ওপেনএসএল অবৈধ সিএ শংসাপত্র

Question

আমি একটি পিকেআই অবকাঠামো দিয়ে সার্ভার-টু-সার্ভার ওপেনভিপিএন স্থাপন করছি, এবং এটি কাজ করতে পারে না। আমি সন্দেহ করি এটি শংসাপত্র শৃঙ্খলে কিছু, তবে কীভাবে তা ব্যাখ্যা করার জন্য আমি ক্ষতিতে আছি। আমার কাছে একটি অফলাইন রুট সিএ এবং একটি শংসাপত্রক্রমক্রম রয়েছে। সিএর বাহ্যিকভাবে ইজেবিসিএ নামে একটি পণ্য পরিচালিত হয়। চিত্রগতভাবে চেইনটি দেখতে (নাম পরিবর্তন করে):

RootCA -> OnlineSubCA -> SubCA1 -> VPNCA

আমি সিএ ভিপিএনসিএর সাথে একটি সার্ভার এবং ক্লায়েন্ট সার্টে স্বাক্ষর করেছি এবং সেই সিস্টেমগুলিতে শংসাপত্র শৃঙ্খলা রয়েছে। ওপেনভিপিএন ডিবাগ করার সময় আমি "ওপেনসেল এস_সার্ভার" এবং এস_স্লায়েন্ট "ব্যবহার করার চেষ্টা করেছি, এটি আমাকে সিএ চেইন হিসাবে বিশ্বাস করতে পরিচালিত করেছে। বিশেষত সার্ভারে:

openssl s_server -cert server.cert -key server.key -CAfile chained.pem -verify 5

এবং ক্লায়েন্ট উপর

openssl s_client -cert client.cert -key client.key -CAfile chained.pem -verify 5

সার্ভারটি অন্য জিনিসগুলির মধ্যে ফিরে ফিরে আসে:

depth=3 C = CA, O = My Company, CN = OnlineSubCA
verify error:num=24:invalid CA certificate
verify return:1
depth=3 C = CA, O = My Company, CN = OnlineSubCA
verify error:num=26:unsupported certificate purpose
verify return:1
depth=4 C = CA, O = My Company, CN = RootCA, emailAddress = [e-mail]
verify return:1
depth=3 C = CA, O = My Company, CN = OnlineSubCA
verify return:1
depth=2 CN = SubCA1, O = My Company, C = CA
verify return:1
depth=1 CN = VPNCA
verify return:1
depth=0 C = CA, ST = , L = , O = My Company, OU = , CN = client1.mycompany.com, emailAddress = [e-mail]
verify return:1

কীভাবে বা কেন এটি হয় তা ব্যাখ্যা করার জন্য আমি সম্পূর্ণ ক্ষতিতে আছি। ওপেনভিপিএনও ক্লায়েন্টের কাছ থেকে অনুরূপ ত্রুটি নিয়ে ব্যর্থ হয়েছে:

VERIFY ERROR: depth=3, error=invalid CA certificate: /C=CA/O=My_Company/CN=OnlineSubCA

আমি উবুন্টু 12.04 এ ওপেনভিপিএন 2.2.1 এবং ওপেনএসএসএল 1.0.1 চালাচ্ছি। সময় উভয় সিঙ্ক হয়।

কীভাবে আরও এগিয়ে যেতে হবে তা নিয়ে আমি ক্ষতি করছি। কোন ধারণা / পরামর্শ ব্যাপকভাবে প্রশংসা করা হবে।

Answer 1

এটি X509v3 এক্সটেনশানগুলির সাথে একটি সমস্যা। আধুনিক শংসাপত্রগুলি এমনভাবে স্বাক্ষরিত হয় যা সেই ধরণের শংসাপত্রের অনুমোদিত ব্যবহারগুলি নির্দেশ করে। এগুলিতে শংসাপত্রটি পাইপ করে openssl x509 -textবা এর সাথে ফাইলের পাথ নির্দিষ্ট করে প্রদর্শিত হতে পারে -in।

আপনার ক্ষেত্রে, এই ত্রুটি বার্তাগুলি ইঙ্গিত করছে যে আপনি যে শংসাপত্রটি নির্দিষ্ট করছেন সেটি কোনও CA শংসাপত্র নয়। (সবচেয়ে বড় ইঙ্গিতটি "অসমর্থিত শংসাপত্রের উদ্দেশ্য") উপরের কমান্ডটি ব্যবহার করে শংসাপত্রের পাঠ্য তথ্য প্রদর্শন করুন। একটি বৈধ CA সার্ট যেমন পড়বে:

        X509v3 Basic Constraints:
            CA:TRUE

পরিবর্তে একটি নন-সিএ সার্টিটি এটি প্রদর্শিত করবে:

        X509v3 Basic Constraints:
            CA:FALSE

আপনার ফাইলগুলি লাফিয়ে উঠতে পারে, ফাইলগুলি চারদিকে ঘোরাতে গিয়ে এটি করা বরং একটি সহজ কাজ। openssl x509প্রকৃত শংসাপত্রগুলির বিষয়বস্তু কী তা নিয়ে একটি ম্যাগনিফাইং গ্লাস আলোকিত করবে।

Comments

প্রকৃতপক্ষে সমস্যাটি, 2 য় সার্ট পরিদর্শন করে "CA: FALSE" দেখায়। এটি ইজেবিসিএতে সেভাবে সেটআপ করা হয়েছে বলে মনে হচ্ছে যা ভুল, আমার এটি আবার তৈরি করতে হতে পারে। আপনাকে অ্যান্ড্রু ধন্যবাদ!

— মাইকেল হার্ট

এটা খুশী হয়েছে। :)

— অ্যান্ড্রু বি

অতিরিক্ত হিসাবে, আপনি যদি 26 টি / অসমর্থিত শংসাপত্রের উদ্দেশ্যটি পেয়ে থাকেন তবে যদি আপনার মৌলিক সীমাবদ্ধতা হিসাবে "সমালোচনা" থাকে তবে আপনার শংসাপত্রটি বৈধ কর্তৃপক্ষের একজনের দ্বারা স্বাক্ষরিত / বিশ্বাসযোগ্য নয় (এই চেষ্টা করে স্ব স্ব স্বাক্ষরিত একটি রুট সিএ ব্যবহার করেছেন)

— জেরকজ