openssl ca: index.txt இல் தவறான காலாவதி தேதி மற்றும் அதை எப்படிச் சரிசெய்வது

ஒரு வெளியீட்டு ஓட்டம் இங்கே நிற்கிறது: entry 22: invalid expiry date, ஆனால் உங்கள் முன் உள்ள கோரிக்கை முற்றிலும் சரியானது. புகார் CA தரவுத்தளத்தின் பகுப்பாய்வியிலிருந்து வருகிறது, CSR இலிருந்து அல்ல, இறுதியில் சான்றிதழை வழங்கப்போகும் VPN கிளையண்டிலிருந்தும் அல்ல. இந்த வேறுபாடே அதன் பின் உள்ள அனைத்தையும் தீர்மானிக்கிறது: பதிவு சிதைந்துள்ளது, எனவே பழுதுநீக்கம் CA நிலைக்கு உரியது, கோரிக்கைக்கோ சக அமைப்புக்கோ அல்ல. எண்ணிடப்பட்ட பதிவை index.txt இல் ஒரு வரியாகக் கருதுங்கள், பிரச்சினை சரிபார்க்கக்கூடிய பதிலுடன் கூடிய வரம்புக்குட்பட்ட தரவுக் கேள்வியாகச் சுருங்குகிறது.

பிழையை தரவுத்தளத்தின் புகாராகப் படியுங்கள்

ஒவ்வொரு openssl ca அழைப்பும் எதையும் கையொப்பமிடும் முன் அதன் உரை தரவுத்தளத்தைக் கடக்கிறது. ஒவ்வொரு வரியிலும் நிலை எழுத்து, காலாவதி நேரமுத்திரை, விருப்பத் திரும்பப்பெறல் முத்திரை, ஹெக்ஸில் வரிசை எண், கோப்புப் பெயர் மற்றும் பொருள் உள்ளன. ஒரு புலத்தை பகுப்பாய்வு செய்ய முடியாதபோது, கட்டளை வரி எண்ணைத் தெரிவித்து, மீதமுள்ள பதிவை ஊகிப்பதற்குப் பதிலாக நிற்கிறது.

அந்த நிறுத்தம் பாதுகாப்பானது, கடுமையானது அல்ல. கருவியால் படிக்க முடியாத பதிவு, கேட்கப்பட்ட பொருள் ஏற்கனவே உள்ளதா, வரிசை எண் வழங்கப்பட்டதா, அல்லது அடுத்த CRL இல் என்ன இருக்க வேண்டும் என்பதைத் தீர்மானிக்க முடியாமல் செய்கிறது. கெட்ட வரியைத் தாண்டி முன்னேறினால், மாதங்களுக்குப் பிறகு, பொதுவாக யாரும் விளக்க முடியாத திரும்பப்பெறலின் போது வெளிப்படும் அதே அமைதியான முரண்பாட்டை உருவாக்கியிருக்கும். செய்தியைத் தரவு பற்றிய புகாராகப் படியுங்கள், விசாரணை CA அடைவுக்குள் தான் இருக்கும்.

எதையும் தொடும் முன் CA நிலையை நகலெடுங்கள்

தரவுத்தளக் கோப்பை மட்டுமல்ல, முழு CA அடைவின் நிழற்படத்தை எடுங்கள். அட்டவணை, அதன் பண்புக் கோப்பு, வரிசை எண் மற்றும் CRL எண் கோப்புகள், தனிப்பட்ட விசை மற்றும் வெளியிடப்பட்ட சான்றிதழ்கள் அனைத்தும் பிந்தைய செயல்பாடுகளில் பங்கேற்கின்றன, ஒன்றை மீட்டெடுத்து மற்றவற்றை விட்டுவிடும் பழுதுநீக்கம் இரண்டாவது சம்பவத்தை உருவாக்குகிறது. இருக்குமிடத்தில் CA இன் சொந்த காப்புப்பிரதி முறையைப் பயன்படுத்துங்கள், வேலை நடக்கும் காலம் முழுவதும் திட்டமிட்ட வெளியீட்டை நிறுத்துங்கள்.

தோல்வியடைந்த கட்டளை உண்மையில் ஏற்றிய OpenSSL கட்டமைப்பு மற்றும் உள்ளமைவுக் கோப்பைப் பதிவு செய்யுங்கள். நிறுவல்கள் பெரும்பாலும் ஒன்றுக்கு மேற்பட்ட CA அடைவுகளை வைத்திருக்கும், தேர்ந்தெடுத்த உள்ளமைவு பெயரிடும் தரவுத்தளத்திற்கு மட்டுமே பிழைக்கு அர்த்தம் உண்டு.

பதிவைக் கண்டுபிடித்து அதன் தேதிப் புலத்தைக் குறிவிலக்குங்கள்

தெரிவிக்கப்பட்ட வரி எண் முதல் பதிவிலிருந்து எண்ணப்படுகிறது, எனவே sed -n '22p' index.txt அதற்கு மேலே காலி அல்லது கருத்து வரிகள் இல்லை என்பதை உறுதிசெய்தபின் சிக்கலான பதிவின் மீது விழுகிறது. அந்த வரியைத் தெரியும் பிரிப்பான்களுடன் அச்சிடுங்கள், ஏனெனில் தாவல்களும் இறுதி இடைவெளிகளும் பொதுவானவை, சாதாரண திருத்தி சாளரத்தில் தெரியாதவை.

