স্ব-স্বাক্ষরিত ওয়াইল্ডকার্ড শংসাপত্র

Question

আমি পাইহোল ঘরে বসিয়েছি, তাই কোনও "ওয়েবসাইটটি অবরুদ্ধ করা হয়েছে" পৃষ্ঠাটি দেখানোর জন্য আমি নিজের সার্ভারের সাথে কোনও ওয়েবসাইটের জন্য অনুরোধগুলি পরিচালনা করতে সক্ষম হতে চাই।

আমি কোনও url- এর জন্য স্ব-স্বাক্ষরিত শংসাপত্র তৈরি করে এবং এটি আমার ডিভাইসে ইনস্টল করে এটি করার চেষ্টা করছি। শংসাপত্র তৈরি করতে আমি যে আদেশগুলি ব্যবহার করেছি তা:

openssl genrsa 2048 > pihole.key
openssl req -new -x509 -nodes -days 36500\
    -key pihole.key \
    -subj "/C=NL/ST=Utrecht, Inc./CN=*" \
    -reqexts SAN \
    -config <(cat /etc/ssl/openssl.cnf \
        <(printf "\n[SAN]\nsubjectAltName=DNS:*,DNS:*")) \
    -out pihole.cert
openssl x509 -noout -fingerprint -text < pihole.cert > pihole.info
cat pihole.cert pihole.info > pihole.pem
service apache2 reload

আমি এই উইন্ডোজ ডিভাইসে এই শংসাপত্রটি ইনস্টল করেছি এবং উইন্ডোজ দেখায় যে এটি একটি বৈধ শংসাপত্র।

যাইহোক, ক্রোম আমাকে একটি দেয় NET::ERR_CERT_COMMON_NAME_INVALIDএবং প্রান্তটি আমাকে অনুরূপ ত্রুটি দেয় ( DLG_FLAGS_SEC_CERT_CN_INVALID)

কেন? হয় CN = *শুধু মঞ্জুরিপ্রাপ্ত নয়? আমি যা চাই তা কীভাবে অর্জন করতে পারি?

Comments

পার্শ্ব নোট হিসাবে: প্রধান ওয়েবসাইটগুলির জন্য আপনার ব্রাউজার সম্ভবত আপনি তৈরি করতে যে কোনও শংসাপত্র গ্রহণ করবেন না। এই সাইটগুলি শংসাপত্র-পিনিং ব্যবহার করে এবং সেই ব্রাউজারগুলিতে অন্তর্ভুক্তির জন্য তাদের টিএলএস শংসাপত্রগুলির ফিঙ্গারপ্রিন্ট জমা দেয়। আপনার শংসাপত্র সঞ্চিত ফিঙ্গারপ্রিন্টের সাথে মেলে না এবং ব্লক করা হবে। এখানে আরও তথ্য: noncombatant.org/2015/05/01/about-http-public-key-pinning

— মার্টিজান হিমেলস

স্ব স্বাক্ষরিত শংসাপত্রগুলি যেমন আপনি আবিষ্কার করেছেন তেমন সমস্যা হতে পারে। পরিবর্তে আপনি লেটসেনক্রিপ.আরোগ.র কাছ থেকে একটি "যথাযথ" শংসাপত্র পাওয়ার দিকে নজর দিতে পারেন - এগুলি নিখরচায় এবং ওয়াইল্ডকার্ড সমর্থন করে। হোস্টগুলির মধ্যে কতগুলি আপনি আসলে যেটিকে * আবরণ করার চেষ্টা করছেন তার উপর নির্ভর করে লেটসনক্রিপ্টের একটি (বা একাধিক) শংসাপত্র আপনাকে কভার করতে পারে

— ডেভ স্মাইলি

@ ডেভস্মিলি এটি অ্যাডব্লকারের পক্ষে, আমি ডোমেনগুলির মালিক নই।

— ড্যানিয়েল ভ্যান ডেন বার্গ

@ স্টেটওয়ার্ট দয়া করে আমার আগের মন্তব্যটি পড়ুন।

— ড্যানিয়েল ভ্যান ডেন বার্গ

এছাড়াও লক্ষণীয়: আপনি যদি এটি কোনও অ্যাডব্লকারের জন্য ব্যবহার করে থাকেন তবে বিকল্প পৃষ্ঠাটি দেখানোর পরিবর্তে কেবল নীরবে প্রাসঙ্গিক সার্ভারে সংযোগগুলি ফেলে দেওয়া ভাল be আধুনিক বিজ্ঞাপনগুলির 90% প্রাথমিকভাবে জাভাস্ক্রিপ্টের মাধ্যমে লোড করা হয়, সুতরাং আপনার বিকল্প পৃষ্ঠাটিতে পৃষ্ঠায় কোনও বাস্তব দৃশ্যমানতা আসার সম্ভাবনা নেই। এটি সম্ভবত জাভাস্ক্রিপ্ট হিসাবে নন-জাভাস্ক্রিপ্ট রিসোর্স লোড করার চেষ্টা করছে, স্টাফগুলি ভাঙ্গতে চলেছে।

— Nzall

Answer 1

এটা অনুমোদিত নয়. স্ট্যান্ডার্ড টিএলএস হোস্টনেম বৈধতার প্রোটোকল-নির্দিষ্ট সংযোজন হিসাবে, সমস্ত বড় ওয়েব ব্রাউজারগুলি (এইচটিটিপিএস ক্লায়েন্ট) মূলত "ইটিএলডি + 1" এর জন্য ওয়াইল্ডকার্ড শংসাপত্রকে সীমাবদ্ধ করতে সম্মত হয়েছে - এটি হ'ল একটি "কার্যকর টিএলডি" প্লাস আরও একটি নয় -ওয়াল্ডকার্ড উপাদান।

