இலைச் சான்றிதழ் செல்லுபடியாகும், சங்கிலி காலாவதியானது: ஆழத்தைப் படியுங்கள்

சேவையகச் சான்றிதழைச் சரிபார்க்கிறீர்கள், கடிகாரத்தில் இன்னும் மாதங்கள் உள்ளன, ஆனாலும் வாடிக்கையாளர் காலாவதி செய்தியுடன் இணைப்பை மறுக்கிறார். நீங்கள் படிக்கும் தேதி இலைக்குச் சொந்தமானது, புகார் பாதையின் ஆழமான ஏதோ ஒன்றைப் பற்றியதாக இருக்கலாம். சரிபார்ப்பு ஒரு சங்கிலியைக் கடக்கிறது, மேலும் இந்த நடையில் தேர்ந்தெடுக்கப்படும் எந்தச் சான்றிதழும் அதன் சொந்த செல்லுபடி சாளரத்தில் தோல்வியடையலாம். எதையும் புதுப்பிக்கும் முன் எது தோல்வியடைந்தது என்பதைப் படியுங்கள்.

ஆழம் தோல்வியடைந்த சான்றிதழைப் பெயரிடுகிறது

OpenSSL கண்டறிதலில், ஆழம் 0 என்பது இலக்கு சான்றிதழ், ஆழம் 1 என்பது அதில் கையெழுத்திட்ட வழங்குநர், பெரிய எண்கள் நம்பிக்கை நங்கூரத்தை நோக்கித் தொடர்கின்றன. ஆழம் 1 இல் தெரிவிக்கப்படும் காலாவதி இலையில் உள்ள தற்போதைய notAfter ஆல் மறுக்கப்படாது, எனவே தெரியும் சான்றிதழை மீண்டும் சரிபார்ப்பது பிழையை ஒருபோதும் விளக்காது.

தோல்வியடைந்த சான்றிதழின் கைரேகையை அதன் subject உடன் பதிவு செய்யுங்கள், ஏனெனில் வெவ்வேறு சான்றிதழ்கள் ஒரே CA பெயரைக் கொண்டிருக்கலாம். குறுக்கு கையொப்பம் அதே நிலையை உருவாக்குகிறது: அதே அதிகாரம் ஒன்றுக்கு மேற்பட்ட முறை, வெவ்வேறு செல்லுபடி தேதிகளுடன் தோன்றுகிறது, மேலும் சரிபார்ப்பவர் நீங்கள் எதிர்பார்க்காததைத் தேர்ந்தெடுத்தார். பரிச்சயமான லேபிள் அடையாளங்காட்டி அல்ல, கைரேகையே ஒரே பெயரைப் பகிரும் இரு பொருட்களை வேறுபடுத்துகிறது.

ஒன்றுக்கு மேற்பட்ட சான்றிதழ் பங்குகள் உள்ள தயாரிப்புகளையும் கவனியுங்கள். OpenVPN Access Server இல், வலை இடைமுகங்களைப் பாதுகாக்கும் சான்றிதழ்கள் VPN இணைப்புகளுக்குப் பயன்படுத்தப்படுபவற்றிலிருந்து தனியானவை, எனவே நிர்வாகப் பக்கத்தைத் திறக்கும் உலாவி சுரங்கப்பாதையின் பாதையைப் பற்றி எதையும் நிரூபிக்காது.

நம்பிக்கை உள்ளீடுகள் சங்கிலி வேட்பாளர்களுடன் ஒன்றல்ல

சரிபார்ப்பவருக்கு இரு உள்ளீடுகளையும் தனித்தனியாகவும் வெளிப்படையாகவும் கொடுங்கள். நம்பிக்கைக் கோப்பு நீங்கள் ஏற்கும் நங்கூரங்களை வைத்திருக்கிறது; நம்பமுடியாத தொகுப்பு பாதையை உருவாக்க வழங்கப்படும் இடைநிலைச் சான்றிதழ்களை வைத்திருக்கிறது. அவற்றைக் கலப்பதே மக்கள் தற்செயலாக இடைநிலைச் சான்றிதழை வேர் வரை உயர்த்தி, பின்னர் அதே பிழை ஏன் இயந்திரங்களுக்கிடையே அவர்களைப் பின்தொடர்கிறது என்று வியக்கும் வழி.