காலாவதிப் புலம் ஆண்டைப் பொறுத்து அகலம் மாறும் நேரமுத்திரை. 2049 வரையிலான மதிப்புகள் UTCTime இல் YYMMDDHHMMSSZ என எழுதப்படுகின்றன, பிந்தைய மதிப்புகள் நான்கு இலக்க ஆண்டுடன் GeneralizedTime க்கு மாறுகின்றன. இரு வடிவங்களையும் கலக்கும், அல்லது பகுப்பாய்வி இப்போது நான்கு இலக்கங்களை எதிர்பார்க்கும் இடத்தில் இரண்டு இலக்க ஆண்டைக் கொண்ட பதிவு சரியாக இந்த இடத்திலேயே தோல்வியடைகிறது. தடைபட்ட எழுத்திலிருந்து எஞ்சிய வெட்டப்பட்ட புலமும் அப்படியே.

பதிவை மற்றொரு CA இன் கோப்புடன் அல்ல, அது குறிப்பிடும் சான்றிதழுடன் ஒப்பிடுங்கள். கையொப்பமிட்ட சான்றிதழே செல்லுபடியாகும் தன்மை என்ன சொல்ல வேண்டும் என்பதற்கான அதிகாரம், அது ஏற்கனவே பகுப்பாய்வு செய்யக்கூடிய பொருளாக உள்ளது.

கையொப்பமிட்ட சான்றிதழின் அடிப்படையில் பதிவைச் சரிசெய்யுங்கள்

உண்மையான தேதிகளை இதன் மூலம் படியுங்கள்: openssl x509 -in issued.pem -noout -dates -serial -subject. notAfter உங்கள் கட்டமைப்பு அந்த ஆண்டுக்கு எழுதும் முத்திரை அகலமாக மாற்றுங்கள், ஒரு எழுத்தையும் மாற்றும் முன் வரிசை எண் நீங்கள் திருத்தப்போகும் பதிவுடன் பொருந்துகிறதா என்பதை உறுதிசெய்யுங்கள்.

உடைந்த புலத்தை மட்டும் திருத்துங்கள், நிலை எழுத்தையும் வரிசை எண்ணையும் வைத்திருங்கள், வரியின் மீதியை அப்படியே விடுங்கள். எந்தக் கையொப்பமிட்ட சான்றிதழுடனும் பதிவை ஒப்பவைக்க முடியாவிட்டால், அதை வழிதவறிய பதிவாகக் கருதி, வரியைக் கையால் அழிப்பதற்குப் பதிலாக CA இன் சொந்த திரும்பப்பெறல் பாதையில் ஓய்வுபெறச் செய்யுங்கள்.

ஆண்டு பற்றிய ஊகத்திற்குப் பொருந்த தேதியை வெட்டிச் சரிசெய்ய வேண்டாம். இரண்டு எழுத்து வெட்டு கட்டமைப்புகளுக்கிடையே எடுத்துச் செல்ல முடியாதது, மேலும் தரவுத்தளம் எதிர்கால நகல் பொருள் மற்றும் CRL சோதனைகளுக்குத் தெரிவிக்கும் செல்லுபடியாகும் தன்மையை அமைதியாக மாற்றுகிறது. அசல் மதிப்பை மீட்டெடுக்க முடியாதபோது, புதிய வரிசை எண்ணில் மீண்டும் வெளியிடுங்கள் மற்றும் பழையது ஏன் கைவிடப்பட்டது என்பதை எழுதி வையுங்கள். தணிக்கைச் சுவடு பழுதுநீக்கத்தின் பகுதி, அதைச் சுற்றியுள்ள காகித வேலை அல்ல.

புறப்படும் முன் வெளியீடு மற்றும் CRL உருவாக்கத்தைச் சரிபாருங்கள்

அதே உள்ளமைவுடன் ஒரு வெளியீட்டை இயக்கி, வரி எண் புகாரின்றி முடிவடைவதை உறுதிசெய்யுங்கள். பின்னர் openssl ca -gencrl -config openssl.cnf மூலம் CRL ஒன்றை உருவாக்கி அது பகுப்பாய்வு செய்யப்படுகிறதா எனப் பாருங்கள், ஏனெனில் சேதமடைந்த பதிவு கையொப்பமிடும் போது அல்ல, பெரும்பாலும் அங்கேயே வெளிப்படுகிறது.

புதிய சான்றிதழை இதன் மூலம் பரிசோதியுங்கள்: openssl x509 -noout -dates -serial மற்றும் CA இப்போது எழுதிய வரியுடன் ஒப்பிடுங்கள். நிலை எழுத்தும் காலாவதி தேதியும் சான்றிதழுடன் ஒத்துப்போவதை உறுதிசெய்யுங்கள், மேலும் openssl verify -CAfile ca.pem issued.pem பிழையின்றி திரும்பி வருவதையும் உறுதிசெய்யுங்கள். பின்னர் திட்டமிட்ட வெளியீட்டை மீட்டெடுத்து முதல் ஓட்டத்தைக் கவனியுங்கள், ஏனெனில் இரண்டாவது சிதைந்த வரி உடனடியாகத் தன்னை அறிவிக்கும்.