সাধারণত এটি কমপক্ষে দুটি উপাদান প্রয়োজনীয় ( *.example.netযা ঠিক আছে তবে *.netতা নয়, উভয়ই খালি নয় *) হিসাবে অনুবাদ করে। "কার্যকর টিএলডি" বিধিটি বহু-স্তরের প্রত্যয়গুলিতে প্রসারিত করে যেহেতু co.ukমানুষ অনুশীলনে "অবিভাজ্য" টিএলডি "হিসাবে ব্যবহার করে। (তাই *.example.ac.ukঅনুমোদিত তবে *.ac.ukতা নয়))

আপনি ক্রোমিয়াম এবং মজিলায় কীভাবে সর্বজনীন প্রত্যয় তালিকাটি প্রয়োগ করা হয় তা পরিদর্শন করতে পারেন ।

সিকিউরিটি.এস.এ সম্পর্কিত আলোচনা দেখুন যা সিএ-ব্রাউজার ফোরামের বেসলাইন প্রয়োজনীয়তার একটি উদ্ধৃতি রয়েছে (যা কেবল সর্বজনীন ওয়েবপিকেআই সিএগুলিতে প্রযোজ্য, তবে এখনও সাধারণ প্রয়োগটি প্রতিফলিত করে):

সিএগুলি এমন কোনও শংসাপত্র প্রত্যাহার করতে পারে যেখানে "রেজিস্ট্রি নিয়ন্ত্রিত" লেবেল বা "পাবলিক প্রত্যয়" এর বামে তত্ক্ষণাত ওয়াইল্ডকার্ড চরিত্রটি প্রথম লেবেল অবস্থানে উপস্থিত হয় occurs

---

এই সীমাবদ্ধতা এড়াতে, এমন কোনও শংসাপত্র কর্তৃপক্ষ তৈরি করুন যা আপনি যে ওয়েবসাইটটিতে দেখার চেষ্টা করেন তার জন্য "দাবিতে" শংসাপত্র জারি করে। আমি জানি না যে এটি কোনও নিয়মিত ওয়েব সার্ভারে কীভাবে কার্যকর করা হবে, তবে এটি বাণিজ্যিক টিএলএস ইন্টারসেপশন সিস্টেম দ্বারা ব্যবহৃত একটি সাধারণ পদ্ধতি; অ্যান্টিভাইরাস প্রোগ্রাম এবং অন্যান্য ম্যালওয়্যার; এবং বুরুপ প্রক্সি স্যুটের মতো বিকাশ সরঞ্জাম।

উদাহরণস্বরূপ, ওপেনস্ট্রি ওয়েব সার্ভারে (মূলত লুঙ্গা-সহ লুঙ্গিয়া) গতিশীল শংসাপত্র জেনারেশন প্রয়োগের একটি ssl_certificate_by_luaবিকল্প রয়েছে । স্কুইড প্রক্সিটি তার এসএসএল-বাম্প বৈশিষ্ট্যটিতে শংসাপত্রের নকল করতে সহায়তা করে।

এছাড়াও লক্ষ করুন যে সানরা উভয় উপস্থিত থাকলে সাবজেক্ট- সিএনকে সম্পূর্ণরূপে ওভাররাইড করে। এটি বেশিরভাগ সিএন অন্তর্ভুক্ত করে তোলে (যদি না আপনার ক্লায়েন্ট সফ্টওয়্যারটি এত প্রাচীন না হয় তবে এতে স্যান সমর্থন নেই), এবং পাবলিক সিএএস জন্য ওয়েব ব্রাউজারগুলি এটিকে আর গ্রহণ করে না।

Comments

আমি ইতিমধ্যে এখানে টিএমএল + 1 সীমা অভিজ্ঞতা সম্পর্কে এখানে পেয়েছিলাম। এটি রাখার জন্য ধন্যবাদ। +1

— রুই এফ রিবেইরো

আপনার বিস্তৃত উত্তরের জন্য ধন্যবাদ, আমি অনুমান করি যে এটি হ্যাঁ ব্যাখ্যা করে। আমি কি ব্যবহার করতে পারি এমন কোনও ভিন্ন পদ্ধতির কথা জানতে পেরেছ?

— ড্যানিয়েল ভ্যান ডেন বার্গ

"এবং অন্যান্য ম্যালওয়ার" এর কৌশলগত স্থান নির্ধারণের জন্য উন্নীত।

— ডিউরিস

@ দানিয়েলভানডেনবার্গ: আমি নিজেই পোস্টটিতে একটি পরামর্শ দিয়েছি। আমি সবেমাত্র এনগিনেক্স এবং স্কুইড উদাহরণগুলিতে লিঙ্ক যুক্ত করেছি।

— user1686

Answer 2

একটি শংসাপত্রে কেবলমাত্র একক ওয়াইল্ডকার্ড থাকতে পারে (অর্থাত্ না *.*.example.com) এটি কেবল একটি একক লেবেলের সাথে মেলে (যেমন কেবল www, নয় www.example.com), এটি কেবল বাম দিকের অবস্থানে থাকতে পারে (অর্থাত্ *.www.example.comনয় তবে www.*.example.com) এবং এটি পাবলিক প্রত্যয়টির অভ্যন্তরে থাকতে পারে না (যেমন না *.com)