குறுக்கு-கையொப்பமிட்ட CA: விசை பொருந்துகிறது, AKI பிணைப்பு பொருந்தவில்லை

இரண்டு CA சான்றிதழ்கள் ஒரே பொது விசையையும் ஒரே subject-ஐயும் கொண்டிருக்கலாம், ஆனாலும் அவை பரிமாற்றத்தக்கவை அல்ல. ஒன்று தன்-கையொப்பமிட்டது, மற்றொன்று பழைய வேர் மூலம் குறுக்கு-கையொப்பமிட்டது, அவற்றின் வழங்குநர் பெயர்கள், வரிசை எண்கள் மற்றும் கையொப்பங்கள் வேறுபடுகின்றன. ஒரு இலை அதன் Authority Key Identifier மூலம் குறிப்பாக அவற்றில் ஒன்றுடன் பிணைக்க முடியும். அந்தப் பிணைப்பு ஒரு வாடிக்கையாளர் தவறான சங்கிலியைத் தேர்ந்தெடுத்து handshake தெளிவான காரணமின்றி தோல்வியடையும் வரை கண்ணுக்குத் தெரியாததாக இருக்கும்.

இந்த ஐந்து சோதனைகளை வரிசையாகச் செய்யுங்கள்: ஒவ்வொன்றும் வேறு தோல்வியை விலக்குகிறது.

சோதனை 1: டெம்ப்ளேட்டைத் தொடுவதற்கு முன் இரண்டு சங்கிலிகளையும் வரையுங்கள்

பாதைகளை எழுதுங்கள். பழைய மக்கள்தொகை பழைய வேர் A-ஐ நம்புகிறது, அது CA B-ஐ வழங்கியது, அது சேவையகத்தின் இலையை வழங்கியது. புதிய மக்கள்தொகை தன்-கையொப்பமிட்ட CA B-ஐ நேரடியாக நம்புகிறது. இரு B சான்றிதழ்களும் ஒரே விசையையும் subject-ஐயும் கொண்டுள்ளன, அதனால்தான் subject வரியைப் படிக்கும் ஒருவர் ஒரு CA-ஐக் காணும் இடத்தில் வாடிக்கையாளர் இரண்டைக் காண்கிறார்.

குறுக்கு-கையொப்பமிட்ட நகலும் உண்மையான CA சான்றிதழாக இருக்க வேண்டும், கையொப்பமிட அனுமதிக்கும் basic constraints மற்றும் key usage உடன்.

சோதனை 2: விசையை மட்டுமல்ல, AKI புலங்களை ஒப்பிடுங்கள்

இலையின் வழங்குநர் பெயர் B-இன் subject-உடன் பொருந்த வேண்டும், அந்தப் பகுதி வழக்கமாக நிலைத்திருக்கும். இரு நகல்களும் பிரியும் இடம் Authority Key Identifier ஆகும், ஏனெனில் அது விசை அடையாளங்காட்டி, வழங்குநர் சான்றிதழ் மற்றும் வரிசை எண்ணைக் கொண்டு செல்லலாம். விசை ஒரே மாதிரியாக இருப்பதால் விசை அடையாளங்காட்டி இரு நகல்களுடனும் பொருந்துகிறது. வழங்குநர் மற்றும் வரிசை புலங்கள் சரியாக ஒன்றுடன் மட்டும் பொருந்துகின்றன, அதனால் தன்-கையொப்பமிட்ட நகலுக்கு எதிராகக் கட்டப்படும் சங்கிலி குறுக்கு-கையொப்பமிட்டதற்கு எதிராகத் தோல்வியடையலாம்.

ஊகிக்காமல் இலையை ஆராயுங்கள்: openssl x509 -in server.pem -noout -ext authorityKeyIdentifier.

பின்னர் இரு வேட்பாளர்களையும் openssl x509 -in b-cross.pem -noout -text | grep -A2 "Authority Key Identifier" உடன் ஒப்பிடுங்கள், அதே கட்டளையை தன்-கையொப்பமிட்ட நகலுக்கு எதிராக இயக்குங்கள்.

இலை வழங்குநரையும் வரிசை எண்ணையும் கொண்டு சென்றால், அந்த மதிப்புகள் விவரிக்கும் சான்றிதழ் மட்டுமே சங்கிலியை முடிக்கும், வாடிக்கையாளர் எந்த நகலை ஏற்றினாலும்.

