Iwe-ẹri VPN kò tíì tọ́: àwọn ìdí mẹ́ta, ìtọ́sọ́nà àyẹ̀wò kan
Kò tíì tọ́ túmọ̀ sí pé aago ẹ̀rọ náà ti pẹ́, fèrèsé náà bẹ̀rẹ̀ ní àkókò tó pẹ́, tàbí pé ìwé-ẹri àárín kò tíì ṣí. Ṣàyẹ̀wò wọ́n ní ìtọ́sọ́nà yẹn.
O ṣí kíláìẹ̀ntì náà, o yan profáìlì tí o ti ń lò fún ọ̀pọ̀ oṣù, ó sì dúró pẹ̀lú "certificate is not yet valid". Kò sí ohun tí ó yí padà nínú ìwọlé rẹ, ilé-ìpamọ́ ìgbẹ́kẹ̀lé sì ṣeé ṣe kí ó wà ní àìlóró: ìwé-ẹri tí a gbé kalẹ̀ nínú ìfọwọ́sowọ́pọ̀ gbé fèrèsé ìwúlò kan tí ó bẹ̀rẹ̀ ní àkókò tó pẹ́ ju àkókò tí olùṣàyẹ̀wò ń lò lọ. Àwọn ipò mẹ́ta ọ̀tọ̀ọ̀tọ̀ ni ó ń mú ìfiránṣẹ́ yẹn jáde, wọ́n sì nílò àwọn ìgbésẹ̀ ọ̀tọ̀ọ̀tọ̀. Ìtọ́sọ́nà tí ó wà nísàlẹ̀ sọ fún ọ èwo ni o ní kí o tó fi ọwọ́ kan aago tàbí fáìlì ìwé-ẹri.
Èwo nínú àwọn ìdí mẹ́ta ni o ń rí
Ìdí kìíní jẹ́ ti ibílẹ̀: aago ẹ̀rọ tí ń ṣe àyẹ̀wò náà ṣáájú ọjọ́ ìbẹ̀rẹ̀ ìwé-ẹri náà. O rí i lórí ohun-èlò tí bátìrì CMOS ti kú, lórí ẹ̀rọ àfọwọ́kọ tí a mú padà láti àwòrán àtijọ́, lórí àwọn ohun-èlò tí ó ti dúró pẹ́ tó láti pàdánù àkókò, àti lórí àwọn nẹ́tíwọ́kì tí a ti dí NTP jáde tí ẹnikẹ́ni kò sì kíyèsí. Ìwé-ẹri náà lè tọ́ pátápátá, síbẹ̀ ó lè kùnà ní ọ̀nà yìí.
Ìdí kejì jẹ́ ti olùgbéjáde, nítorí pé ìwé-ẹri náà bẹ̀rẹ̀ ní ọjọ́ iwájú gan-an: a gbé e jáde ní kùtùkùtù, a ṣe é pẹ̀lú àkókò ìbẹ̀rẹ̀ tí ó yé, tàbí a fi ọwọ́ sí i gẹ́gẹ́ bí apá kan ìgbésẹ̀ ìmúṣiṣẹ́ tí kò tíì ṣiṣẹ́. Ìdí kẹta ń fi àkókò ṣòfò jùlọ, nítorí pé ewé náà wà lọ́wọ́lọ́wọ́ nígbà tí ìwé-ẹri mìíràn nínú ẹ̀wọ̀n tí a gbé kalẹ̀ kò sí, nítorí náà àṣìṣe náà dárúkọ ohun èlò tí o kò fi kánjú gbé kalẹ̀ rí.
Ìbéèrè kan yà wọ́n sọ́tọ̀. Ṣé ìkùnà náà ń tẹ̀lé ẹ̀rọ náà tàbí iṣẹ́ náà? Ẹ̀rọ méjì lórí nẹ́tíwọ́kì kan tí wọ́n ń hùwà ọ̀tọ̀ọ̀tọ̀ ń tọ́ka sí aago. Bí gbogbo kíláìẹ̀ntì bá kùnà ní ọ̀nà kan náà, ó tọ́ka sí fèrèsé ìwé-ẹri náà àti ẹ̀wọ̀n tí ó wà lẹ́yìn rẹ̀.
Ka fèrèsé náà láti inú ìwé-ẹri tí a gbé kalẹ̀ gan-an
Má ṣe yẹ̀wò fáìlì PEM tí ó kù láti ìgbékalẹ̀ àtẹ̀yìnwá; béèrè lọ́wọ́ iṣẹ́ náà fún ẹ̀wọ̀n tí ó ń fi ránṣẹ́ báyìí. openssl s_client -connect vpn.example.com:443 -servername vpn.example.com -showcerts ń tẹ́ gbogbo ìwé-ẹri nínú ẹ̀wọ̀n náà jáde. Tọ́jú bulọ́ọ̀kì tí o nílò kí o sì ṣe openssl x509 -noout -subject -issuer -dates; èyí tí ó kẹ́yìn ń tẹ́ notBefore àti notAfter jáde, àwọn iye méjì yẹn ni ó ń pinnu. Lórí Windows, àpótí ìjíròrò ìwé-ẹri ìsopọ̀ náà àti certutil -dump lórí fáìlì tí a kó jáde ń fi àwọn pápá kan náà hàn.
