Ìdí ìwé ẹ̀rí tí a kò gbà: ìdí tí CA àárín fi ń kùnà

Ìdí ìwé ẹ̀rí sáfà dà bí ẹni pé ó tọ́, kọ́kọ́rọ́ náà bá a mu, ọjọ́ náà kò ní àìtọ́, ṣùgbọ́n ìsopọ̀ náà ṣì kùnà pẹ̀lú unsupported certificate purpose. Àlàyé tí ó yanjú èyí sábà wà ní ìlà kan náà pẹ̀lú àṣìṣe náà: iye ìjìn kan àti orúkọ ẹni tí ó tọ́ka sí ìwé ẹ̀rí tí ó wà ní ìpele tó ga jùlọ nínú ẹ̀wọ̀n náà. Ìdánwò méjì ọ̀tọ̀ọ̀tọ̀ ni a ń ṣe, ọ̀kan nínú wọn nìkan ni ó kan ewé ìwé ẹ̀rí náà. Fífi wọ́n wé ra yóò ṣàlàyé ìdí tí rírọ́pò ìwé ẹ̀rí sáfà kò fi yí nǹkan kankan padà.

Ìwé ẹ̀rí wo ni olùdájú kọ̀ ní ti gidi

Ẹ̀wọ̀n kì í ṣe ohun kan tí a tún ṣe lẹ́ẹ̀mẹ́ta. Ewé náà ni ó mú orúkọ àti kọ́kọ́rọ́ sáfà, àwọn ìwé ẹ̀rí àárín ni ó so ó mọ́ gbòǹgbò, ọ̀kọ̀ọ̀kan sì ní àkókò ìwúlò, àwọn àdíwọ́n àti àwọn ìlò tirẹ̀. Nígbà tí àṣìṣe náà bá dárúkọ iye ìjìn, nọ́mbà yẹn ń tọ́ka sí ipò kan nínú ẹ̀wọ̀n tí olùdájú náà kọ́, èyí tí ó lè máà jẹ́ ipò tí o retí tí sáfà bá fi ẹ̀wọ̀n àìròtẹ́lẹ̀ ránṣẹ́.

Ka àwọn pápá ìwé ẹ̀rí tí ó wà ní iye ìjìn yẹn, kì í ṣe ìwé ẹ̀rí tí o rò pé ó ní ẹ̀sùn. Béèrè fún àwọn àfikún méjì tí ó ń dí ìpèsè mọ́, dípò kíkó gbogbo pápá jáde, nítorí ìdáhùn náà fẹ́rẹ̀ẹ́ máa jẹ́ ọ̀kan nínú wọn. Àbájáde àfikún náà lè pín; àwọn kọ́kọ́rọ́ aládàáni kò lè pín rárá.

openssl x509 -in issuing-ca.pem -noout -subject -issuer -ext basicConstraints -ext extendedKeyUsage

Tí ìwé ẹ̀rí tí a dárúkọ bá jẹ́ CA àárín tí àfikún ìlò kọ́kọ́rọ́ rẹ̀ mẹ́nubà nǹkan kan tí kò kan ìdánimọ̀ sáfà TLS, ìyókù àṣìṣe náà yóò tẹ̀lé lọ́nà ẹ̀rọ. Ẹ̀wọ̀n náà kò lè ṣiṣẹ́ fún ìdí tí OpenVPN béèrè.

Ìdí ewé àti ìlànà ẹ̀wọ̀n jẹ́ ìdánwò méjì

Ìdánwò ewé béèrè ìbéèrè tóóró: ṣé ìwé ẹ̀rí ìparí yìí gbà ìdánimọ̀ sáfà fún orúkọ yìí? Ìdánwò ẹ̀wọ̀n béèrè ìbéèrè tí ó gbòòrò: ṣé gbogbo ìwé ẹ̀rí nínú ọ̀nà náà lè ṣiṣẹ́ fún ìdí yẹn? Ìgbìmọ̀ tí ó ń ṣe ìwé ẹ̀rí tí a gbà láàyè láti ṣe ìwé ẹ̀rí alákọ̀ọ́kọ́ nìkan yóò ye àyẹ̀wò ìbuwọ́lù tirẹ̀ kọjá, yóò sì ṣì kùnà ìdánwò kejì, nítorí ọ̀nà tí ó gbà láàyè kò ní ìdí tí ohun èlò náà nílò. Ìdánwò méjì náà kùnà pẹ̀lú ọ̀rọ̀ kan náà, ṣùgbọ́n àtúnṣe wọn yàtọ̀ pátápátá.

Ìdí ni ìyẹn tí ewé tí a ṣẹ̀ṣẹ̀ ṣe, tí ó tọ́ ní gbogbo pápá tí a lè rí, fi lè kùnà lẹ́sẹ̀kẹsẹ̀. Ìdí ni ìyẹn pẹ̀lú tí àtúnṣe náà fi sábà wà nínú profáìlì ìgbìmọ̀ tí ó ń ṣe ìwé ẹ̀rí, kì í ṣe nínú àkójọpọ̀ VPN.

