புதுப்பிக்கப்பட்ட VPN சான்றிதழ்: சில கிளையண்ட்கள் இன்னும் அதை நிராகரிக்கின்றன

புதுப்பித்தலுக்குப் பிறகு சூழலின் பாதி மீண்டும் இணைகிறது, மூன்று சாதனங்கள் நிராகரிக்கின்றன, ஒவ்வொன்றும் நுழைவாயிலின் அடையாளம் குறித்த எச்சரிக்கையுடன். புதுப்பித்தல் என்பது வழக்கமான வேலை. அந்த மூன்று சாதனங்களும் வைத்திருப்பது பழைய பொருளுக்கான பின் ஆகும், மேலும் பின் என்பது CA பட்டியலோ, பெயர் சோதனையோ, நம்பிக்கைக் கிடங்கு உள்ளீடோ அல்ல. எந்தக் கிளையண்டையும் தொடும் முன் மூன்று வழிமுறைகளையும் ஒப்பிடுங்கள்.

ஒரு புதுப்பித்தல், இரண்டு நடத்தைகள்

மீண்டும் இணையும் கிளையண்ட்களுக்கு இன்னும் தேர்ச்சி பெறும் நம்பிக்கை முடிவு உள்ளது, நிராகரிப்பவர்களுக்கு புதிய சான்றிதழ் பூர்த்தி செய்யாத தேவை உள்ளது. அந்த வேறுபாடு தகவல், இரைச்சல் அல்ல. தோல்வியடைந்த கிளையண்டின் செய்தியைத் துல்லியமாகப் படியுங்கள். பெயர் பொருந்தாமை, அறியப்படாத வழங்குநர் மற்றும் மாறிய கைரேகை ஆகியவை மூன்று வெவ்வேறு தீர்ப்புகள், கடைசியானது மட்டுமே பின்னைச் சுட்டுகிறது.

தோல்வியடைந்த கிளையண்ட் எந்த சுயவிவரத்தைத் தேர்ந்தெடுத்தது என்பதையும் சரிபார்க்கவும். தனது சொந்தக் கிடங்கில் வாழும் இறக்குமதி செய்யப்பட்ட நகல், நிர்வாகி அசல் கோப்பை வேறெங்கோ திருத்தும்போது மாறாது.

புதுப்பித்தல் தேதியை மட்டுமல்ல, பொருளையே மாற்றுகிறது

கைரேகை குறியாக்கம் செய்யப்பட்ட சான்றிதழ் உள்ளடக்கத்தை அடையாளம் காட்டுகிறது. புதுப்பித்தல் புதிய சான்றிதழை உருவாக்குகிறது, எனவே பொருளின் பெயரும் பொது விசையும் ஒரே மாதிரி இருந்தாலும் கைரேகை மாறுகிறது. CA-ஐ நம்பி பெயரைச் சரிபார்க்கும் கிளையண்ட்களுக்கு இது எதிர்பார்க்கப்பட்டது, தீங்கற்றது. சரியாக ஒரு சான்றிதழை மட்டும் ஏற்க அமைக்கப்பட்ட கிளையண்டுக்கு இது மரணம், மேலும் அதன் நம்பிக்கைக் கிடங்கு புதிய வழங்குநரை ஒருபோதும் பெறாத கிளையண்டுக்கும் இது மரணம்.

openssl x509 -in server.pem -noout -subject -issuer -dates -fingerprint -sha256
openssl x509 -in server.pem -noout -pubkey | openssl sha256

இரண்டாவது வரி வேறு கேள்விக்குப் பதிலளிக்கிறது, விசை இணை தப்பிப் பிழைத்ததா என்பது. விசையை மீண்டும் பயன்படுத்தும் புதுப்பித்தல் அந்த மதிப்பை வைத்துக்கொண்டு சான்றிதழை மட்டும் மாற்றுகிறது, எதுவும் மாறவில்லை என்று நிர்வாகி கருத விரும்பும் சூழல் அதுவே. வரிசைப்படுத்தப்பட்ட சான்றிதழைப் பரிசோதியுங்கள், கட்டுமான ஹோஸ்டில் உள்ளதை அல்ல. களஞ்சியத்தில் உள்ள கோப்பை ஒப்பிடுவது என்ன உருவாக்கப்பட்டது என்பதை நிரூபிக்கிறது, கேட்பவர் இப்போது என்ன வழங்குகிறார் என்பதை அல்ல.

