درحال اعتبارسنجی هدف گواهینامه

درحال مشاهده اسناد Apigee Edge هستید.
به اسناد Apigee X بروید. اطلاعات

این سند توضیح می‌دهد که چگونه قبل‌از بارگذاری گواهی در کی‌استور یا تراست‌استور، هدف گواهی را اعتبارسنجی کنید. این فرایند برای اعتبارسنجی به OpenSSL متکی است و در هر محیطی که OpenSSL دردسترس باشد قابل‌اجرا است.

گواهینامه‌های TLS معمولاً با یک یا چند هدف برای استفاده صادر می‌شوند. معمولاً این کار برای محدود کردن تعداد عملیاتی انجام می‌شود که کلید عمومی موجود در گواهی می‌تواند برای آن‌ها استفاده شود. هدف گواهینامه در افزونه‌های گواهینامه زیر دردسترس است:

  • مصرف کلید
  • کاربرد کلید توسعه‌یافته

مصرف کلید

افزونه استفاده از کلید هدف کلید موجود در گواهینامه را تعریف می‌کند (برای مثال، رمزگذاری، امضا، یا امضای گواهینامه). اگر از کلید عمومی برای اصالت‌سنجی نهاد استفاده می‌شود، افزونه گواهی باید دارای کاربرد کلید امضای دیجیتال باشد.

افزونه‌های مختلف استفاده از کلید که برای گواهینامه «امنیت لایه انتقال» ایجادشده بااستفاده از فرایند «مرجع صدور گواهینامه» (CA) دردسترس است به شرح زیر است:

  • امضای دیجیتال
  • عدم انکار
  • رمزگذاری کلید
  • رمزگذاری داده‌ها
  • قرارداد کلید
  • امضای گواهینامه
  • امضای CRL
  • فقط رمزگذاری
  • فقط رمزگشایی

برای کسب اطلاعات بیشتر درباره این افزونه‌های استفاده کلید، به RFC5280، استفاده کلید مراجعه کنید.

کاربرد کلید توسعه‌یافته

این افزونه یک یا چند هدف را که کلید عمومی گواهی‌شده ممکن است برای آن‌ها استفاده شود نشان می‌دهد، علاوه‌بر اهداف اساسی که در افزونه استفاده از کلید نشان داده شده است یا به‌جای آن‌ها. به‌طورکلی، این افزونه فقط در گواهینامه‌های هَستار نهایی ظاهر می‌شود.

برخی‌از افزونه‌های کاربرد کلید توسعه‌یافته رایج به شرح زیر است:

  • TLS Web server authentication
  • TLS Web client authentication
  • anyExtendedKeyUsage

کلید توسعه‌یافته می‌تواند حیاتی یا غیرحیاتی باشد.

  • اگر افزونه حیاتی باشد، گواهینامه باید فقط برای هدف یا اهداف مشخص‌شده استفاده شود. اگر گواهینامه برای هدف دیگری استفاده شود، خط‌مشی مرجع گواهینامه نقض شده است.
  • اگر افزونه غیرحیاتی باشد، هدف یا اهداف موردنظر کلید را نشان می‌دهد و به این معنی نیست که «مرجع گواهینامه» استفاده از کلید را به هدف نشان‌داده‌شده محدود می‌کند. بااین‌حال، برنامه‌هایی که از گواهینامه‌ها استفاده می‌کنند ممکن است نیاز داشته باشند که هدف خاصی برای قابل‌قبول بودن گواهینامه مشخص شود.

اگر گواهینامه‌ای هم فیلد کاربرد کلید و هم فیلد کاربرد کلید گسترده را به‌عنوان مهم داشته باشد، هر دو فیلد باید به‌طور مستقل پردازش شوند و گواهینامه فقط برای هدفی که هر دو مقدار کاربرد کلید را برآورده می‌کند قابل‌استفاده است. بااین‌حال، اگر هدفی وجود نداشته باشد که بتواند هر دو مقدار استفاده از کلید را برآورده کند، آن گواهینامه نباید برای هیچ هدفی استفاده شود.

