Ìwé-ẹ̀rí ewé wà ní àṣẹ, ẹ̀wọ̀n ti parí: ka ìjìn

O ń yẹ̀wò ìwé-ẹ̀rí server, o rí àwọn oṣù tó kù lórí aago, síbẹ̀ ẹ̀rọ ìbánisọ̀rọ̀ kò gba ìsopọ̀ pẹ̀lú ìfiránṣẹ́ ìparí. Ọjọ́ tí o kà jẹ́ ti ewé, àti ẹ̀sùn lè jẹ́ nípa ohun tó jìn sí i nínú ọ̀nà. Ìjẹ́rìí ń gba ẹ̀wọ̀n kọjá, àti ìwé-ẹ̀rí èyíkéyìí tí ìrìn yìí bá yàn lè kùnà nínú fèrèsé àṣẹ tirẹ̀. Ka èyí tí ó kùnà kí o tó sọ ohun èyíkéyìí di tuntun.

Ìjìn ń dárúkọ ìwé-ẹ̀rí tí ó kùnà

Nínú ìwádìí OpenSSL, ìjìn 0 ni ìwé-ẹ̀rí àfojúsùn, ìjìn 1 sì ni olùgbéjáde tí ó fi ọwọ́ sí i, pẹ̀lú àwọn nọ́mbà tó tóbi tí ń tẹ̀síwájú sí ìdúró ìgbẹ́kẹ̀lé. Ìparí tí a ròyìn ní ìjìn 1 kò tako notAfter tó wà lórí ewé, nítorí náà ṣíṣe àyẹ̀wò ìwé-ẹ̀rí tí ó hàn lẹ́ẹ̀kan sí i kò ní ṣàlàyé àṣìṣe náà láé.

Kọ àmì ìka ìwé-ẹ̀rí tí ó kùnà pẹ̀lú subject rẹ̀, nítorí àwọn ìwé-ẹ̀rí ọ̀tọ̀ọ̀tọ̀ lè ní orúkọ CA kan náà. Ìfọwọ́sí àgbélébùú ń dá irú ipò yẹn gan-an: àjọ kan náà ń farahàn ju ẹ̀ẹ̀kan lọ, pẹ̀lú àwọn ọjọ́ àṣẹ ọ̀tọ̀ọ̀tọ̀, àti olùjẹ́rìí yan èyí tí o kò retí. Àmì tí a mọ̀ kì í ṣe ìdánimọ̀, àti àmì ìka ni ohun tí ó yà àwọn ohun méjì tí ó pín orúkọ kan.

Kíyèsí àwọn ọjà tí ó ní ipa ìwé-ẹ̀rí ju ọ̀kan lọ pẹ̀lú. Ní OpenVPN Access Server, àwọn ìwé-ẹ̀rí tí ń dáàbò bo àwọn ojú-ìwé wẹ́ẹ̀bù yàtọ̀ sí àwọn tí a ń lò fún àwọn ìsopọ̀ VPN, nítorí náà aṣàwákiri tí ó ṣí ojú-ìwé alákóso kò fi ohunkóhun hàn nípa ọ̀nà ọ̀nà-ìsàlẹ̀ náà.

Àwọn ìbáwọlé ìgbẹ́kẹ̀lé kì í ṣe ohun kan náà pẹ̀lú àwọn olùdíje ẹ̀wọ̀n

Fún olùjẹ́rìí ní ìbáwọlé méjì lọ́tọ̀ọ̀tọ̀ àti ní gbangba. Fáìlì ìgbẹ́kẹ̀lé ń pa àwọn ìdúró tí o gbà mọ́; àpò àìgbẹ́kẹ̀lé ń pa àwọn ìwé-ẹ̀rí àárín tí a fẹ́rẹ̀ lò láti kọ́ ọ̀nà mọ́. Dídà wọ́n pọ̀ ni bí àwọn ènìyàn ṣe ń gbé àárín kan ga sí gbòǹgbò láìrò, tí wọ́n sì ń ṣe àbájáde pé kí ni àṣìṣe kan náà fi ń tẹ̀ wọ́n lẹ́yìn láàárín àwọn ẹ̀rọ.

