ca md too weak: சான்றிதழை மீண்டும் வழங்கவா அல்லது நிலையைக் குறைக்கவா?

OpenVPN கிளையண்ட் கடந்த மாதம் செயல்பட்டது, இப்போது தொடக்கத்தில் இந்தப் பிழையுடன் தோல்வியடைகிறது: ca md too weak, வட்டில் உள்ள சுயவிவரம் செயல்பட்டதற்கு பைட் பைட் ஒத்ததே. செய்தி சான்றிதழ் அதிகாரத்தின் சான்றிதழில் உள்ள கையொப்பத்தைப் பற்றியது, தரவு சைஃபர், auth டைஜெஸ்ட் அல்லது கணக்குக் கடவுச்சொல்லைப் பற்றியது அல்ல. மூன்று நிபந்தனைகள் தீர்மானிக்கின்றன: தீர்வு புதிய அடையாளப் பொருளா, புதிய சங்கிலியா, அல்லது வேண்டுமென்றே செய்யப்பட்ட கொள்கை மாற்றமா. அவற்றை வரிசையாகச் செய்யுங்கள், ஹோஸ்ட்டில் ஒவ்வொரு TLS இணைப்பையும் பலவீனப்படுத்தி சுரங்கப்பாதையைத் திரும்பப் பெறும் வழக்கமான விளைவைத் தவிர்ப்பீர்கள்.

பிழை உண்மையில் எதைக் குறிப்பிடுகிறது

OpenSSL இந்தச் சரிபார்ப்புப் பிழையைச் சங்கிலியை உருவாக்கும்போது எழுப்புகிறது, CA ஆகச் செயல்படும் சான்றிதழ் நூலகத்தின் பாதுகாப்பு நிலை இனி ஏற்காத கையொப்ப டைஜெஸ்ட்டைக் கொண்டிருக்கும்போது. MD5 இயல்புநிலை நிலையில் நிராகரிக்கப்படுகிறது, SHA-1 நிலை உயர்த்தப்பட்டதும் நிராகரிக்கப்படுகிறது. இங்கே இலைச் சான்றிதழின் டைஜெஸ்ட்டை விட அதைக் கையொப்பமிடும் வழங்குநரின் டைஜெஸ்ட்டே முக்கியம். அதே கொள்கை, வழங்கப்பட்ட நாளில் முற்றிலும் சாதாரணமாக இருந்த மூலத்தையும் நிராகரிக்கலாம்.

அதனால்தான் auth அல்லது data-ciphers திருத்துவது இந்தத் தோல்விக்கு எதுவும் செய்யாது. அந்த அமைப்புகள் கைக்குலுக்கலுக்குப் பிறகு பாக்கெட்டுகள் எவ்வாறு பாதுகாக்கப்படுகின்றன என்பதைக் கட்டுப்படுத்துகின்றன, நிராகரிக்கப்பட்ட பொருளோ சுரங்கப்பாதை உருவாகும் முன் ஆராயப்படும் அடையாள ஆவணம். ஒரு சான்றிதழ் அதன் செல்லுபடி காலத்திற்குள் வசதியாக இருக்கலாம், இருந்தும் நூலகம் ஏற்காத கையொப்பத்தைக் கொண்டிருக்கலாம்.

சரிபார்ப்புகளை மனதில் தனித்தனியாக வையுங்கள், பிழை மர்மமாகத் தோன்றுவது நிற்கும். செல்லுபடி தேதிகள், விசைப் பயன்பாடு மற்றும் கையொப்ப டைஜெஸ்ட் ஆகியவை சுயாதீனச் சோதனைகள், அவற்றில் சரியாக ஒன்றே இப்போது தோல்வியடைந்துள்ளது.

முதல் நிபந்தனை: நிராகரிக்கப்பட்ட பொருள் மூலமா?

சுயவிவரத்தில் உள்ள ஒவ்வொரு சான்றிதழையும் அச்சிட்டு subject மற்றும் issuer புலங்களைப் படியுங்கள். தன்னைத்தானே கையொப்பமிட்ட மூலம் இரண்டிலும் ஒரே மதிப்பைக் காட்டும், அதன் கையொப்ப வழிமுறையே முழுச் சங்கிலியும் தங்கியிருப்பது. பலவீனமான டைஜெஸ்ட் அங்கே இருந்தால், அதற்குக் கீழே உள்ள ஒவ்வொரு இலையும் பிரச்சினையை மரபாகப் பெறுகிறது. பிந்தைய ஒப்பீடு நினைவிலிருந்து அல்ல, இயந்திரமாக இருக்க, வழிமுறையை subject அருகில் எழுதுங்கள்.

இணைக்கப்பட்ட CA கோப்புகளில் பல தொகுதிகள் இருக்கும், எனவே முதலாவதே குற்றவாளி என்று கருதாமல் உண்மையில் ஏற்றப்படும் தொகுதியை அடையாளம் காணுங்கள். கட்டளை openssl x509 -in ca.pem -noout -subject -issuer -text ஒரு நேரத்தில் ஒரு சான்றிதழை விவரிக்கிறது, அதாவது தொகுப்பில் மேலும் இருந்தால் முதலில் அதைப் பிரிக்க வேண்டும். அச்சிடப்பட்ட கையொப்ப வழிமுறையை, மூலம் உருவான காலகட்டத்திலிருந்து நீங்கள் எதிர்பார்க்கும் டைஜெஸ்ட்டுடன் ஒப்பிடுங்கள்.

