ca md too weak: ధృవపత్రాన్ని మళ్లీ జారీ చేయాలా లేదా స్థాయిని తగ్గించాలా?

OpenVPN క్లయింట్ గత నెల పనిచేసింది, ఇప్పుడు ప్రారంభంలో ఈ లోపంతో విఫలమవుతుంది: ca md too weak, డిస్క్‌లోని ప్రొఫైల్ పనిచేసిన దానితో బైట్ బైట్ సమానం. సందేశం ధృవపత్ర అధికారం యొక్క ధృవపత్రంపై సంతకం గురించి, డేటా సైఫర్, auth డైజెస్ట్ లేదా ఖాతా పాస్‌వర్డ్ గురించి కాదు. మూడు షరతులు నిర్ణయిస్తాయి: పరిష్కారం కొత్త గుర్తింపు పదార్థమా, కొత్త గొలుసా, లేదా ఉద్దేశపూర్వక విధాన మార్పా. వాటిని క్రమంగా చేయండి, హోస్ట్‌లోని ప్రతి TLS కనెక్షన్‌ను బలహీనపరచి టన్నెల్‌ను తిరిగి తెచ్చే సాధారణ ఫలితాన్ని తప్పించుకుంటారు.

లోపం నిజంగా ఏమి సూచిస్తుంది

OpenSSL ఈ ధృవీకరణ లోపాన్ని గొలుసు నిర్మిస్తున్నప్పుడు లేవదీస్తుంది, CAగా పనిచేసే ధృవపత్రం లైబ్రరీ భద్రతా స్థాయి ఇకపై అంగీకరించని సంతకం డైజెస్ట్‌ను కలిగి ఉన్నప్పుడు. MD5 డిఫాల్ట్ స్థాయిలో తిరస్కరించబడుతుంది, SHA-1 స్థాయి పెంచిన తర్వాత తిరస్కరించబడుతుంది. ఇక్కడ ఆకు ధృవపత్రం డైజెస్ట్ కంటే దానికి సంతకం చేసే జారీచేయువారి డైజెస్ట్ ముఖ్యం. అదే విధానం, జారీ చేసిన రోజు పూర్తిగా సాధారణంగా ఉన్న మూలాన్ని కూడా తిరస్కరించగలదు.

అందుకే auth లేదా data-ciphers సవరించడం ఈ వైఫల్యానికి ఏమీ చేయదు. ఆ సెట్టింగ్‌లు చేతులు కలిపిన తర్వాత ప్యాకెట్‌లు ఎలా రక్షించబడతాయో నిర్వహిస్తాయి, తిరస్కరించిన వస్తువు టన్నెల్ ఉనికిలోకి రాకముందే పరిశీలించే గుర్తింపు పత్రం. ధృవపత్రం తన చెల్లుబాటు కాలంలో సుఖంగా ఉండి కూడా లైబ్రరీ అంగీకరించని సంతకాన్ని మోయగలదు.

తనిఖీలను మనస్సులో విడివిడిగా ఉంచండి, లోపం రహస్యంగా అనిపించడం ఆగిపోతుంది. చెల్లుబాటు తేదీలు, కీ వినియోగం మరియు సంతకం డైజెస్ట్ స్వతంత్ర పరీక్షలు, వాటిలో సరిగ్గా ఒకటి ఇప్పుడే విఫలమైంది.

మొదటి షరతు: తిరస్కరించిన వస్తువు మూలమా?

ప్రొఫైల్‌లోని ప్రతి ధృవపత్రాన్ని ముద్రించి subject మరియు issuer ఫీల్డ్‌లను చదవండి. స్వయం సంతకం చేసిన మూలం రెండింటిలో ఒకే విలువ చూపుతుంది, దాని సంతకం అల్గోరిథమే మొత్తం గొలుసు ఆధారం. బలహీన డైజెస్ట్ అక్కడ ఉంటే, దాని క్రింద ఉన్న ప్రతి ఆకు సమస్యను వారసత్వంగా పొందుతుంది. తర్వాతి పోలిక జ్ఞాపకం నుంచి కాకుండా యాంత్రికంగా ఉండటానికి అల్గోరిథమ్‌ను subject పక్కన రాయండి.

కలిపిన CA ఫైళ్లలో తరచుగా అనేక బ్లాక్‌లు ఉంటాయి, కాబట్టి మొదటిదే దోషి అని ఊహించకుండా నిజంగా లోడ్ అయ్యే బ్లాక్‌ను గుర్తించండి. ఆదేశం openssl x509 -in ca.pem -noout -subject -issuer -text ఒకసారి ఒక ధృవపత్రాన్ని వివరిస్తుంది, అంటే బండిల్‌లో ఎక్కువ ఉంటే ముందుగా దాన్ని విభజించాలి. ముద్రించిన సంతకం అల్గోరిథమ్‌ను మూలం సృష్టించిన యుగం నుంచి మీరు ఆశించే డైజెస్ట్‌తో పోల్చండి.

