea mnyororo au kubandika cheti kwa njia ambazo openssl haifanyi.

Wasilisha cheti cha kati kupitia usanidi wa huduma ambao mteja anausoma kwa kweli, sio kupitia ukurasa wa wiki.

Ukaguzi 5: weka njia ya zamani kwenye saa ya kustaafu

Kutia sahihi kwa msalaba huweka njia ya zamani ya uaminifu hai kwa muundo, jambo ambalo ni lengo na hatari kwa wakati mmoja. Haiponi mzizi wa zamani ulioathirika, na haiondoi mzizi huo kutoka kwa mteja yeyote. Andika ni lini njia ya zamani itaacha kutoa uaminifu, na thibitisha kwamba siku hiyo inafika kweli.

Ikiwa kila mteja anaweza kupokea mzizi mpya kabla majani kusogea, usambazaji rahisi wa uaminifu maradufu ni rahisi kuliko kutia sahihi kwa msalaba, na unaacha kitu kimoja kidogo cha kustaafu.