$ openssl verify -verbose -show_chain -purpose sslserver \
    -CAfile trusted-roots.pem -no-CApath -no-CAstore \
    -untrusted intermediates.pem server.pem

Pípalẹ̀ ọ̀nà àti ilé-ìpamọ́ àkọ́kọ́ pẹ̀lú -no-CApath -no-CAstore ń jẹ́ kí ìdánwò dúró ní òtítọ́: àbájáde yóò sinmi lórí àwọn fáìlì tí o dárúkọ, kì í ṣe ohun tí ibùdó iṣẹ́ ń gbẹ́kẹ̀lé lásán. Ìtọ́kasí ìjẹ́rìí OpenSSL ń ṣàkọsílẹ̀ àwọn àṣàyàn wọ̀nyí àti ìwádìí tí wọ́n ń mú jáde.

-show_chain ń tẹ ẹ̀wọ̀n tí a kọ́ jáde nígbà tí ìjẹ́rìí bá ṣàṣeyọrí, èyí tí ó wúlò láti jẹ́rìí pé ọ̀nà náà ni èyí tí o ní lọ́kàn. Nígbà tí ó bá kùnà, pa ìjìn àti subject tí a ròyìn mọ́; àwọn pápá méjì yẹn ń sọ fún olùkà tó kàn ní ìwé-ẹ̀rí tí ó yẹ kí ó yẹ̀wò.

Ohun tí èyí kò ṣe ni àtúnṣe ìlànà ẹ̀rọ ìbánisọ̀rọ̀ kọ̀ọ̀kan. Pini, ìhámọ́ àfojúsùn tàbí àyẹ̀wò ìdánimọ̀ àkànṣe ẹ̀rọ ń gbé nínú ẹ̀rọ ìbánisọ̀rọ̀, kì í ṣe nínú àṣẹ yìí. Àwọn ètò náà ni ó yẹ kí a yẹ̀wò nígbà tí ìjẹ́rìí bá kọjá lórí server tí ìsopọ̀ sì ń kùnà. Ya àwọn ìwádìí méjèèjì sọ́tọ̀, bí bẹ́ẹ̀ kọ́ ìwọ yóò sọ ìwé-ẹ̀rí aláìsàn di tuntun nígbà tí o ń lépa àṣìṣe píni.

Ohun tí àyẹ̀wò ń fi hàn àti ohun tí ó ń fi sílẹ̀

Èyí ni àyẹ̀wò ọ̀nà àti àfojúsùn lòdì sí fáìlì ìgbẹ́kẹ̀lé tí o pèsè. Fún àyẹ̀wò orúkọ HTTPS, fi orúkọ agbàlejò tí a retí kún nípasẹ̀ àṣàyàn tó yẹ; fún ìsopọ̀ VPN, pa àwọn àyẹ̀wò ìdánimọ̀ tí a ṣètò ti ẹ̀rọ ìbánisọ̀rọ̀ mọ́ kí o sì lo ohun èlò ìgbẹ́kẹ̀lé tí ẹ̀rọ yẹn ń kà ní ti gidi.

Ohun tí server ń rán ni àkójọ àwọn olùdíje, kì í ṣe ọ̀nà tí ẹ̀rọ ìbánisọ̀rọ̀ rẹ yóò kọ́ ní ìparí. Ìgbẹ́kẹ̀lé àdúgbò àti àwọn ìlànà kíkọ́ ilé-ìkàwé méjèèjì ń ṣe àbájáde, ìdí ni pé ìdáhùn kan náà lè jẹ́rìí lórí ẹ̀rọ kan tí ó sì kùnà lórí òmíràn. Fi ilé-ìpamọ́ ìgbẹ́kẹ̀lé tí a ń tọ́jú àti ìmúṣẹ TLS ti ẹ̀rọ tí ó kùnà wé ti ẹ̀rọ tí ń ṣiṣẹ́ kí o tó ro ìdìbò kan náà. Ìyàtọ̀ níbẹ̀ ń ṣàlàyé ọ̀pọ̀ ìròyìn „kọ̀ǹpútà àgbékà yìí nìkan ló kùnà“.