$ openssl verify -verbose -show_chain -purpose sslserver \
    -CAfile trusted-roots.pem -no-CApath -no-CAstore \
    -untrusted intermediates.pem server.pem

இயல்புநிலைப் பாதையையும் சேமிப்பகத்தையும் -no-CApath -no-CAstore உடன் முடக்குவது சோதனையை நேர்மையாக வைத்திருக்கிறது: முடிவு நீங்கள் பெயரிட்ட கோப்புகளைப் பொறுத்தது, பணிநிலையம் தற்செயலாக நம்புவதை அல்ல. OpenSSL சரிபார்ப்பு கையேடு இந்த விருப்பங்களையும் அவை உருவாக்கும் கண்டறிதலையும் ஆவணப்படுத்துகிறது.

சரிபார்ப்பு வெற்றியடையும்போது -show_chain கட்டப்பட்ட சங்கிலியை அச்சிடுகிறது, இது பாதை நீங்கள் நினைத்ததே என உறுதிசெய்ய பயனுள்ளது. அது தோல்வியடையும்போது, தெரிவிக்கப்பட்ட ஆழத்தையும் subject ஐயும் வைத்திருங்கள்; அந்த இரு புலங்கள் அடுத்த வாசகருக்கு எந்தச் சான்றிதழை ஆய்வு செய்வது என்று சொல்கின்றன.

இது செய்யாதது ஒவ்வொரு வாடிக்கையாளரின் கொள்கையையும் மீண்டும் உருவாக்குவது. பின், நோக்கக் கட்டுப்பாடு அல்லது வாடிக்கையாளர்-குறிப்பிட்ட அடையாளச் சரிபார்ப்பு வாடிக்கையாளருக்குள் வாழ்கிறது, இந்த கட்டளைக்குள் அல்ல. சேவையகத்தில் சரிபார்ப்பு கடந்து இணைப்பு இன்னும் தோல்வியடையும்போது ஆய்வு செய்ய வேண்டிய அமைப்புகள் அவையே. இரு கண்டறிதல்களையும் தனித்தனியாக வைத்திருங்கள், இல்லையேல் பின்னிங் பிழையைத் துரத்தும்போது ஆரோக்கியமான சான்றிதழைப் புதுப்பிப்பீர்கள்.

சரிபார்ப்பு எதை நிரூபிக்கிறது, எதை விட்டுவிடுகிறது

இது நீங்கள் வழங்கிய நம்பிக்கைக் கோப்புக்கு எதிரான பாதை மற்றும் நோக்கச் சரிபார்ப்பு. HTTPS பெயர்ச் சரிபார்ப்புக்கு பொருத்தமான விருப்பத்தின் மூலம் எதிர்பார்க்கப்படும் புரவலன் பெயரைச் சேர்க்கவும்; VPN இணைப்புக்கு வாடிக்கையாளரின் கட்டமைக்கப்பட்ட அடையாளச் சரிபார்ப்புகளை வைத்து, அந்த வாடிக்கையாளர் உண்மையில் படிக்கும் நம்பிக்கைப் பொருளைப் பயன்படுத்தவும்.

சேவையகம் அனுப்புவது வேட்பாளர்களின் தொகுப்பு, உங்கள் வாடிக்கையாளர் இறுதியில் கட்டப்போகும் பாதை அல்ல. உள்ளூர் நம்பிக்கையும் நூலகத்தின் கட்டுமான விதிகளும் முடிவை வடிவமைக்கின்றன, அதனால்தான் ஒரே பதில் ஒரு இயந்திரத்தில் சரிபார்க்கப்பட்டு மற்றொன்றில் தோல்வியடையலாம். ஒரே மாதிரியான மதிப்பீட்டைக் கருதும் முன் தோல்வியடையும் வாடிக்கையாளரின் பராமரிக்கப்படும் நம்பிக்கைச் சேமிப்பகத்தையும் TLS செயலாக்கத்தையும் வேலை செய்யும் வாடிக்கையாளருடன் ஒப்பிடுங்கள். அங்குள்ள வேறுபாடு „இந்த மடிக்கணினியில் மட்டுமே தோல்வியடைகிறது“ போன்ற பல அறிக்கைகளை விளக்குகிறது.

