openssl ca: tarehe batili ya mwisho katika index.txt na jinsi ya kuirekebisha

Mzunguko wa utoaji unasimama kwa entry 22: invalid expiry date, wakati ombi lililo mbele yako liko sawa kabisa. Malalamiko yanatoka kwa kichanganuzi cha hifadhidata ya CA, si kwa CSR na si kwa mteja wa VPN ambaye hatimaye atawasilisha cheti. Tofauti hiyo huamua kila kitu kinachofuata: rekodi imeharibika, kwa hiyo urekebishaji ni wa hali ya CA, si wa ombi au usanidi wa mwenzake. Ichukulie ingizo lenye namba kama mstari katika index.txt, na tatizo linapungua hadi swali la data lenye mipaka lenye jibu linaloweza kukaguliwa.

Soma hitilafu kama malalamiko kuhusu hifadhidata

Kila openssl ca wito hupitia hifadhidata yake ya maandishi kabla ya kutia saini chochote. Kila mstari hubeba herufi ya hali, muhuri wa muda wa mwisho, muhuri wa kufuta wa hiari, namba ya mfululizo katika heksadesimali, jina la faili na somo. Sehemu moja inaposhindwa kuchanganuliwa, amri huripoti namba ya mstari na kusimama badala ya kukisia sehemu iliyobaki ya rekodi.

Kusimama huko ni kwa ulinzi na si kwa ushupavu. Rekodi ambayo chombo hakiwezi kuisoma huiacha isiweze kuamua kama somo lililoombwa lipo tayari, kama namba ya mfululizo imetolewa, au nini CRL inayofuata inapaswa kuwa nayo. Kuendelea kupita mstari mbovu kungezalisha upatanishi wa kimya ambao hujitokeza miezi baadaye, kwa kawaida wakati wa kufuta ambao hakuna anayeweza kuueleza. Soma ujumbe kama malalamiko kuhusu data, na uchunguzi unabaki ndani ya saraka ya CA.

Nakili hali ya CA kabla ya kugusa chochote

Piga picha ya saraka yote ya CA, si faili ya hifadhidata pekee. Kielezo, faili yake ya sifa, faili za namba ya mfululizo na namba ya CRL, ufunguo wa faragha na vyeti vilivyotolewa vyote hushiriki katika shughuli za baadaye, na urekebishaji unaorejesha kimoja na kuacha vingine huunda tukio la pili. Pale inapowezekana tumia utaratibu wa chelezo wa CA yenyewe, na simamisha utoaji uliopangwa kwa muda wa kazi.

Andika toleo la OpenSSL na faili ya usanidi ambavyo amri iliyoshindwa iliyopakia kweli. Usakinishaji mara nyingi huweka saraka zaidi ya moja ya CA, na hitilafu ina maana tu kuhusiana na hifadhidata ambayo usanidi uliochaguliwa unaitaja.

Tafuta ingizo na sindua sehemu yake ya tarehe

Namba ya mstari iliyoripotiwa huhesabiwa kutoka rekodi ya kwanza, kwa hiyo sed -n '22p' index.txt hutua kwenye ingizo lenye matatizo mara tu unapothibitisha kuwa hakuna mistari tupu au maoni juu yake. Chapisha mstari huo ukiwa na vitenganishi vinavyoonekana, kwa sababu tabo na nafasi za mwisho ni za kawaida na hazionekani katika dirisha la kawaida la kihariri.

Sehemu ya mwisho ni muhuri wa muda ambao upana wake hutegemea mwaka. Thamani hadi 2049 huandikwa katika UTCTime kama YYMMDDHHMMSSZ, wakati thamani za baadaye huhamia GeneralizedTime na mwaka wa tarakimu nne. Rekodi inayochanganya aina mbili, au inayobeba mwaka wa tarakimu mbili pale kichanganuzi sasa kinatarajia nne, hushindwa hasa katika hatua hii. Ndivyo ilivyo pia sehemu iliyokatwa iliyoachwa na uandishi uliokatizwa.

Linganisha rekodi na cheti inachokirejelea, si na faili ya CA nyingine. Cheti kilichotiwa saini ni mamlaka juu ya kile uhalali unapaswa kusema, na tayari kipo kama kitu kinachoweza kuchanganuliwa.

Rekebisha rekodi kwa kuzingatia cheti kilichotiwa saini

Soma tarehe halisi kwa openssl x509 -in issued.pem -noout -dates -serial -subject. Badilisha notAfter kuwa upana wa muhuri ambao toleo lako huandika kwa mwaka huo, na kabla ya kubadilisha herufi moja thibitisha kuwa namba ya mfululizo inalingana na ingizo unalokwenda kuhariri.

Hariri sehemu iliyovunjika pekee, baki na herufi ya hali na namba ya mfululizo, na acha sehemu iliyobaki ya mstari. Ikiwa rekodi haiwezi kulinganishwa na cheti chochote kilichotiwa saini, ichukulie kama ingizo lililopotea na uiondoe kwa njia ya kufuta ya CA yenyewe badala ya kufuta mstari kwa mkono.

Usirekebishe kwa kukata tarehe ili ilingane na dhana kuhusu mwaka. Ukata wa herufi mbili hauwezi kuhamishwa kati ya matoleo, na hubadilisha kwa kimya uhalali ambao hifadhidata huripoti kwa ukaguzi wa baadaye wa somo lenye kurudiwa na CRL. Wakati thamani ya awali haiwezi kurejeshwa, toa tena chini ya namba mpya ya mfululizo na uandike kwa nini ile ya zamani iliachwa. Ufuatiliaji wa ukaguzi ni sehemu ya urekebishaji, si karatasi zinazoizunguka.

Thibitisha utoaji na uundaji wa CRL kabla ya kuondoka

Endesha utoaji mmoja kwa usanidi uleule na uthibitisha kuwa unakamilika bila malalamiko ya namba ya mstari. Kisha unda CRL kwa openssl ca -gencrl -config openssl.cnf na uangalie kuwa inachanganuliwa, kwa sababu rekodi iliyoharibika mara nyingi hujitokeza hapo na si wakati wa kutia saini.

Kagua cheti kipya kwa openssl x509 -noout -dates -serial na kilinganishe na mstari ambao CA imeandika sasa hivi. Thibitisha kuwa herufi ya hali na tarehe ya mwisho zinakubaliana na cheti, na thibitisha kuwa openssl verify -CAfile ca.pem issued.pem hurudi bila hitilafu. Kisha rejesha utoaji uliopangwa na uangalie mzunguko wa kwanza, kwa sababu mstari wa pili ulioharibika utajitangaza mara moja.