Ka ìpẹ̀kun méjèèjì fèrèsé náà, kì í ṣe ìbẹ̀rẹ̀ nìkan. Ìwé-ẹri tí ó ṣí ní wákàtí méjì àti èyí tí ó pa ní wákàtí méjì ń kùnà pẹ̀lú àwọn ìfiránṣẹ́ ọ̀tọ̀ọ̀tọ̀ wọ́n sì ń kan àwọn ẹgbẹ́ ọ̀tọ̀ọ̀tọ̀. Ṣàkíyèsí ìwé-ẹri tí àṣìṣe náà dárúkọ — ewé, àárín tàbí gbòǹgbò — nítorí pé ìyẹn ni ó ń pinnu bóyá a lè tún ohunkóhun ṣe ní ẹ̀gbẹ́ kíláìẹ̀ntì.
O tún lè dán fèrèsé náà wò láìdúró dè é. Ìjẹ́rìí gba àkókò tí ó yé: openssl verify -attime 1793600000 -CAfile ca.pem -untrusted intermediate.pem leaf.pem ń ṣàyẹ̀wò ẹ̀wọ̀n náà ní àmì àkókò yẹn. Ṣe é pẹ̀lú àkókò ìsinsìnyí láti tún ìkùnà náà ṣe, lẹ́yìn náà pẹ̀lú àkókò ìbẹ̀rẹ̀ ìwé-ẹri náà láti jẹ́rìí pé ẹ̀wọ̀n kan náà ń kọjá nígbà tí fèrèsé náà bá ṣí. RFC 5280 ń ṣàlàyé pápá ìwúlò àti òfin pé a kò gbọdọ̀ lo ìwé-ẹri ní ìta rẹ̀, òfin yẹn gan-an ni kíláìẹ̀ntì rẹ ṣe.
Aago rẹ, tàbí tiwọn
Fi aago ẹ̀rọ náà wé ìbẹ̀rẹ̀ ìwé-ẹri náà ní UTC, láti orísun tí o gbẹ́kẹ̀lé. date -u ń fún ni ní àkókò náà, timedatectl status lórí systemd host sì ń ròyìn pẹ̀lú bóyá aago náà ti wà ní ìbámu. Lórí Windows, w32tm /query /status ń fi orísun ìsinsìnyí àti ìbámu tí ó kẹ́yìn tí ó ṣàṣeyọrí hàn. Àgbègbè àkókò tí a fi hàn nínú tréì jẹ́ yíyàn ìfihàn, kì í ṣe aago tí ó lòdì; olùṣàyẹ̀wò ń fi àwọn àkókò UTC wé.
| What you see | Most likely reading | Next step |
|---|---|---|
| Clock behind, one device affected | Local time fault | Resync time, keep validation on, retest |
| Clock correct, window opens soon | Certificate staged early | Wait for the window or follow the cutover plan |
| Clock correct, intermediate not yet valid | Chain material mismatch | Operator replaces the intermediate |
| Some peers pass, others do not | Inconsistent nodes | Record each peer's chain before changing anything |
Bí aago bá pẹ́, tún ṣe ìbámu kí o sì tún dán wò kí o tó yí ohun èlò ìwé-ẹri èyíkéyìí padà. Ẹ̀rọ tí ó ṣe àṣìṣe ìṣẹ́jú tàbí wákàtí ń kọ̀ gbogbo ìwé-ẹri tí a ṣẹ̀ṣẹ̀ gbé jáde tí ó bá pàdé, kì í ṣe iṣẹ́ kan ṣoṣo, nítorí náà àlàyé iṣẹ́ kan ṣoṣo sábà máa ń jẹ́ èyí tí kò tọ́. Bí aago bá tọ́ tí ó sì wà ní ìbámu, dá wo ẹ̀rọ náà dúró: fèrèsé náà jẹ́ ti olùgbéjáde, kò sì yẹ kí a yí ètò àdúgbò èyíkéyìí padà kí ó lè kọjá.
Tábìlì yẹn ni ìpinnu gbogbo. Gbígbé aago lọ sí ohun tí ìwé-ẹri náà ń retí kì í ṣe àtúnṣe, pípa àwọn àyẹ̀wò àkókò kì í sì ṣe àtúnṣe, nítorí àwọn méjèèjì ń fi ipò tí ó mú àṣìṣe náà jáde pamọ́.