சோதனை 3: வழங்கல் கொள்கையை மாற்றுங்கள், கையொப்பமிட்ட பைட்டுகளை ஒருபோதும் இல்லை

நீட்சிகள் கையொப்பத்தின் உள்ளே வாழ்கின்றன. ஏற்கனவே உள்ள இலையில் ஒன்றைச் சேர்ப்பது, நீக்குவது அல்லது திருத்துவது பழுதுநீக்கம் அல்ல, அது வேறு சான்றிதழ், மேலும் மறுவழங்கல் தேவை. மாற்றம் வழங்கல் கொள்கையில் அமைகிறது: authorityKeyIdentifier = keyid,issuer:always புதிய இலைகள் சான்றிதழுக்கு உரிய பிணைப்பைக் கொண்டு செல்லச் செய்கிறது, ஆனால் தனியாக keyid வேண்டுமென்றே செய்யப்படும் குறுக்கு-கையொப்ப மாற்றத்திற்குப் பொருத்தமான தளர்வான வடிவத்தைத் தக்கவைக்கிறது. அடுத்த தொகுதி கையொப்பமிடப்படும் முன் உங்கள் PKI எதை விரும்புகிறது என்பதை முடிவு செய்யுங்கள்.

பகிரப்பட்ட டெம்ப்ளேட்டைத் திருத்துவது உங்கள் முன்னால் உள்ள சேவையகத்தை மட்டுமல்ல, ஒவ்வொரு எதிர்கால சான்றிதழையும் மாற்றுகிறது.

சோதனை 4: ஒவ்வொரு நம்பிக்கை மக்கள்தொகையையும் தனித்தனியாகச் சரிபார்க்கவும்

பழைய பாதையையும் புதிய பாதையையும் தனித்தனி ஓட்டங்களாகச் சோதியுங்கள். openssl verify -purpose sslserver -verify_hostname vpn.example -CAfile old-root.pem -untrusted b-cross-signed.pem server.pem குறுக்கு-கையொப்பமிட்ட பாதையைப் பயிற்றுவிக்கிறது, புதிய வேர் மற்றும் untrusted கோப்பு இல்லாத அதே கட்டளை தன்-கையொப்பமிட்ட பாதையைப் பயிற்றுவிக்கிறது. இரு வேர்களையும் ஒரே தொகுப்பில் கலப்பது எந்தச் சங்கிலி தேர்ந்தெடுக்கப்பட்டது என்பதை மறைக்கிறது. பின்னர் உண்மையான வாடிக்கையாளர்களுடன் மீண்டும் செய்யுங்கள், ஏனெனில் VPN backend ஒரு சங்கிலியை விரும்பலாம் அல்லது ஒரு சான்றிதழைப் பின் செய்யலாம் openssl செய்யாத வழிகளில்.

இடைநிலைச் சான்றிதழை வாடிக்கையாளர் உண்மையில் படிக்கும் சேவை உள்ளமைவின் மூலம் வழங்குங்கள், விக்கி பக்கத்தின் மூலம் அல்ல.

சோதனை 5: பழைய பாதையை ஓய்வு கடிகாரத்தில் வைத்திருங்கள்

குறுக்கு-கையொப்பம் வடிவமைப்பின்படி பழைய நம்பிக்கைப் பாதையை உயிருடன் வைத்திருக்கிறது, அது ஒரே நேரத்தில் நோக்கம் மற்றும் ஆபத்து. அது சமரசம் செய்யப்பட்ட பழைய வேருக்கு தீர்வு தராது, அந்த வேரை எந்த வாடிக்கையாளரிடமிருந்தும் நீக்காது. பழைய பாதை எப்போது நம்பிக்கை வழங்குவதை நிறுத்தும் என்று எழுதுங்கள், அந்த நாள் உண்மையில் வருகிறது என்பதை உறுதிப்படுத்துங்கள்.

இலைகள் நகர்வதற்கு முன் ஒவ்வொரு வாடிக்கையாளரும் புதிய வேரை ஏற்க முடிந்தால், எளிய இரட்டை-நம்பிக்கை வரிசைப்படுத்தல் குறுக்கு-கையொப்பத்தை விட எளிதானது, மேலும் ஓய்வு பெற ஒரு விஷயம் குறைவாக இருக்கும்.