பலவீனமான மூலத்தின் கீழ் SHA-256 உடன் கையொப்பமிடப்பட்ட இலையும் தோல்வியடைகிறது, ஏனெனில் சங்கிலிச் சரிபார்ப்பு மேலே வரை செல்கிறது. அந்த வரிசையே அடுத்த நிபந்தனையை முக்கியமாக்குகிறது.

இரண்டாவது நிபந்தனை: வழங்குநரை நீங்கள் கட்டுப்படுத்துகிறீர்களா?

மூலம் உங்கள் நிறுவனத்திற்குச் சொந்தமானது என்றால், நீடித்த தீர்வு நவீன டைஜெஸ்ட்டுடன் கூடிய புதிய மூலமும் மீண்டும் வழங்கப்பட்ட இலைகளும், ஒரே சுயவிவரப் புதுப்பிப்பாக வழங்கப்படுவதே. அதற்கு பராமரிப்பு சாளரமும், அதே நாளில் புதுப்பிப்பைப் பெற முடியாத சாதனங்களுக்கான திட்டமும் தேவை.

சங்கிலியை மூன்றாம் தரப்பு வழங்கியிருந்தால், தீர்வு அந்த இயக்குநருக்கான கோரிக்கையே, உள்ளூரில் பயனுள்ள ஒரே நடவடிக்கை பழைய பொருளை நம்புவதை நிறுத்துவதுதான். PEM உரையைத் திருத்துவதோ கோப்பை மீண்டும் சேமிப்பதோ கையொப்பம் மூடும் எதையும் மாற்றாது.

ஒரு இடைநிலை நிலை பெயரிடத் தகுந்தது: தற்போதைய இயல்புநிலைகளை விடப் பழமையான ஆனால் இன்னும் பிற அமைப்புகள் நம்பும் பொருளுக்குக் கையொப்பமிடும் உள் மூலம். அதை மாற்றுவது ஒவ்வொரு நுகர்வோரையும் தணிக்கை செய்வதாகும், பழைய சான்றிதழை விரல் அடையாளத்தால் பொருத்தும் சாதனங்கள் உட்பட. மாற்றத்தைத் திட்டமிடும் முன் அந்த நுகர்வோரை எண்ணுங்கள், ஏனெனில் ஒருவரைத் தவறவிடும் மூல மாற்றம் தொடக்கப் பிழையை செயலிழப்பாக மாற்றுகிறது.

மூன்றாவது நிபந்தனை: நிலையைக் குறைப்பது வேறு என்ன ஏற்கிறது

பாதுகாப்பு நிலையைக் குறைப்பதோ அல்லது OpenVPN இன் பழைய சான்றிதழ் சுயவிவரத்தைத் தேர்ந்தெடுப்பதோ, கிளையண்ட் பழைய டைஜெஸ்ட்டை மீண்டும் ஏற்கச் செய்கிறது. அது அதே நூலகத்தில் உள்ள மற்ற சரிபார்ப்புகளையும் தளர்த்துகிறது, அந்தச் செயல்முறை செய்யும் ஒவ்வொரு இணைப்பிற்கும்.

ஆய்வகத்திலோ, மாற்றுப் பொருள் தயாராகும் நேரத்தில் குறுகிய பாலமாகவோ, விதிவிலக்கு ஒரே சுயவிவரத்திற்கு மட்டுப்படுத்தப்பட்டு முடிவுத் தேதி இருந்தால் இது நியாயப்படுத்தப்படலாம். பகிரப்பட்ட ஹோஸ்ட்டில் நிரந்தர அமைப்பாக அது அங்குள்ள ஒவ்வொரு TLS கிளையண்டும் நம்புவதை அமைதியாக விரிவாக்குகிறது.

விதிவிலக்கைப் பொறுப்பாளருடனும் நீக்கும் படியுடனும் எழுதுங்கள். ஆறு மாதங்களுக்குப் பிறகு பதிவு செய்யப்படாத நிலை மாற்றம் ஒரு தவறிலிருந்து வேறுபடுத்த முடியாது, அடுத்த பொறியாளருக்கு அது ஒரு முடிவாக இருந்தது தெரியாது.

முடிவு, ஒரு விதியாக எழுதப்பட்டது

வழங்குநரைக் கட்டுப்படுத்தி அவரது நுகர்வோரை எண்ண முடிந்தால் சங்கிலியை மாற்றுங்கள். கட்டுப்படுத்த முடியாவிட்டால் வழங்குநரிடம் மேலெழுப்புங்கள். மாற்று ஏற்கனவே திட்டமிடப்பட்ட, தேதியும் எல்லையும் கொண்ட விதிவிலக்காக மட்டுமே நிலையைக் குறைக்கவும். வேறு எதுவும் அதே சான்றிதழை அங்கேயே வைத்து ஆபத்தைக் குறைவாகத் தெரியும் இடத்திற்கு நகர்த்துகிறது.

பின்னர் தூய்மையான கிளையண்டிலிருந்து சுயவிவரத்தை மீண்டும் சோதியுங்கள், கைக்குலுக்கல் நிறைவடைவதை உறுதிப்படுத்துங்கள், இன்னும் தோல்வியடைந்தால் நிராகரிப்பின் சரியான உரையை வைத்திருங்கள். துல்லியமான பிழைச் செய்தி அடுத்த அடுக்கின் உரிமையாளருக்கு வழங்கக்கூடிய மலிவான விஷயம்.