qo'llab-quvvatlanmaydigan sertifikat maqsadi: nima uchun oraliq CA muvaffaqiyatsiz bo'ladi

Server sertifikatining maqsadi to'g'ri ko'rinadi, kalit mos keladi, sanalar joyida, va ulanish baribir unsupported certificate purpose bilan muvaffaqiyatsiz tugaydi. Buni hal qiladigan tafsilot odatda xato bilan bir qatorda bo'ladi: zanjirdagi yuqoriroq sertifikatni nomlaydigan chuqurlik qiymati va subject. Ikki xil sinov o'tkaziladi va ulardan faqat bittasi yakuniy sertifikatga tegishli. Ularni solishtirish server sertifikatini almashtirish nima uchun hech narsani o'zgartirmasligini tushuntiradi.

Tekshiruvchi aslida qaysi sertifikatni rad etdi

Zanjir uch marta takrorlangan bitta obyekt emas. Yakuniy sertifikat server nomi va kalitini olib yuradi, oraliq sertifikatlar uni ildiz bilan bog'laydi, va har birining o'z amal qilish muddati, cheklovlari va ishlatilishlari bor. Xato chuqurlikni nomlaganda, bu raqam tekshiruvchi qurgan zanjirdagi pozitsiyani bildiradi, va server kutilmagan zanjir yuborsa, bu siz kutgan pozitsiya bo'lmasligi mumkin.

Shu chuqurlikdagi sertifikat maydonlarini o'qing, aybdor deb hisoblagan sertifikatnikini emas. Har bir maydonni to'kib tashlash o'rniga chiqarishni cheklovchi ikkita kengaytmani so'rang, chunki javob deyarli har doim ulardan birida bo'ladi. Kengaytmalar chiqishini ulashish xavfsiz; shaxsiy kalitlarni hech qachon.

openssl x509 -in issuing-ca.pem -noout -subject -issuer -ext basicConstraints -ext extendedKeyUsage

Agar nomlangan sertifikat oraliq bo'lsa va uning kengaytirilgan kalit ishlatilishi TLS server autentifikatsiyasiga aloqasiz narsani tilga olsa, qolgan muvaffaqiyatsizlik mexanik tarzda keladi. Zanjirni OpenVPN so'ragan maqsad uchun ishlatib bo'lmaydi.

Yakuniy sertifikat maqsadi va zanjir siyosati ikki sinovdir

Yakuniy sinov tor savol beradi: bu yakuniy subyekt sertifikati shu nom uchun server autentifikatsiyasiga ruxsat beradimi? Zanjir sinovi kengroq savol beradi: yo'ldagi har bir sertifikat shu maqsadga xizmat qila oladimi? Faqat mijoz sertifikatlarini chiqarishga ruxsat berilgan sertifikat organi o'z imzo tekshiruvlaridan o'tadi va baribir ikkinchi sinovdan o'tmaydi, chunki u ruxsat bergan yo'l ilovaga kerak bo'lgan maqsadni o'z ichiga olmaydi. Ikki sinov bir xil so'zlar bilan muvaffaqiyatsiz tugaydi va butunlay boshqa tuzatishlarga ega.

Shuning uchun ko'rinadigan har bir maydonda to'g'ri bo'lgan yangi chiqarilgan yakuniy sertifikat ham darhol muvaffaqiyatsiz bo'lishi mumkin. Shuning uchun tuzatish odatda VPN konfiguratsiyasiga emas, chiqaruvchi organ profiliga tegishli.

Yo'q EKU cheklovchi EKU emas

RFC 5280 kengaytirilgan kalit ishlatilishi kengaytmasini ixtiyoriy qiladi va u mavjud bo'lganda cheklovchi bo'ladi. Shuning uchun kengaytmasiz CA sertifikati server autentifikatsiyasiga «yo'q» demagan, faqat aloqasiz maqsadni sanab o'tgan sertifikat esa juda aniq narsa aytgan. Bu ikki holatni teng deb qabul qilish noto'g'ri tashxis va undan ham yomoni noto'g'ri tuzatish beradi. Farq konsolda bir xil ko'rinadigan ikki organning zanjirda butunlay boshqacha tutishini ham tushuntiradi.

Kutubxonalar xatti-harakati ham bu yerda bir xil emas. OpenSSL ning tekshiruv parametrlari haqidagi hujjati CA sertifikatlaridagi maqsad tekshiruvlariga o'z yondashuvini tavsiflaydi, va bu yondashuv joriy etish siyosati, har bir TLS stek bir xil amal qiladigan qoida emas. Tekshiruvchingiz nima qilishini tavsiflang, keyin buni haqiqatan ishga tushirgan versiyangiz bilan tasdiqlang.

Qayta chiqarishdan oldin muvaffaqiyatsizlikni oflayn takrorlang

Oflayn tekshiruv ilovani tenglamadan chiqaradi. Agar zanjir shu maqsad ostida xuddi shunday muvaffaqiyatsiz bo'lsa, muammo sertifikatda va hech qanday server konfiguratsiyasi uni yashira olmaydi. Agar zanjir oflayn o'tsa, xizmat esa hali ham rad etsa, ilova boshqa maqsad so'ramoqda yoki siz sinaganidan boshqa zanjirdan foydalanmoqda.

openssl verify -purpose sslserver -show_chain -CAfile root-ca.pem -untrusted issuing-ca.pem vpn-server.pem

-show_chain muhim, chunki vosita qurgan yo'lni chop etadi, va bu ko'pincha siz bergan fayl tartibi emas. Bu chiqish ikkinchi oraliq sertifikat ishonch omboridan tortilayotganini, server siz nazarda tutmagan kross-imzolangan variantni yuborayotganini yoki darslikdan ko'chirilgan maqsad bayrog'i xizmat ko'rsatilayotgan roldan boshqa rolga tegishli ekanini aniqlashning eng tez yo'li.

Chiqarish siyosatini tuzating, tekshiruv chaqiruvini emas

Barqaror tuzatish — xizmat ko'rsatishi kerak bo'lgan maqsadlarga ruxsat beruvchi siyosat ostida chiqarilgan oraliq sertifikat, cheklov yozilgan va ko'rib chiqilgan. Har bir organga har bir maqsadni qo'shish siyosat emas; u kengaytmaga ma'no bergan cheklovni olib tashlaydi va odatda uni keltirib chiqargan hodisadan uzoqroq yashaydi. Profildagi organ qaysi rollarni sertifikatlashi mumkinligini tavsiflovchi qisqa yozuv keyingi qayta chiqarishning o'sha bahsni takrorlashini oldini oladi.

Tekshiruvni o'chirish boshqa vasvasali qisqa yo'l bo'lib, sertifikat muammosini ishonch muammosiga aylantiradi. Maqsad tekshiruvini joyida qoldiring, zanjirni tuzating va xizmatga qayta tegishdan oldin yo'l endi mo'ljallangan rolga xizmat qilishini tasdiqlash uchun o'sha oflayn tekshiruvni qayta ishga tushiring.