బలహీన మూలం క్రింద SHA-256తో సంతకం చేసిన ఆకు కూడా విఫలమవుతుంది, ఎందుకంటే గొలుసు తనిఖీ పైకి వరకు వెళ్తుంది. ఆ క్రమమే తదుపరి షరతును ముఖ్యం చేస్తుంది.

రెండవ షరతు: జారీచేయువారిని మీరు నియంత్రిస్తున్నారా?

మూలం మీ సంస్థకు చెందినదైతే, శాశ్వత పరిష్కారం ఆధునిక డైజెస్ట్‌తో కూడిన కొత్త మూలం మరియు మళ్లీ జారీ చేసిన ఆకులు, ఒకే ప్రొఫైల్ నవీకరణగా అందించబడటం. దానికి నిర్వహణ విండో మరియు అదే రోజు నవీకరణ తీసుకోలేని పరికరాలకు ప్రణాళిక అవసరం.

గొలుసును మూడవ పక్షం జారీ చేసిందైతే, పరిష్కారం ఆ ఆపరేటర్‌కు చేసే అభ్యర్థన, స్థానికంగా ఉపయోగకరమైన ఏకైక చర్య పాత పదార్థంపై ఆధారపడటం ఆపడం. PEM వచనాన్ని సవరించడం లేదా ఫైల్‌ను మళ్లీ సేవ్ చేయడం సంతకం కవర్ చేసే దానిలో ఏమీ మార్చదు.

ఒక మధ్యస్థ సందర్భం పేరు పొందదగినది: ప్రస్తుత డిఫాల్ట్‌ల కంటే పాతదైనా ఇతర వ్యవస్థలు నమ్మే పదార్థంపై ఇంకా సంతకం చేసే అంతర్గత మూలం. దాన్ని భర్తీ చేయడం అంటే ప్రతి వినియోగదారుని ఆడిట్ చేయడం, పాత ధృవపత్రాన్ని వేలిముద్రతో పిన్ చేసే పరికరాలతో సహా. మార్పును షెడ్యూల్ చేసే ముందు ఆ వినియోగదారులను లెక్కించండి, ఎందుకంటే ఒకరిని దాటవేసే మూల మార్పు ప్రారంభ లోపాన్ని అంతరాయంగా మారుస్తుంది.

మూడవ షరతు: స్థాయిని తగ్గించడం ఇంకా ఏమి అంగీకరిస్తుంది

భద్రతా స్థాయిని తగ్గించడం, లేదా OpenVPN యొక్క పాత ధృవపత్ర ప్రొఫైల్‌ను ఎంచుకోవడం, క్లయింట్ పాత డైజెస్ట్‌ను మళ్లీ అంగీకరించేలా చేస్తుంది. అది అదే లైబ్రరీలోని ఇతర తనిఖీలను కూడా సడలిస్తుంది, ఆ ప్రక్రియ చేసే ప్రతి కనెక్షన్‌కు.

ప్రయోగశాలలో, లేదా ప్రత్యామ్నాయ పదార్థం సిద్ధమవుతున్నప్పుడు చిన్న వంతెనగా, మినహాయింపు ఒకే ప్రొఫైల్‌కు పరిమితమై ముగింపు తేదీ ఉంటే ఇది సమర్థనీయం. పంచుకున్న హోస్ట్‌లో శాశ్వత సెట్టింగ్‌గా అది అక్కడి ప్రతి TLS క్లయింట్ నమ్మే దాన్ని నిశ్శబ్దంగా విస్తరిస్తుంది.

మినహాయింపును బాధ్యుడు మరియు తొలగింపు దశతో రాయండి. ఆరు నెలల తర్వాత నమోదు చేయని స్థాయి మార్పు తప్పు నుంచి వేరు చేయలేము, తదుపరి ఇంజనీర్‌కు అది ఎప్పుడైనా నిర్ణయం అని తెలియదు.

నిర్ణయం, నియమంగా రాయబడింది

జారీచేయువారిని నియంత్రించి వారి వినియోగదారులను లెక్కించగలిగితే గొలుసును భర్తీ చేయండి. నియంత్రించలేకపోతే జారీచేయువారి వద్దకు ఎత్తండి. భర్తీ ఇప్పటికే షెడ్యూల్ చేయబడిన, తేదీ మరియు పరిమితి ఉన్న మినహాయింపుగా మాత్రమే స్థాయిని తగ్గించండి. మిగతా ఏదైనా అదే ధృవపత్రాన్ని అక్కడే ఉంచి ప్రమాదాన్ని తక్కువ కనిపించే చోటుకు కదిలిస్తుంది.

తర్వాత శుభ్రమైన క్లయింట్ నుంచి ప్రొఫైల్‌ను మళ్లీ పరీక్షించండి, చేతులు కలపడం పూర్తవుతుందని నిర్ధారించండి, ఇంకా విఫలమైతే తిరస్కరణ యొక్క ఖచ్చితమైన వచనాన్ని ఉంచండి. ఖచ్చితమైన లోప సందేశం తదుపరి పొర యజమానికి ఇవ్వగలిగే అత్యంత చవకైన విషయం.