ஆதரவில்லாத சான்றிதழ் நோக்கம்: இடைநிலை CA ஏன் தோல்வியடைகிறது

சேவையகச் சான்றிதழின் நோக்கம் சரியாகத் தெரிகிறது, விசை பொருந்துகிறது, தேதிகள் சரியாக உள்ளன, இருந்தாலும் இணைப்பு unsupported certificate purpose உடன் தோல்வியடைகிறது. இதைத் தீர்க்கும் விவரம் பொதுவாக பிழையின் அதே வரியில் இருக்கும்: சங்கிலியில் மேலே உள்ள சான்றிதழைக் குறிக்கும் ஆழ மதிப்பு மற்றும் subject. இரண்டு வெவ்வேறு சோதனைகள் இயங்குகின்றன, அவற்றில் ஒன்று மட்டுமே இலையைப் பற்றியது. அவற்றை ஒப்பிடுவது சேவையகச் சான்றிதழை மாற்றுவது ஏன் எதையும் மாற்றவில்லை என்பதை விளக்குகிறது.

சரிபார்ப்பான் உண்மையில் நிராகரித்த சான்றிதழ் எது

சங்கிலி என்பது மூன்று முறை திரும்பத் திரும்ப வரும் ஒரு பொருள் அல்ல. இலை சேவையகத்தின் பெயரையும் விசையையும் கொண்டுள்ளது, இடைநிலைச் சான்றிதழ்கள் அதை ஒரு மூலத்துடன் இணைக்கின்றன, ஒவ்வொன்றுக்கும் அதன் சொந்த செல்லுபடி காலம், கட்டுப்பாடுகள் மற்றும் பயன்பாடுகள் உள்ளன. பிழை ஆழத்தைக் குறிப்பிடும்போது, அந்த எண் சரிபார்ப்பான் கட்டிய சங்கிலியில் ஒரு நிலையை அடையாளம் காட்டுகிறது, சேவையகம் எதிர்பாராத சங்கிலியை அனுப்பினால் அது நீங்கள் எதிர்பார்த்த நிலையாக இருக்காது.

அந்த ஆழத்தில் உள்ள சான்றிதழின் புலங்களைப் படியுங்கள், நீங்கள் குற்றவாளி எனக் கருதிய சான்றிதழின் அல்ல. ஒவ்வொரு புலத்தையும் கொட்டுவதற்குப் பதிலாக வெளியீட்டைக் கட்டுப்படுத்தும் இரண்டு extensions கேளுங்கள், ஏனெனில் பதில் எப்போதும் கிட்டத்தட்ட அவற்றில் ஒன்றில் இருக்கும். extensions இன் வெளியீடு பகிர்வதற்குப் பாதுகாப்பானது; தனிப்பட்ட விசைகள் ஒருபோதும் அல்ல.

openssl x509 -in issuing-ca.pem -noout -subject -issuer -ext basicConstraints -ext extendedKeyUsage

பெயரிடப்பட்ட சான்றிதழ் ஒரு இடைநிலைச் சான்றிதழாக இருந்து, அதன் விரிவாக்கப்பட்ட விசைப் பயன்பாடு TLS சேவையக அங்கீகாரத்துடன் தொடர்பில்லாத ஒன்றைக் குறிப்பிட்டால், மீதமுள்ள தோல்வி இயந்திரமாகத் தொடர்கிறது. OpenVPN கோரிய நோக்கத்திற்கு சங்கிலியைப் பயன்படுத்த முடியாது.

இலையின் நோக்கமும் சங்கிலியின் கொள்கையும் இரண்டு சோதனைகள்

இலைச் சோதனை ஒரு குறுகிய கேள்வியைக் கேட்கிறது: இந்த இறுதி நிறுவனச் சான்றிதழ் இந்தப் பெயருக்கு சேவையக அங்கீகாரத்தை அனுமதிக்கிறதா? சங்கிலிச் சோதனை மிகவும் பரந்த ஒன்றைக் கேட்கிறது: பாதையில் உள்ள ஒவ்வொரு சான்றிதழும் அந்த நோக்கத்திற்கு சேவை செய்ய முடியுமா? வாடிக்கையாளர் சான்றிதழ்களை மட்டுமே வெளியிட அனுமதிக்கப்பட்ட சான்றிதழ் அதிகாரம் அதன் சொந்த கையொப்பச் சரிபார்ப்புகளைக் கடந்து, இருந்தாலும் இரண்டாவது சோதனையில் தோல்வியடையும், ஏனெனில் அது அனுமதிக்கும் பாதையில் பயன்பாட்டிற்குத் தேவையான நோக்கம் சேர்க்கப்படவில்லை. இரண்டு சோதனைகளும் ஒரே வார்த்தைகளில் தோல்வியடைகின்றன, முற்றிலும் வேறுபட்ட தீர்வுகளைக் கொண்டுள்ளன.

அதனால்தான் அனைத்து தெரியும் புலங்களிலும் சரியான புதிதாக வெளியிடப்பட்ட இலையும் உடனடியாகத் தோல்வியடையலாம். அதனால்தான் தீர்வு பொதுவாக VPN கட்டமைப்பில் அல்ல, வெளியிடும் அதிகாரத்தின் சுயவிவரத்தில் உள்ளது.