Láti rí fèrèsé ìwé-ẹ̀rí kọ̀ọ̀kan dípò ọ̀kan lẹ́yìn ọ̀kan, tẹ wọ́n jáde gẹ́gẹ́ bí àkójọ:

$ openssl x509 -in server.pem -noout -subject -dates
$ openssl crl2pkcs7 -nocrl -certfile intermediates.pem \
    | openssl pkcs7 -print_certs -noout

Àṣẹ kejì yẹn ń ṣàkójọ àwọn subject àti olùgbéjáde láì ṣe àtúmọ̀ fáìlì kọ̀ọ̀kan pẹ̀lú ọwọ́, bẹ́ẹ̀ ni o ṣe ń kíyèsí ìwé-ẹ̀rí àárín tí ọjọ́ rẹ̀ ti kọjá nígbà tí ewé ṣì dàbí ẹni tí ó dára.

Tún ọ̀nà ṣe láìsí díẹ̀wọ̀n ìjẹ́rìí

Nígbà tí a bá pèsè àárín tí ó ti parí tàbí ìwé-ẹ̀rí tí a fi àgbélébùú fọwọ́ sí tí ó ti gbó, gba ẹ̀wọ̀n tí olùgbéjáde ń ṣe àtìlẹ́yìn fún báyìí kí o sì fi í sílẹ̀ nípasẹ̀ ìṣàn iṣẹ́ ìwé-ẹ̀rí tí a ṣàkọsílẹ̀ ti iṣẹ́ náà. Nígbà tí ẹ̀rọ ìbánisọ̀rọ̀ kò bá ní ìdúró tí a ń tọ́jú tí a ní lọ́kàn, ṣe àtúnṣe ìṣètò ìgbẹ́kẹ̀lé tí a ń bójú tó tàbí sọfítíwè ẹ̀rọ ìbánisọ̀rọ̀. Kọ ìjà sí ọ̀nà kúkúrú tí yóò fi àmì sí gbogbo ìwé-ẹ̀rí nínú àpò gẹ́gẹ́ bí gbòǹgbò kìkì láti pa ìfiránṣẹ́ mọ́.

Ìtọ́jú gbòǹgbò yẹ fún àkọsílẹ̀, nítorí àwọn àkótán sábà máa ń sọ àsọdùn. RFC 5280 ka ìdúró gẹ́gẹ́ bí ìbáwọlé tí ó wà ní òde ọ̀nà tí a retí, nígbà tí OpenSSL ń ṣàkọsílẹ̀ àwọn àyẹ̀wò àṣẹ tí ó ní ìwé-ẹ̀rí CA gbòǹgbò rẹ̀ nínú. Àwọn gbólóhùn méjèèjì jẹ́ òtítọ́ fún àwọn ẹ̀rọ wọn; pípín ìwà ìparí gbòǹgbò ilé-ìkàwé kan sórí gbogbo ẹ̀rọ ìbánisọ̀rọ̀ ń mú àwọn ìdáhùn tí kò tọ̀nà jáde pẹ̀lú ìgbọ́kànlé.

Lẹ́yìn ìyípadà, fipá mú ìjẹ́rìí tuntun lórí ẹ̀rọ tí ó kàn, kí o sì jẹ́rìí pé ìfiránṣẹ́ ìparí pàtó náà ti lọ. Sọ ewé di tuntun kìkì bí ewé fúnra rẹ̀ kò bá yẹ. Pípalẹ̀ àwọn àyẹ̀wò àkókò tàbí mímú ìwé-ẹ̀rí àgbélébùú ìtàn padà kò mú ọ̀nà tí ó wà lọ́wọ́lọ́wọ́ tí ó tọ̀nà jáde; ó ń fi ìkùnà tó kàn sẹ́yìn kìkì.