OpenVPN: certificado autoassinado em cadeia

Estou tentando, sem êxito, usar TunnelBlick(um cliente OS / X OpenVPN 2.2.1 que seja conhecido) para conectar-se usando certificados. Aqui está a mensagem de erro (higienizada) que recebo:

2012-01-11 11:18:26 TLS: Pacote inicial de **. **. **. **: 1194, sid = 17a4a801 5012e004
2012-01-11 11:18:26 VERIFICAR ERRO: profundidade = 1, erro = certificado autoassinado na cadeia de certificados: / C = US / ST = ** / L = ** / O = ** / CN = ** / emailAddress = **
2012-01-11 11:18:26 TLS_ERROR: BIO lê erro tls_read_plaintext: erro: 14090086: rotinas SSL: SSL3_GET_SERVER_CERTIFICATE: falha na verificação do certificado
2012-01-11 11:18:26 Erro TLS: objeto TLS -> erro de leitura de texto sem formatação recebido
2012-01-11 11:18:26 Erro no TLS: falha no handshake TLS
2012-01-11 11:18:26 TCP / UDP: soquete de fechamento

Agora, aqui está o problema. Eu mesmo gerei um CSR para solicitar esse certificado, usando o arquivo ca.crt fornecido pelo outro lado (na verdade, eles fizeram isso duas vezes apenas para garantir).

As entradas relevantes na configuração do cliente são:

ca   ca.crt
cert my.crt
key  my.key

e, além disso ... posso verificar as chaves desta maneira:

openssl verifica -CAfile ca.crt my.crt 

my.crt: OK

Ok, agora estou completamente confuso e perplexo. Neste ponto, eu sei que o CSR e a chave foram gerados usando o CSR apropriado. De fato, aqui está o próprio comando que fez isso:

openssl req -newkey rsa:2048 -new -out my.csr -keyout my.key

Eu também sabia fazer isso:

openssl x509 -subject -issuer -noout -in ca.crt

...

(piscar!)

Acabei de encontrar ?

A saída desse comando é semelhante a esta: (editada um pouco)

Assunto = / C = US / ST = VA / L = ** / O = ** / CN = ** CA / emailAddress = **
emissor = (o mesmo)

enquanto na mensagem de erro do OpenVPN, o ST = não é exatamente o mesmo:

VERIFICAR ERRO: profundidade = 1, erro = certificado autoassinado na cadeia de certificados: / C = US / ST = Virgínia / L = ** / O = ** / CN = ** / emailAddress = **

"VA" não é exatamente igual a "Virginia".

Apenas para encerrar completamente esse segmento: esse era realmente o problema. O "ca.crt" que eu recebi ("Virginia") NÃO era de fato aquele que meu colega estava usando ("VA"), e nenhum de nós notou na época.

Então ... basicamente (e puramente em termos de leigos), a VPN estava tentando dar um passeio pela cadeia de autoridade procurando o ca.crt que esperava encontrar, mas nunca encontrou (porque não estava lá).

E, essa é uma daquelas mensagens maravilhosas pelas quais os sistemas de criptografia são tão conhecidos: inteiramente precisos e, no entanto, completamente misteriosos para os não iniciados. (E, para ser justo, os sistemas de criptografia não gostam de divulgar informações sobre nada, pois presumem que a pessoa com quem estão conversando é certamente uma Eva má , não agradável Alice ou Bob.)