இல்லாத EKU என்பது கட்டுப்படுத்தும் EKU அல்ல

RFC 5280 விரிவாக்கப்பட்ட விசைப் பயன்பாட்டு extension ஐ விருப்பமாக ஆக்குகிறது, அது இருக்கும்போது கட்டுப்படுத்துவதாக இருக்கும். எனவே extension இல்லாத CA சான்றிதழ் சேவையக அங்கீகாரத்திற்கு 'இல்லை' என்று சொல்லவில்லை, ஆனால் தொடர்பில்லாத நோக்கத்தை மட்டும் பட்டியலிடும் ஒன்று மிகவும் குறிப்பிட்ட ஒன்றைச் சொல்லியுள்ளது. இந்த இரு நிலைகளையும் சமமாகக் கருதுவது தவறான நோயறிதலையும், அதைவிட மோசமாக தவறான தீர்வையும் தரும். இந்த வேறுபாடு கன்சோலில் ஒரே மாதிரி தெரியும் இரு அதிகாரங்கள் சங்கிலியில் முற்றிலும் வேறுபட்டு நடந்துகொள்வதையும் விளக்குகிறது.

நூலகங்களின் நடத்தையும் இங்கு ஒரே மாதிரியாக இல்லை. OpenSSL இன் சரிபார்ப்பு விருப்பங்கள் பற்றிய ஆவணம் CA சான்றிதழ்களில் நோக்கச் சரிபார்ப்புகளுக்கான தனது அணுகுமுறையை விவரிக்கிறது, அந்த அணுகுமுறை செயலாக்கக் கொள்கையே தவிர ஒவ்வொரு TLS அடுக்கும் ஒரே மாதிரி பின்பற்றும் விதி அல்ல. உங்கள் சரிபார்ப்பான் என்ன செய்கிறது என்பதை விவரித்து, பின்னர் நீங்கள் உண்மையில் இயக்கும் பதிப்பில் அதை உறுதிப்படுத்துங்கள்.

மீண்டும் வெளியிடுவதற்கு முன் தோல்வியை ஆஃப்லைனில் மீண்டும் உருவாக்குங்கள்

ஆஃப்லைன் சரிபார்ப்பு பயன்பாட்டைச் சமன்பாட்டிலிருந்து வெளியேற்றுகிறது. அதே நோக்கத்தின் கீழ் சங்கிலி அதே வழியில் தோல்வியடைந்தால், சிக்கல் சான்றிதழில்தான் உள்ளது, எந்த சேவையகக் கட்டமைப்பும் அதை மறைக்காது. சங்கிலி ஆஃப்லைனில் தேர்ச்சி பெற்றாலும் சேவை இன்னும் மறுத்தால், பயன்பாடு வேறு நோக்கத்தைக் கேட்கிறது அல்லது நீங்கள் சோதித்ததை விட வேறு சங்கிலியைப் பயன்படுத்துகிறது.

openssl verify -purpose sslserver -show_chain -CAfile root-ca.pem -untrusted issuing-ca.pem vpn-server.pem

-show_chain முக்கியம், ஏனெனில் அது கருவி கட்டிய பாதையை அச்சிடுகிறது, அது பெரும்பாலும் நீங்கள் வழங்கிய கோப்பு வரிசையாக இருக்காது. அந்த வெளியீடு இரண்டாவது இடைநிலைச் சான்றிதழ் நம்பிக்கைக் கிடங்கிலிருந்து இழுக்கப்படுவதையும், சேவையகம் நீங்கள் நினைக்காத குறுக்கு-கையொப்பமிட்ட மாறுபாட்டை அனுப்புவதையும், அல்லது பயிற்சியிலிருந்து நகலெடுத்த நோக்கக் கொடி சேவை செய்யப்படும் பங்கிலிருந்து வேறுபட்ட பங்கிற்கு உரியது என்பதையும் கண்டறியும் வேகமான வழி.

வெளியீட்டுக் கொள்கையைச் சரிசெய்யுங்கள், சரிபார்ப்பு அழைப்பை அல்ல

நீடித்த தீர்வு என்பது அது சேவை செய்ய வேண்டிய நோக்கங்களை அனுமதிக்கும் கொள்கையின் கீழ் வெளியிடப்பட்ட இடைநிலைச் சான்றிதழ், கட்டுப்பாடு எழுதப்பட்டு மறுபரிசீலனை செய்யப்பட்டுள்ளது. ஒவ்வொரு அதிகாரத்திற்கும் ஒவ்வொரு நோக்கத்தையும் சேர்ப்பது கொள்கை அல்ல; அது extension க்கு அர்த்தம் தந்த கட்டுப்பாட்டை நீக்குகிறது, பொதுவாக அதைத் தூண்டிய சம்பவத்தை விட நீண்ட காலம் நீடிக்கிறது. சுயவிவரத்தில் அதிகாரம் எந்தப் பங்குகளைச் சான்றளிக்கலாம் என்பதை விவரிக்கும் சிறு குறிப்பு அடுத்த மறுவெளியீடு அதே விவாதத்தை மீண்டும் செய்வதைத் தடுக்கிறது.

சரிபார்ப்பை முடக்குவது மற்றொரு கவர்ச்சிகரமான குறுக்குவழி, அது சான்றிதழ் சிக்கலை நம்பிக்கைச் சிக்கலாக மாற்றுகிறது. நோக்கச் சரிபார்ப்பை அதே இடத்தில் வைத்திருங்கள், சங்கிலியைச் சரிசெய்து, பாதை இப்போது நோக்கம் கொண்ட பங்கிற்குச் சேவை செய்கிறது என்பதை உறுதிப்படுத்த அதே ஆஃப்லைன் சரிபார்ப்பை மீண்டும் இயக்குங்கள், பின்னர் சேவையை மீண்டும் தொட்டுப் பாருங்கள்.