Kí ni ó fà á tí ẹ̀wọ̀n náà fi ń kùnà nígbà tí ewé náà dà bí ó tọ́
Àwọn ewé tí a tún ṣe àti àwọn ìwé-ẹri àárín àròpo ni a sábà máa ń fi ránṣẹ́ pọ̀, wọn kì í sì í dé ní àkókò kan náà. Iṣẹ́ kan lè fi ewé tuntun tí ìwé-ẹri àárín tí fèrèsé tirẹ̀ bẹ̀rẹ̀ ní àkókò tó pẹ́ fi ọwọ́ sí ránṣẹ́, tàbí kí ó máa ń fi àárín àtijọ́ ṣiṣẹ́ lábẹ́ ewé tuntun. Ní ọ̀nà méjèèjì ẹ̀wọ̀n náà ń kùnà nígbà tí àwọn ọjọ́ ewé náà fúnra wọn dà bí ó yẹ.
Àwọn ìpẹ̀kun tí a pín ẹrù ń yí èyí padà láti bàjẹ́ sí àìbámu. Bí ìgbìyànjú tuntun bá ṣàṣeyọrí, tàbí nẹ́tíwọ́kì kan ṣiṣẹ́ tí òmíràn kò ṣiṣẹ́, kọ ẹni tí ó dáhùn àti ẹ̀wọ̀n tí ó fi ránṣẹ́ kí o tó yí ètò padà. openssl s_client ń tẹ́ àdírẹ́sì tí a so mọ́ jáde, nítorí náà àwọn ìgbìyànjú díẹ̀ ń fi hàn bóyá gbogbo ipènọ̀ ń fi ẹ̀wọ̀n kan náà ṣiṣẹ́.
Àwọn ọ̀nà àtúnṣe tí ó ń pa ìjẹ́rìí mọ́
Ìṣòro aago ni a ń tún ṣe lórí ẹ̀rọ náà pẹ̀lú ìjẹ́rìí tí ó ṣí. Ìṣòro ìwé-ẹri ni olùṣiṣẹ́ ń tún ṣe pẹ̀lú ohun èlò tí a gbé jáde fún fèrèsé tí ó ti ní ìsinsìnyí. Kò sí ètò kíláìẹ̀ntì tí ó ń sọ ìwé-ẹri tí kò tíì tọ́ di ọ̀tọ́; àwọn àsíá tí ó ń fo àwọn àyẹ̀wò àkókò wà fún ìjẹ́rìí àyẹ̀wò àìsàn, kì í ṣe fún gbígbé wọn jáde sí iṣẹ́.
Nígbà tí a bá ti mú ìwé-ẹri náà ṣetán fún ìmúṣiṣẹ́ tí a gbèrò, tẹ̀lé ètò ìparí náà. Fi í sórí nígbà tí fèrèsé rẹ̀ bá ṣí, tàbí lo ìlànà àgbáyé tí olùpèsè ṣàlàyé, dípò fífi í sórí ní kùtùkùtù àti kíkọ́ àwọn olùlò láti tẹ àwọn ìkìlọ̀ kọjá. Àwọn ìkìlọ̀ tí àwọn ènìyàn kọ́ láti fojú sí jẹ́ ìnáwó tó pọ̀ ju ìdádúró kúkúrú lọ.
Níkẹyìn, tún dán wò bí ìkùnà náà ṣe ṣẹlẹ̀: ìpàdé tuntun, kíláìẹ̀ntì kan náà, ohun àmúlò tí o nílò gan-an. Àwọn ilé-ìkàwé TLS lè tọ́jú ẹ̀wọ̀n tí a jẹ́rìí sínú káṣì fún gbogbo ìgbésí ayé ìsopọ̀, ìpàdé tí a tún bẹ̀rẹ̀ kò sì ní láti tún ṣàyẹ̀wò rẹ̀, nítorí náà ìpàdé àtijọ́ lè máa kùnà lẹ́yìn àtúnṣe tàbí máa ṣiṣẹ́ lẹ́yìn ìpadàsẹ́yìn. Fáìlì tí ó ṣí nínú olùwòran ń fi hàn pé a lè ka fáìlì náà; ìfọwọ́sowọ́pọ̀ tí ó parí ń fi hàn pé a jẹ́rìí ẹ̀wọ̀n náà.
Kí o tó pa tíkẹ́ẹ̀tì náà, jẹ́rìí àwọn ohun mẹ́rin: àkókò UTC àti ipò ìbámu ẹ̀rọ tí ó kùnà, notBefore àti notAfter gbogbo ìwé-ẹri nínú ẹ̀wọ̀n tí a gbé kalẹ̀, ẹ̀wọ̀n kan náà láti kíláìẹ̀ntì kejì, àti orúkọ tí àṣìṣe náà fún ìwé-ẹri náà. Bí aago bá tọ́ tí fèrèsé kò sì tíì ṣí, ìyókù jẹ́ iṣẹ́ olùṣiṣẹ́, ìgbésẹ̀ tí ó tọ́ ní ẹ̀gbẹ́ rẹ sì ni láti dúró de fèrèsé náà dípò fífi àyẹ̀wò náà di aláìlera.