openssl ca: ọjọ́ ìparí tí kò tọ́ nínú index.txt àti bí a ṣe lè tún un ṣe

Ìgbésẹ̀ ìgbéjáde kan dúró ní entry 22: invalid expiry date, nígbà tí ìbéèrè tó wà níwájú rẹ dára pátápátá. Ẹjọ́ náà wá láti ọ̀dọ̀ olùyẹ̀wò dátàbésì CA, kì í ṣe láti CSR àti kì í ṣe láti ọ̀dọ̀ aláàbò VPN tí yóò gbé ẹ̀rí náà jáde ní ìparí. Ìyàtọ̀ yẹn ni ó ń pinnu gbogbo ohun tó tẹ̀lé: àkọsílẹ̀ kan ti bàjẹ́, nítorí náà àtúnṣe wà nínú ipò CA, kì í ṣe nínú ìbéèrè tàbí ìṣètò ẹlẹgbẹ́. Wo àkọsílẹ̀ tí a kọ ní nọ́mbà gẹ́gẹ́ bí ìlà nínú index.txt, ìṣòro náà sì dín kù sí ìbéèrè dátà tí ó ní ààlà pẹ̀lú ìdáhùn tí a lè yẹ̀wò.

Ka àṣìṣe náà gẹ́gẹ́ bí ẹjọ́ nípa dátàbésì

Gbogbo openssl ca ìpè ń gba inú dátàbésì ọ̀rọ̀ rẹ̀ kọjá kí ó tó fi ọwọ́ sí ohunkóhun. Ìlà kọ̀ọ̀kan ní lẹ́tà ipò, àmì àkókò ìparí, àmì àkókò ìfagilé àṣefúnni, nọ́mbà ìtẹ̀síìsí nínú hẹ́kísì, orúkọ fáìlì àti kókó-ọ̀rọ̀. Nígbà tí a kò lè yẹ̀wò pápá kan, pàṣẹ náà ń sọ nọ́mbà ìlà náà ó sì dúró dípò kí ó díwọ̀n ìyókù àkọsílẹ̀ náà.

Ìdúró yẹn jẹ́ ààbò kì í ṣe ìlànà líle. Àkọsílẹ̀ tí irinṣẹ́ kò lè kà ń jẹ́ kí ó má lè pinnu bóyá kókó-ọ̀rọ̀ tí a béèrè ti wà tẹ́lẹ̀, bóyá a ti fún nọ́mbà ìtẹ̀síìsí, tàbí ohun tí CRL tó kàn yóò ní. Bí a bá tẹ̀síwájú kọjá ìlà búburú, ìyẹn yóò dá àìbáraẹnisọ̀rọ̀ ìdákẹ́jẹ́ẹ́ yẹn sílẹ̀, èyí tí ó máa ń farahàn ní ọ̀sẹ̀ mélòó kan lẹ́yìn, ní ọ̀pọ̀ ìgbà ní àkókò ìfagilé tí ẹnikẹ́ni kò lè ṣàlàyé rẹ̀. Ka ìròyìn náà gẹ́gẹ́ bí ẹjọ́ nípa dátà, ìwádìí náà sì máa wà nínú àpò CA.

Dà àkọsílẹ̀ ipò CA kí o tó fọwọ́ kan ohunkóhun

Ya àwòrán àpò CA náà ní kíkún, kì í ṣe fáìlì dátàbésì nìkan. Àtẹ̀jáde náà, fáìlì àbùdá rẹ̀, àwọn fáìlì nọ́mbà ìtẹ̀síìsí àti nọ́mbà CRL, kọ́kọ́rọ́ àdáni àti àwọn ẹ̀rí tí a ti gbé jáde gbogbo wọn ń kópa nínú àwọn iṣẹ́ tó tẹ̀lé, àtúnṣe tí ó sì dá ọ̀kan padà tí ó fi àwọn mìíràn sílẹ̀ ń dá ìṣẹ̀lẹ̀ kejì sílẹ̀. Níbi tí ó bá wà, lo ìlànà àdáni CA fún kíkópọ̀, kí o sì dá ìgbéjáde tí a ṣètò dúró fún ìgbà tí iṣẹ́ náà yóò gba.

Kọ àwọn ìkọ́ OpenSSL àti fáìlì ìṣètò tí pàṣẹ tí ó kùnà gbé wọlé ní àkókò náà. Àwọn ìfiṣe ń fi àpò CA ju ọ̀kan lọ pamọ́ ní ọ̀pọ̀ ìgbà, àṣìṣe náà sì ní ìtumọ̀ nìkan ní ìfiwéra pẹ̀lú dátàbésì tí ìṣètò tí a yàn ń dárúkọ.

Wá àkọsílẹ̀ náà kí o sì ṣe àtúntò pápá ọjọ́ rẹ̀

A ń ka nọ́mbà ìlà tí a sọ láti àkọsílẹ̀ àkọ́kọ́, nítorí náà sed -n '22p' index.txt ń dé orí àkọsílẹ̀ tí ó ní ìṣòro nígbà tí o bá ti jẹ́rìí pé kò sí ìlà òfo tàbí àkọsílẹ̀ àlàyé lókè rẹ̀. Tẹ̀wé ìlà yẹn pẹ̀lú àwọn ìyàtọ̀ tí ó hàn, nítorí táàbù àti àlàfo ìparí jẹ́ ohun tí ó wọ́pọ̀ tí a kò sì rí nínú fèrèsé olóòtú lasan.

