Isitifiketi seqabunga siyasebenza, uchungechunge luphelelwe yisikhathi: funda ukujula

Iphutha lokuphelelwa yisikhathi lingaba ngelomkhiphi, hhayi leqabunga. Funda ukujula kokuqinisekisa kanye nokufakwayo kokuthembela ngaphambi kokuvuselela isitifiketi esibonakala sisasebenza.

Uhlola isitifiketi seseva, ubona izinyanga ezisele ewashini, futhi iklayenti lisala ukuxhumana ngomlayezo wokuphelelwa yisikhathi. Usuku olufundayo lungeqabunga, futhi isikhalazo singaba mayelana nokuthile okujule kakhulu endleleni. Ukuqinisekisa kudlula ochungechungeni, futhi noma yisiphi isitifiketi esikhethwa yilolu hambo singasehluleka efasiteleni laso lokuqinisekisa. Funda ukuthi yisiphi esehlulekile ngaphambi kokuvuselela noma yini.

Ukujula kusho isitifiketi esehlulekile

Kudayagnostiki ye-OpenSSL, ukujula 0 yisitifiketi esihlosiwe futhi ukujula 1 ngumkhiphi osasayinile, kanti izinombolo eziphakeme ziqhubeka ziya ku-anchor yokuthembela. Ukuphelelwa isikhathi okubikwe ekujuleni 1 akushaywa phansi yi-notAfter yamanje eqabungeni, ngakho ukuhlola isitifiketi esibonakalayo futhi ngeke neze kuchaze iphutha.

Bhala umkhondo weminwe wesitifiketi esehlulekile kanye ne-subject yaso, ngoba izitifiketi ezahlukene zingaba negama le-CA elifanayo. Ukusayina okuphambene kwakha isimo esinjalo ngqo: isiphathimandla esifanayo sivela ngaphezu kanye, ngezinsuku zokuqinisekisa ezahlukene, futhi umqinisekisi wakhetha leyo obungalindele. Ilebula ejwayelekile akuyona isihlonzi, futhi umkhondo weminwe yiwona ohlukanisa izinto ezimbili ezabelana ngegama.

Nakhu futhi ukunaka imikhiqizo enendima engaphezu kweyodwa yesitifiketi. Ku-OpenVPN Access Server, izitifiketi ezivikela ama-interface ewebhu zihlukile kulezo ezisetshenziswa ekuxhumaneni kwe-VPN, ngakho isiphequluli esivula ikhasi lokuphatha asifakazeli lutho mayelana nendlela yethumbu.

Okufakwayo kokuthembela akufani nabangeneleli bochungechunge

Nikeza umqinisekisi okufakwayo okubili ngokwehlukana nangokucacile. Ifayela lokuthembela ligcina ama-anchor owamukelayo; ibhuloho elingathembekile ligcina izitifiketi eziphakathi ezihlongozwayo zokwakha indlela. Ukuzixuba yindlela abantu abaphakamisa ngayo ngengozi isitifiketi esiphakathi sibe impande bese bezibuza ukuthi kungani iphutha elifanayo libalandela phakathi kwemishini.

$ openssl verify -verbose -show_chain -purpose sslserver \
    -CAfile trusted-roots.pem -no-CApath -no-CAstore \
    -untrusted intermediates.pem server.pem

Ukukhubaza indlela nesitoreji esizenzakalelayo nge--no-CApath -no-CAstore kugcina ukuhlola kuyiqiniso: umphumela uncika kumafayela ewalibize, hhayi kulokho isiteshi sokusebenza esikuthembayo ngengozi. Incwadi yokuhlola ye-OpenSSL ibhala lezi zinketho kanye nedayagnostiki ezikhiqizayo.

I--show_chain iphrinta uchungechunge olwakhiwe lapho ukuqinisekisa kuphumelela, okulusizo ukuqinisekisa ukuthi indlela iyona obekuhloswe. Lapho yehluleka, gcina ukujula ne-subject okubikiwe; lezo zinkambu ezimbili zitshela umfundi olandelayo ukuthi yisiphi isitifiketi okufanele asihlole.

