Yaprak sertifika geçerli, zincir süresi dolmuş: derinliği okuyun

Bir süre aşımı hatası yaprağa değil, veren kuruluşa ait olabilir. Hâlâ güncel görünen bir sertifikayı yenilemeden önce doğrulama derinliğini ve güven girdilerini okuyun.

Sunucu sertifikasını kontrol ediyorsunuz, saatte aylar kaldığını görüyorsunuz ve istemci yine de süre aşımı mesajıyla bağlantıyı reddediyor. Okuduğunuz tarih yaprağa ait ve şikâyet yolda daha derin bir şeyle ilgili olabilir. Doğrulama bir zincir boyunca ilerler ve bu yürüyüşün seçtiği her sertifika kendi geçerlilik penceresinde başarısız olabilir. Herhangi bir şeyi yenilemeden önce hangisinin başarısız olduğunu okuyun.

Derinlik başarısız olan sertifikayı adlandırır

OpenSSL tanılamasında derinlik 0 hedef sertifikadır, derinlik 1 ise onu imzalayan veren kuruluştur; daha büyük sayılar güven çapasına doğru devam eder. Derinlik 1'de bildirilen süre aşımı, yaprakta güncel bir notAfter bulunmasıyla çelişmez, bu yüzden görünür sertifikayı yeniden kontrol etmek hatayı asla açıklamaz.

Başarısız sertifikanın parmak izini subject'iyle birlikte kaydedin, çünkü farklı sertifikalar aynı CA adını taşıyabilir. Çapraz imzalama tam olarak o durumu yaratır: aynı yetki birden fazla kez, farklı geçerlilik tarihleriyle görünür ve doğrulayıcı beklemediğinizi seçti. Tanıdık bir etiket tanımlayıcı değildir ve parmak izi, aynı adı paylaşan iki nesneyi ayıran şeydir.

Birden fazla sertifika rolü olan ürünlere de dikkat edin. OpenVPN Access Server'da web arayüzlerini koruyan sertifikalar VPN bağlantıları için kullanılanlardan ayrıdır, bu yüzden yönetici sayfasını açan bir tarayıcı tünelin yoluna dair hiçbir şey kanıtlamaz.

Güven girdileri zincir adaylarıyla aynı şey değildir

Doğrulayıcıya iki girdiyi ayrı ayrı ve açıkça verin. Güven dosyası kabul ettiğiniz çapaları tutar; güvenilmeyen paket yolu oluşturmak için sunulan ara sertifikaları tutar. Bunları karıştırmak, insanların yanlışlıkla bir ara sertifikayı köke yükseltmesinin ve sonra aynı hatanın makineler arasında neden peşlerini bırakmadığını merak etmesinin yoludur.

$ openssl verify -verbose -show_chain -purpose sslserver \
    -CAfile trusted-roots.pem -no-CApath -no-CAstore \
    -untrusted intermediates.pem server.pem

Varsayılan yolu ve depoyu -no-CApath -no-CAstore ile devre dışı bırakmak testi dürüst tutar: sonuç o zaman adlandırdığınız dosyalara bağlıdır, iş istasyonunun tesadüfen güvendiği şeye değil. OpenSSL doğrulama başvurusu bu seçenekleri ve ürettikleri tanılamayı belgeler.

-show_chain doğrulama başarılı olduğunda oluşturulan zinciri yazdırır; bu, yolun amaçladığınız yol olduğunu doğrulamak için kullanışlıdır. Başarısız olduğunda bildirilen derinliği ve subject'i saklayın; bu iki alan sonraki okuyucuya hangi sertifikanın inceleneceğini söyler.

Bunun yapmadığı şey her istemcinin politikasını yeniden üretmektir. Bir pin, amaç kısıtlaması veya istemciye özgü kimlik kontrolü istemcide yaşar, bu komutta değil. Sunucuda doğrulama geçip bağlantı hâlâ başarısız olduğunda incelenecek ayarlar bunlardır. İki tanılamayı ayrı tutun, yoksa pinning hatasını kovalarken sağlıklı bir sertifikayı yenilersiniz.

Kontrolün neyi kanıtladığı ve neyi dışarıda bıraktığı

Bu, sağladığınız güven dosyasına karşı bir yol ve amaç kontrolüdür. HTTPS ad kontrolü için beklenen ana bilgisayar adını uygun seçenekle ekleyin; VPN bağlantısı için istemcinin yapılandırılmış kimlik kontrollerini koruyun ve o istemcinin gerçekten okuduğu güven malzemesini kullanın.

Bir sunucunun gönderdiği şey adaylar kümesidir, istemcinizin sonunda oluşturacağı yol değildir. Yerel güven ve kitaplığın oluşturma kuralları sonucu birlikte şekillendirir, bu yüzden aynı yanıt bir makinede doğrulanıp diğerinde başarısız olabilir. Aynı değerlendirmeyi varsaymadan önce başarısız istemcinin bakımlı güven deposunu ve TLS uygulamasını çalışan bir istemcininkiyle karşılaştırın. Oradaki bir fark „yalnızca bu dizüstü bilgisayar başarısız oluyor“ türünden birçok raporu açıklar.

Her sertifikanın penceresini tek tek yerine küme olarak görmek için bunları şöyle yazdırın:

$ openssl x509 -in server.pem -noout -subject -dates
$ openssl crl2pkcs7 -nocrl -certfile intermediates.pem \
    | openssl pkcs7 -print_certs -noout

O ikinci komut her dosyayı elle çözmeden subject'leri ve verenleri listeler, böylece yaprak hâlâ iyi görünürken tarihi geçmiş bir ara sertifikayı fark edersiniz.

Doğrulamayı zayıflatmadan yolu onarın

Süresi dolmuş bir ara sertifika veya eski bir çapraz imzalı sertifika sağlandığında, verenin şu anda desteklenen zincirini edinin ve hizmetin belgelenmiş sertifika iş akışıyla dağıtın. İstemcide amaçlanan bakımlı çapa eksikse, yönetilen güven yapılandırmasını veya istemci yazılımını güncelleyin. Mesajı susturmak için paketteki her sertifikayı kök olarak işaretleme kısa yoluna direnin.

Kök işleme bir notu hak eder, çünkü özetler onu sık sık abartır. RFC 5280 çapayı beklenen yolun dışında duran bir girdi olarak ele alırken OpenSSL, kök CA sertifikasını içeren geçerlilik kontrollerini belgeler. Her iki ifade kendi sistemleri için doğrudur; bir kitaplığın kök süre aşımı davranışını her istemciye genellemek kendinden emin yanlış yanıtlar üretir.

Değişiklikten sonra etkilenen istemcide yeni bir kimlik doğrulamayı zorlayın ve belirli süre aşımı mesajının gittiğini doğrulayın. Yaprağı yalnızca yaprağın kendisi uygunsuzsa yenileyin. Zaman kontrollerini devre dışı bırakmak veya tarihsel bir çapraz sertifikayı geri yüklemek geçerli bir güncel yol oluşturmaz; yalnızca bir sonraki başarısızlığı geciktirir.

İlgili makaleler