وقتی گواهینامه‌ای تهیه می‌کنید، مطمئن شوید که استفاده از کلید مناسب برای برآورده کردن الزامات گواهینامه‌های کارخواه یا سرور تعریف شده باشد، درغیراین‌صورت دست دادن «امنیت لایه انتقال» ناموفق خواهد بود.

هدف استفاده از کلید

(الزامی)

کاربرد کلید توسعه‌یافته

(اختیاری)

گواهینامه نهاد سرور مورداستفاده در Apigee Edge محل ذخیره کلید میزبان مجازی
  • امضای دیجیتال
  • رمزگذاری کلید یا توافق کلید
اصالت‌سنجی سرور وب «امنیت لایه انتقال»
گواهینامه نهاد کارخواه استفاده‌شده در truststore میزبان مجازی Apigee Edge
  • امضای دیجیتال یا قرارداد کلید
اصالت‌سنجی کارخواه وب «امنیت لایه انتقال»
گواهینامه نهاد سرور مورداستفاده در Apigee Edge مخزن اعتماد سرور مقصد
  • امضای دیجیتال
  • رمزگذاری کلید یا توافق کلید
اصالت‌سنجی سرور وب «امنیت لایه انتقال»
گواهی نهاد کارخواه که در محل ذخیره کلید سرور مقصد در Apigee Edge استفاده می‌شود
  • امضای دیجیتال یا قرارداد کلید
اصالت‌سنجی کارخواه وب «امنیت لایه انتقال»
گواهینامه‌های واسط و ریشه
  • نشان گواهینامه
  • علامت فهرست ابطال گواهینامه (CRL)

قبل‌از شروع

قبل‌از استفاده از مراحل این سند، مطمئن شوید که موضوعات زیر را درک می‌کنید:

  • اگر با زنجیره گواهینامه آشنا نیستید، زنجیره اعتماد را بخوانید.
  • اگر با کتابخانه OpenSSL آشنا نیستید، OpenSSL را بخوانید
  • اگر می‌خواهید درباره افزونه‌های استفاده از کلید و استفاده از کلید توسعه‌یافته بیشتر بدانید، RFC5280 را بخوانید.
  • اگر می‌خواهید از مثال‌های خط فرمان در این راهنما استفاده کنید، جدیدترین نسخه کارخواه OpenSSL را نصب یا به آن به‌روزرسانی کنید
  • مطمئن شوید گواهی‌ها در قالب PEM باشند و اگر نیستند، گواهی‌ها را به قالب PEM تبدیل کنید.

هدف گواهینامه را اعتبارسنجی کنید

این بخش مراحل استفاده‌شده برای تأیید هدف گواهینامه را شرح می‌دهد.

  1. به سروری که OpenSSL در آن وجود دارد وارد شوید.
  2. برای دریافت کاربرد کلید گواهینامه، فرمان OpenSSL زیر را اجرا کنید: 
    openssl x509 -noout -ext keyUsage < certificate

    که در آن certificate نام گواهینامه است.

    نمونه برونداد 

    openssl x509 -noout -ext keyUsage < entity.pem
X509v3 Key Usage: critical
    Digital Signature, Key Encipherment

openssl x509 -noout -ext keyUsage < intermediate.pem
X509v3 Key Usage: critical
    Certificate Sign, CRL Sign
  3. اگر استفاده از کلید اجباری باشد، به این صورت به‌عنوان حیاتی تعریف می‌شود: 
    openssl x509 -noout -ext keyUsage < intermediate.pem
X509v3 Key Usage: critical
    Certificate Sign, CRL Sign
  4. فرمان زیر را اجرا کنید تا کاربرد کلید گسترده را برای گواهینامه دریافت کنید. اگر کاربرد کلید توسعه‌یافته به‌عنوان حیاتی تعریف نشده باشد، در این‌صورت توصیه است و الزامی نیست. 
    openssl x509 -noout -ext extendedKeyUsage < certificate

    که در آن certificate نام گواهینامه است.

    نمونه برونداد 

    openssl x509 -noout -ext extendedKeyUsage < entity.pem
X509v3 Extended Key Usage:
    TLS Web Server Authentication, TLS Web Client Authentication

openssl x509 -noout -ext extendedKeyUsage < intermediate.pem
X509v3 Extended Key Usage:
    TLS Web Server Authentication, TLS Web Client Authentication