Pápá ìparí jẹ́ àmì àkókò tí ìbú rẹ̀ sinmi lórí ọdún. Àwọn iye títí dé 2049 ni a kọ nínú UTCTime gẹ́gẹ́ bí YYMMDDHHMMSSZ, nígbà tí àwọn iye tó tẹ̀lé ń yí padà sí GeneralizedTime pẹ̀lú ọdún oníhòmèjì mẹ́rin. Àkọsílẹ̀ tí ó dàpọ̀ sí àwọn ìrísí méjì, tàbí tí ó gbé ọdún oníhòmèjì méjì níbi tí olùyẹ̀wò ń retí mẹ́rin báyìí, yóò kùnà ní ibi yìí gan-an. Bẹ́ẹ̀ náà ni pápá tí a gé tí ìkọwọ́ tí ó dáwọ́ dúró fi sílẹ̀.

Fi àkọsílẹ̀ náà wé ẹ̀rí tí ó ń tọ́ka sí, kì í ṣe fáìlì CA mìíràn. Ẹ̀rí tí a fi ọwọ́ sí ni aṣẹ lórí ohun tí ìwúlò yóò sọ, ó sì ti wà tẹ́lẹ̀ gẹ́gẹ́ bí ohun tí a lè yẹ̀wò.

Tún àkọsílẹ̀ náà ṣe ní ìbámu pẹ̀lú ẹ̀rí tí a fi ọwọ́ sí

Ka àwọn ọjọ́ gidi pẹ̀lú openssl x509 -in issued.pem -noout -dates -serial -subject. Yí notAfter padà sí ìbú àmì tí ìkọ́ rẹ ń kọ fún ọdún yẹn, kí o sì jẹ́rìí pé nọ́mbà ìtẹ̀síìsí bá àkọsílẹ̀ tí o ń ṣàtúnṣe mu kí o tó yí lẹ́tà kan padà.

Ṣàtúnṣe pápá tí ó bàjẹ́ nìkan, pa lẹ́tà ipò àti nọ́mbà ìtẹ̀síìsí mọ́, kí o sì fi ìyókù ìlà náà sílẹ̀ bí ó ti wà. Bí a kò bá lè mú àkọsílẹ̀ náà bá ẹ̀rí tí a fi ọwọ́ sí kankan mu, kà á gẹ́gẹ́ bí àkọsílẹ̀ tí ó sọnù kí o sì yọ ọ́ kúrò nípasẹ̀ ọ̀nà ìfagilé CA fúnra rẹ̀ dípò pípa ìlà náà rẹ́ pẹ̀lú ọwọ́.

Má ṣe tún un ṣe nípasẹ̀ gígé ọjọ́ kí ó lè bá àròsọ nípa ọdún mu. Gígé lẹ́tà méjì kò ṣeé gbé kọjá láàárín àwọn ìkọ́, ó sì ń yí ìwúlò tí dátàbésì ń sọ fún àwọn àyẹ̀wò kókó-ọ̀rọ̀ ìlọ́po àti CRL lọ́nà àdákẹ́jẹ́ẹ́. Nígbà tí a kò lè gbà iye àkọ́kọ́ padà, tún gbé e jáde lábẹ́ nọ́mbà ìtẹ̀síìsí tuntun kí o sì kọ ìdí tí a fi èyí àtijọ́ sílẹ̀. Ìtọ́pasẹ̀ àyẹ̀wò jẹ́ apá kan àtúnṣe náà, kì í ṣe ìwé tí ó yí i ká.

Jẹ́rìí ìgbéjáde àti dídá CRL kí o tó lọ

Ṣe ìgbéjáde kan pẹ̀lú ìṣètò kan náà kí o sì jẹ́rìí pé ó parí láìsí ẹjọ́ nọ́mbà ìlà. Lẹ́yìn náà dá CRL kan pẹ̀lú openssl ca -gencrl -config openssl.cnf kí o sì yẹ̀wò pé a lè ṣe àyẹ̀wò rẹ̀, nítorí àkọsílẹ̀ tí ó bàjẹ́ máa ń farahàn níbẹ̀ dípò nígbà ìfiwọ́sí.

Yẹ̀wò ẹ̀rí tuntun náà pẹ̀lú openssl x509 -noout -dates -serial kí o sì fi wé ìlà tí CA ṣẹ̀ṣẹ̀ kọ. Jẹ́rìí pé lẹ́tà ipò àti ọjọ́ ìparí bá ẹ̀rí náà mu, kí o sì jẹ́rìí pé openssl verify -CAfile ca.pem issued.pem ń padà wá láìsí àṣìṣe. Lẹ́yìn náà dá ìgbéjáde tí a ṣètò padà kí o sì máa wo ìgbésẹ̀ àkọ́kọ́, nítorí ìlà kejì tí ó bàjẹ́ yóò kéde ara rẹ̀ lẹ́sẹ̀kẹsẹ̀.