கிளையண்ட் எதைப் பின் செய்கிறது என்பதைப் படியுங்கள்

சில கிளையண்ட்கள் தங்கள் சுயவிவரத்தில் கைரேகையை வைத்து ஒவ்வொரு இணைப்பிலும் ஒப்பிடுகின்றன. மற்றவை அதைத் தளத்தின் நம்பிக்கைக் கிடங்கில் சேமிக்கின்றன, இன்னும் சில CA-ஐ மட்டும் நம்புகின்றன. ஒவ்வொரு நிலையிலும் பழுதுநீக்கம் வேறுபடும், எனவே முதலில் வழிமுறையை அடையாளம் காணுங்கள்.

grep -n 'peer-fingerprint' /etc/openvpn/client/*.conf
openssl s_client -connect gw.lab.example.net:443 -servername gw.lab.example.net < /dev/null 2>&1 | openssl x509 -noout -fingerprint -sha256

முதல் கட்டளை வழக்கமான சுயவிவரத்தில் உள்ள பின்னைக் காட்டுகிறது; இரண்டாவது முனையம் இப்போது உண்மையில் வழங்கும் கைரேகையைக் காட்டுகிறது. அவை இரண்டும் வேறுபட்டால், ஊகிக்காமல் குறையைக் கண்டுபிடித்துள்ளீர்கள். புதிய மதிப்பைப் புகார் செய்யும் ஒவ்வொரு கிளையண்டிலும் ஒட்ட வேண்டாம். வழங்குநர் காரணமாக நிராகரிக்கும் கிளையண்ட் நிராகரித்துக்கொண்டே இருக்கும், பிரச்சினை கைரேகை இல்லாதபோதும் அது தான் என்று உங்களை நீங்களே நம்ப வைப்பீர்கள்.

ஒவ்வொரு பின்தளமும் வழங்கும் சான்றிதழை ஒப்பிடுங்கள்

இடைப்பட்ட முடிவுகள் பொதுவாக ஒன்றுக்கு மேற்பட்ட முனையங்களைக் குறிக்கின்றன, ஒரு முனையில் பயன்படுத்தப்பட்ட புதுப்பித்தல் மற்றவற்றைப் பழைய பொருளை வழங்க விடுகிறது. ஒவ்வொரு பின்தளத்தையும் பகிரப்பட்ட பெயரால் அல்ல, முகவரியால் ஒப்பிடுங்கள்.

for h in 10.30.0.11 10.30.0.12; do echo "$h"; openssl s_client -connect $h:443 -servername gw.lab.example.net < /dev/null 2>&1 | openssl x509 -noout -subject -dates -fingerprint -sha256; done

ஒரு முனை பின்தங்கிய குழு, இரண்டாவது முயற்சியில் இணைந்து முதல் முயற்சியில் தோல்வியடையும் கிளையண்டை விளக்குகிறது. பயனர்கள் புகார் செய்யும்போது தேர்ச்சி பெறும் கண்காணிப்புச் சோதனையையும் இது விளக்குகிறது. முதலில் பின்தங்கியதைச் சரிசெய்யுங்கள். ஒவ்வொரு முனையும் புதிய சான்றிதழை வழங்கும் முன் நம்பிக்கை உள்ளமைவை உருட்டுவது எதுவும் இயங்காத சாளரத்தை உருவாக்குகிறது, அதன் பிறகு உருட்டுவது கிளையண்ட்களை எதிர்பாராத வகையில் தோல்வியடையச் செய்கிறது.

நிர்வகிக்கப்பட்ட பாதை வழியாக நம்பிக்கையை மாற்றுங்கள்

எங்கும் ஏற்பதற்கு முன் ஏற்கனவே நம்பகமான நிர்வாகப் பாதை வழியாக மாற்றீட்டை உறுதிப்படுத்துங்கள். நம்பகமான காலாவதி தேதி உரிமைக்கான சான்று அல்ல. நிர்வகிக்கப்பட்ட உள்ளமைவை அதை உடைமையாகக் கொண்ட செயல்முறை வழியாகப் புதுப்பிக்கவும், ஏற்கத்தக்க அடையாளங்களின் திட்டமிடப்பட்ட மேற்பொருந்தலுடன், மேலும் வரிசைப்படுத்தலுக்குத் தேவையான பெயர் சரிபார்ப்பை வைத்திருங்கள். பெயர் சோதனை இல்லாத பின், அது மாற்றிய CA நம்பிக்கையை விட பலவீனமான வடிவமைப்பு.

பின்னர் ஒவ்வொரு கிளையண்டிற்கும் சரிபார்க்கவும், இணையுங்கள், அது ஏற்றுக்கொண்ட அடையாளத்தை உறுதிப்படுத்துங்கள், இப்போது அது நம்பும் சான்றிதழ் பதிப்பைக் குறிப்பிடுங்கள். ஒருமுறை நிராகரிக்கப்பட்ட எச்சரிக்கை அடுத்த புதுப்பித்தலில் திரும்பி வரும் பழக்கத்தைக் கொண்டுள்ளது.