Cheti cha jani ni halali, mnyororo umeisha: soma kina

Hitilafu ya kuisha muda inaweza kuwa ya mtoaji, si ya jani. Soma kina cha uthibitishaji na ingizo za uaminifu kabla ya kufanya upya cheti kinachoendelea kuonekana halali.

Unakagua cheti cha seva, unaona miezi iliyobaki kwenye saa, na mteja bado anakataa muunganisho kwa ujumbe wa kuisha muda. Tarehe unayoisoma ni ya jani, na malalamiko yanaweza kuwa kuhusu kitu cha kina zaidi kwenye njia. Uthibitishaji hupitia mnyororo, na cheti chochote kinachochaguliwa na safari hii kinaweza kushindwa katika dirisha lake la uhalali. Soma kipi kilishindwa kabla ya kufanya upya chochote.

Kina kinataja cheti kilichoshindwa

Katika uchunguzi wa OpenSSL, kina 0 ni cheti lengwa na kina 1 ni mtoaji aliyekisaini, huku namba kubwa zikiendelea kuelekea nanga ya uaminifu. Kuisha muda kunakoripotiwa katika kina 1 hakupingwi na notAfter ya sasa kwenye jani, kwa hiyo kukagua tena cheti kinachoonekana hakutaeleza hitilafu kamwe.

Andika alama ya kidole ya cheti kilichoshindwa pamoja na subject yake, kwa sababu vyeti tofauti vinaweza kubeba jina moja la CA. Usaini wa msalaba huzalisha hali hiyo hasa: mamlaka hiyo hiyo inaonekana zaidi ya mara moja, na tarehe tofauti za uhalali, na kithibitishaji kilichagua kile usichokitarajia. Lebo inayojulikana si kitambulisho, na alama ya kidole ndiyo inayotofautisha vitu viwili vinavyoshiriki jina.

Angalia pia bidhaa zenye zaidi ya jukumu moja la cheti. Kwenye OpenVPN Access Server, vyeti vinavyolinda violesura vya wavuti ni tofauti na vile vinavyotumika kwa miunganisho ya VPN, kwa hiyo kivinjari kinachofungua ukurasa wa msimamizi hakithibitishi chochote kuhusu njia ya handaki.

Ingizo za uaminifu si sawa na watahiniwa wa mnyororo

Mpe kithibitishaji ingizo mbili kwa mbili tofauti na kwa uwazi. Faili ya uaminifu inashikilia nanga unazokubali; kifurushi kisichoaminika kinashikilia vyeti vya kati vinavyotolewa kwa ajili ya kujenga njia. Kuzichanganya ndiyo jinsi watu huinua cheti cha kati hadi mzizi kwa bahati mbaya na kisha kujiuliza kwa nini hitilafu hiyo hiyo inawafuata kati ya mashine.

$ openssl verify -verbose -show_chain -purpose sslserver \
    -CAfile trusted-roots.pem -no-CApath -no-CAstore \
    -untrusted intermediates.pem server.pem

Kuzima njia na hazina chaguo-msingi kwa -no-CApath -no-CAstore huweka jaribio kuwa la uaminifu: matokeo hutegemea faili ulizozitaja, si kile kituo cha kazi kinachoamini kwa bahati. Marejeo ya uthibitishaji ya OpenSSL yanaandika chaguo hizi na uchunguzi unaozalishwa.

-show_chain huchapisha mnyororo uliojengwa wakati uthibitishaji unafanikiwa, jambo ambalo ni muhimu kuthibitisha kwamba njia ndiyo uliyokusudia. Unaposhindwa, shikilia kina na subject iliyoripotiwa; sehemu hizo mbili humwambia msomaji anayefuata cheti gani cha kukagua.

Hiki hakifanyi ni kuzalisha upya sera ya kila mteja. Pin, kizuizi cha madhumuni au ukaguzi wa utambulisho maalum wa mteja huishi ndani ya mteja, si katika amri hii. Hizo ndizo mipangilio ya kukagua wakati uthibitishaji unapita kwenye seva na muunganisho bado unashindwa. Tenganisha uchunguzi mbili, la sivyo utafanya upya cheti chenye afya ukifukuza hitilafu ya pinning.

Ukaguzi unathibitisha nini na unaacha nini

Huu ni ukaguzi wa njia na madhumuni dhidi ya faili ya uaminifu uliyotoa. Kwa ukaguzi wa jina la HTTPS, ongeza jina la mwenyeji linalotarajiwa kupitia chaguo linalofaa; kwa muunganisho wa VPN, shikilia ukaguzi wa utambulisho uliosanidiwa wa mteja na tumia nyenzo za uaminifu ambazo mteja huyo anasoma kwa kweli.

Seva inayotuma ni seti ya watahiniwa, si njia ambayo mteja wako atajenga mwishowe. Uaminifu wa ndani na kanuni za ujenzi za maktaba zote huunda matokeo, ndiyo sababu jibu moja linaweza kuthibitika kwenye mashine moja na kushindwa kwenye nyingine. Linganisha hazina ya uaminifu inayodumishwa na utekelezaji wa TLS wa mteja anayeshindwa na zile za mteja anayefanya kazi kabla ya kudhani tathmini inayofanana. Tofauti huko inaeleza ripoti nyingi za „laptop hii pekee inashindwa“.

Ili kuona dirisha la kila cheti badala ya kimoja kimoja, zichapishe kama seti:

$ openssl x509 -in server.pem -noout -subject -dates
$ openssl crl2pkcs7 -nocrl -certfile intermediates.pem \
    | openssl pkcs7 -print_certs -noout

Amri hiyo ya pili huorodhesha subject na watoaji bila kusimbua kila faili kwa mkono, hivyo unagundua cheti cha kati ambacho tarehe yake imepita wakati jani bado linaonekana sawa.

Rekebisha njia bila kudhoofisha uthibitishaji

Wakati cheti cha kati kilichoisha muda au cheti cha msalaba kilichopitwa na wakati kinatolewa, pata mnyororo unaotumika sasa wa mtoaji na uusambaze kupitia mtiririko wa vyeti ulioandikwa wa huduma. Wakati mteja hana nanga inayodumishwa iliyokusudiwa, sasisha usanidi wake wa uaminifu unaosimamiwa au programu ya mteja. Pinga njia ya mkato ya kuweka alama kwa kila cheti kwenye kifurushi kama mzizi ili kunyamazisha ujumbe tu.

Utunzaji wa mzizi unastahili dokezo, kwa sababu muhtasari mara nyingi huutia chumvi. RFC 5280 huchukulia nanga kama ingizo lililo nje ya njia inayotarajiwa, wakati OpenSSL huandika ukaguzi wa uhalali unaojumuisha cheti chake cha CA cha mzizi. Kauli zote mbili ni kweli kwa mifumo yao wenyewe; kujumlisha tabia ya kuisha kwa mzizi ya maktaba moja kwa kila mteja huzalisha majibu sahihi ya uongo kwa kujiamini.

Baada ya mabadiliko, lazimisha uthibitishaji mpya kwa mteja aliyeathirika na uthibitishe kwamba ujumbe maalum wa kuisha muda umeondoka. Fanya upya jani tu ikiwa jani lenyewe halifai. Kuzima ukaguzi wa muda au kurejesha cheti cha msalaba cha kihistoria hakuzalishi njia halali ya sasa; huchelewesha tu kushindwa kunakofuata.

Makala zinazohusiana