EKU tí kò sí kì í ṣe EKU tí ó dí

RFC 5280 jẹ́ kí àfikún ìlò kọ́kọ́rọ́ jẹ́ àṣàyàn, àti nígbà tí ó bá wà, ó ń dí. Nítorí náà ìwé ẹ̀rí CA tí kò ní àfikún yẹn kò tíì sọ “bẹ́ẹ̀ kọ́” fún ìdánimọ̀ sáfà, nígbà tí èyí tí ó kàn ṣe àkójọ ìdí tí kò ní í ṣe ti sọ nǹkan kan tí ó ṣe pàtó. Fífi àwọn ipò méjì yẹn wé ra yóò mú ìdánimọ̀ àìtọ́ wá àti, búburú jù, àtúnṣe àìtọ́. Ìyàtọ̀ yìí tún ṣàlàyé ìdí tí àwọn ìgbìmọ̀ méjì tí ó dà bí ẹni pé wọ́n jọra nínú kọ́nsóòlì fi ń huwà yàtọ̀ pátápátá nínú ẹ̀wọ̀n kan.

Ìwà àwọn kóńsórítì kò tún bára wọn mu níbí. Àkọsílẹ̀ àwọn àṣàyàn ìdájú OpenSSL ṣàlàyé bí ó ṣe ń ṣe àyẹ̀wò ìdí lórí àwọn ìwé ẹ̀rí CA fúnra rẹ̀, àti pé ìlò yẹn jẹ́ ìlànà ìmúṣẹ kì í ṣe òfin tí gbogbo àkójọ TLS ń tẹ̀lé bákan náà. Ṣàpèjúwe ohun tí olùdájú rẹ ṣe, lẹ́yìn náà fìdí rẹ̀ mú pẹ̀lú ẹ̀yà tí o ń lò gan-an.

Ṣàtúnyẹ̀wò àṣìṣe náà láìsí ìsopọ̀ kí o tó tún ìwé ẹ̀rí ṣe

Ìdájú láìsí ìsopọ̀ yọ ohun èlò náà kúrò nínú ìbéèrè. Tí ẹ̀wọ̀n náà bá kùnà bákan náà lábẹ́ ìdí kan náà, ìwé ẹ̀rí ni ìṣòro náà, àti pé kò sí àtúnṣe àkójọpọ̀ sáfà tí yóò fi í pamọ́. Tí ẹ̀wọ̀n náà bá ye ìdájú láìsí ìsopọ̀ nígbà tí iṣẹ́ náà ṣì kọ̀, ohun èlò náà ń béèrè ìdí mìíràn tàbí ó ń lo ẹ̀wọ̀n mìíràn ju èyí tí o yẹ̀wò lọ.

openssl verify -purpose sslserver -show_chain -CAfile root-ca.pem -untrusted issuing-ca.pem vpn-server.pem

-show_chain ṣe pàtàkì nítorí pé ó ń tẹ ọ̀nà tí irinṣẹ́ náà kọ́ jáde, èyí tí kì í sábà jẹ́ ìtòlẹ́sẹẹsẹ fáìlì tí o fi wá. Àbájáde yẹn ni ọ̀nà tí ó yára jùlọ láti ṣàwárí pé a ń fa CA àárín kejì láti inú ìpamọ́ ìgbẹ́kẹ̀lé, pé sáfà náà ń fi ẹ̀yà tí a fi àmì sí kọjá tí o kò ní lọ́kàn ránṣẹ́, tàbí pé àmì ìdí tí o dà kóòpù láti ìtọ́sọ́nà kan jẹ́ ti ipò mìíràn ju èyí tí a ń sìn lọ.

Tún ìlànà ìpèsè ṣe, kì í ṣe ìpè ìdájú

Àtúnṣe tí ó dúró ṣinṣin ni CA àárín tí a ṣe lábẹ́ ìlànà tí ó gbà àwọn ìdí tí ó gbọdọ̀ sìn, pẹ̀lú àdíwọ́n tí a kọ sílẹ̀ tí a sì yẹ̀wò. Fífi gbogbo ìdí kún gbogbo ìgbìmọ̀ kì í ṣe ìlànà; ó máa ń yọ àdíwọ́n tí ó jẹ́ kí àfikún náà ní ìtumọ̀ kúrò, ó sì sábà máa ń pẹ́ ju ìṣẹ̀lẹ̀ tí ó fà á lọ. Àkọsílẹ̀ kúkúrú nínú profáìlì tí ó ṣàpèjúwe àwọn ipò tí ìgbìmọ̀ náà lè jẹ́rìí yóò dí àtúnṣe tí ó kàn wá lọ́wọ́ láti tún àríyànjiyàn náà ṣe.

Pípa ìdájú dà ni ọ̀nà àbáyọ mìíràn tí ó fani mọ́ra, ó sì sọ ìṣòro ìwé ẹ̀rí di ìṣòro ìgbẹ́kẹ̀lé. Jẹ́ kí àyẹ̀wò ìdí náà wà níbí, tún ẹ̀wọ̀n náà ṣe, kí o sì tún ìdájú láìsí ìsopọ̀ kan náà ṣe láti fìdí rẹ̀ mú pé ọ̀nà náà ń sìn ipò tí a retí ní báyìí kí o tó fọwọ́ kan iṣẹ́ náà lẹ́ẹ̀kan sí i.