Okungakwenzi lokhu ukukhiqiza kabusha inqubomgomo yeklayenti ngayinye. Iphini, umkhawulo wenhloso noma ukuhlolwa kobunikazi obuthile beklayenti kuhlala kuklayenti, hhayi kulo myalo. Yilokho okulungiselelwe ukuhlolwa lapho ukuqinisekisa kudlula kuseva futhi ukuxhumana kusahluleka. Hlukanisa iziqondiso ezimbili, kungenjalo uzovuselela isitifiketi esinempilo ngenkathi uxosha iphutha lokubopha.

Ukuhlola kufakazelani nokuthi kushiya ini

Lokhu ukuhlola indlela nenhloso ngokumelene nefayela lokuthembela olunikezile. Okokuhlola igama le-HTTPS, engeza igama lomsingathi elilindelekile ngokukhetha okufanele; okokuxhumana kwe-VPN, gcina ukuhlolwa kobunikazi okulungiselelwe kweklayenti futhi usebenzise okokusebenza kokuthembela iklayenti uqobo elikufundayo.

Lokho iseva ekuthumelayo iqoqo labangeneleli, hhayi indlela iklayenti lakho elizoyakha ekugcineni. Ukuthembela kwendawo kanye nemithetho yokwakha yelabhulali kokubili kwakha umphumela, yingakho impendulo efanayo ingaqinisekisa kumshini owodwa futhi yehluleke kwelinye. Qhathanisa isitoreji sokuthembela esigcinwe kanye nokusetshenziswa kwe-TLS kweklayenti elihlulekayo nokweklayenti elisebenzayo ngaphambi kokuthatha ukuhlola okufanayo. Umehluko lapho uchaza imibiko eminingi ethi „i-laptop kuphela leli elihlulekayo“.

Ukuze ubone ifasitela lesitifiketi ngasinye esikhundleni sokukodwa ngasikhathi, ziphrinte njengeqoqo:

$ openssl x509 -in server.pem -noout -subject -dates
$ openssl crl2pkcs7 -nocrl -certfile intermediates.pem \
    | openssl pkcs7 -print_certs -noout

Lowo myalo wesibili ubala ama-subject nabakhiphi ngaphandle kokukhipha ngamanyala ifayela ngalinye, yileyo ndlela obona ngayo isitifiketi esiphakathi osuku lwaso seludlule ngenkathi iqabunga lisabonakala lihle.

Lungisa indlela ngaphandle kokwenza buthaka ukuqinisekisa

Lapho kunikezwa isitifiketi esiphakathi esiphelelwe yisikhathi noma esisayinwe ngokuphambene esidala, thola uchungechunge olusekelwayo lwamanje lomkhiphi futhi ulusabalalise ngokugeleza kwesitifiketi okubhalwe kwesevisi. Lapho iklayenti lingenalo i-anchor egcinwayo ehlosiwe, buyekeza ukulungiselelwa kokuthembela okulawulwayo noma isofthiwe yeklayenti. Melana nendlela emfushane yokumaka zonke izitifiketi ezikubhuloho njengempande ukuthulisa umlayezo kuphela.

Ukuphatha impande kufanele ukunakwa, ngoba izifinyezo zivame ukuyihlaba ngokweqile. I-RFC 5280 ithatha i-anchor njengokufakwayo okungaphandle kwendlela elindelekile, kanti i-OpenSSL ibhala ukuhlolwa kokuqinisekisa okuhlanganisa isitifiketi sayo se-CA yempande. Zombili izitatimende ziyiqiniso kumasistimu azo; ukwenza jikelele ukuziphatha kokuphelelwa kwempande kwelabhulali eyodwa kuwo wonke amaklayenti kuveza izimpendulo ezingalungile eziqinisekile.

Ngemva koshintsho, phoqa ukuqinisekisa okusha kuklayenti elithintekile futhi uqinisekise ukuthi umlayezo othile wokuphelelwa awusekho. Vuselela iqabunga kuphela uma iqabunga ngokwalo lingafanele. Ukukhubaza ukuhlolwa kwesikhathi noma ukubuyisela isitifiketi sokuxhumanisa somlando akukhiqizi indlela yamanje esebenzayo; kuhlehlisa ukwehluleka okulandelayo kuphela.

Izihloko ezihlobene