ஒவ்வொரு சான்றிதழின் சாளரத்தையும் ஒவ்வொன்றாகப் பார்க்காமல் தொகுப்பாகப் பார்க்க, அவற்றை இவ்வாறு அச்சிடுங்கள்:

$ openssl x509 -in server.pem -noout -subject -dates
$ openssl crl2pkcs7 -nocrl -certfile intermediates.pem \
    | openssl pkcs7 -print_certs -noout

அந்த இரண்டாவது கட்டளை ஒவ்வொரு கோப்பையும் கையால் குறிவிலக்கம் செய்யாமல் subject களையும் வழங்குநர்களையும் பட்டியலிடுகிறது, அதனால் இலை இன்னும் நன்றாகத் தெரியும்போது தேதி கடந்த இடைநிலைச் சான்றிதழை நீங்கள் கவனிக்கிறீர்கள்.

சரிபார்ப்பைப் பலவீனப்படுத்தாமல் பாதையைச் சரிசெய்யுங்கள்

காலாவதியான இடைநிலை அல்லது பழைய குறுக்கு-கையொப்பமிட்ட சான்றிதழ் வழங்கப்படும்போது, வழங்குநரின் தற்போது ஆதரிக்கப்படும் சங்கிலியைப் பெற்று, சேவையின் ஆவணப்படுத்தப்பட்ட சான்றிதழ் பணிப்பாய்வு மூலம் பயன்படுத்துங்கள். வாடிக்கையாளரிடம் நோக்கமிட்ட பராமரிக்கப்படும் நங்கூரம் இல்லாவிட்டால், அதன் நிர்வகிக்கப்பட்ட நம்பிக்கைக் கட்டமைப்பையோ வாடிக்கையாளர் மென்பொருளையோ புதுப்பிக்கவும். செய்தியை அமைதிப்படுத்த மட்டும் தொகுப்பில் உள்ள ஒவ்வொரு சான்றிதழையும் வேர் எனக் குறிப்பதற்கான குறுக்குவழியை எதிர்க்கவும்.

வேரைக் கையாள்வது ஒரு குறிப்புக்குத் தகுதியானது, ஏனெனில் சுருக்கங்கள் அதை அடிக்கடி மிகைப்படுத்துகின்றன. RFC 5280 நங்கூரத்தை எதிர்காலப் பாதைக்கு வெளியே உள்ள உள்ளீடாகக் கருதுகிறது, அதேநேரம் OpenSSL தன் வேர் CA சான்றிதழை உள்ளடக்கிய செல்லுபடித் தணிக்கைகளை ஆவணப்படுத்துகிறது. இரு கூற்றுகளும் அவற்றின் சொந்த அமைப்புகளுக்கு உண்மை; ஒரு நூலகத்தின் வேர்-காலாவதி நடத்தையை ஒவ்வொரு வாடிக்கையாளருக்கும் பொதுமைப்படுத்துவது நம்பிக்கையான தவறான பதில்களைத் தருகிறது.

மாற்றத்திற்குப் பிறகு, பாதிக்கப்பட்ட வாடிக்கையாளரில் புதிய அங்கீகாரத்தைக் கட்டாயப்படுத்தி, குறிப்பிட்ட காலாவதி செய்தி போய்விட்டதை உறுதிசெய்யுங்கள். இலை தானே பொருத்தமற்றதாக இருந்தால் மட்டும் இலையைப் புதுப்பிக்கவும். நேரச் சரிபார்ப்புகளை முடக்குவதோ வரலாற்று குறுக்குச் சான்றிதழை மீட்டெடுப்பதோ செல்லுபடியான தற்போதைய பாதையை உருவாக்காது; அது அடுத்த தோல்வியைத் தாமதப்படுத்துகிறது மட்டுமே.