VPN sertifikatını açarını çıxarmadan yoxlamaq

Sertifikatın açıq sahələrini oxumaq heç vaxt ona uyğun gələn şəxsi açarı göstərməyi tələb etmir və bunun üçün alətlər VPN-i sonlandıran hər sistemlə birlikdə gəlir. Risk bir addım əvvəldədir: sizə verilən fayl ümumiyyətlə sertifikat olmaya bilər. PEM sertifikatı, DER bloku, PKCS#12 paketi və OpenVPN profili eyni adla gələ və tamamilə fərqli material saxlaya bilər, ona görə əmr seçməzdən əvvəl konteynerin növünü müəyyənləşdirin.

Hansı əmrin təhlükəsiz olduğunu üç fakt həll edir: faylın nə saxladığı, ondan nə oxumalı olduğunuz və çıxışı kimin görəcəyi. Bunlardan hər hansı birini səhv edin, yoxlamanın özü hadisəyə çevrilir.

Sizə hansı üç fayl verilib

PEM sertifikatı görünən BEGIN və END işarələri olan mətndir, DER faylı giriş formatı bayrağı tələb edən binar verilənlərdir, paket isə sertifikatın yanında açar saxlaya bilən konteynerdir. file server.crt mətni binardan bir saniyədə ayırır, ilk sətrə nəzər salmaq isə çılpaq sertifikatı içinə sertifikat daxil edən profildən ayırır. Burada təxmin etmək yoxlamanı hadisəyə çevirən şeydir.

Fayl sertifikat deyil, profil idisə, əksinə sübut olunana qədər ona etimad kimi yanaşın. Bu fərziyyə heç nəyə başa gəlmir və bütün bu tapşırıqdakı ən geniş yayılmış səhvin qarşısını alır.

PEM sertifikatının açıq sahələrini oxumaq

Yoxlamağa icazəniz olan sertifikat üçün -noout ilə x509 alt əmri yalnız seçdiyiniz sahələri çap edir, başqa heç nəyi. Gövdəni boğmaq çıxışı metadata ilə məhdudlaşdırır, bu da onu bilete yapışdırmaq üçün təhlükəsiz edir. Aşağıdakı seçicilər açıq olanlardır, qalanlarını openssl x509 sənədləşməsi sadalayır.

openssl x509 -in server.crt -noout -subject -issuer -dates -fingerprint -sha256

Yerli olaraq yaradılmış test sertifikatında bu əmr subyekt və emitent sətri, notBefore və notAfter cütü və bir SHA-256 barmaq izi çap edir. Bu sahələr obyekti müəyyən edir; onlar etibarlı etimad yolunu təsdiqləmir, bu, öz əmri və öz cavabı olan ayrı yoxlama tapşırığıdır. Zəncir faylı faylın özünü təkrarən keçməsəniz yalnız ilk sertifikatı çap edə bilər. İki faylı bu şəkildə müqayisə etmək bir əmrə başa gəlir və həmyaşıdın hansını təqdim etdiyini həll edir.

Sertifikatın yanında açar saxlayan paketlər

.p12 və ya .pfx faylı şəxsi açar daşıya bilər və təhlil əmri çıxışın həmin hissəsini boğmasanız onu çap edir. -nokeys ilə həmin əmr hələ də konteynerin strukturunu, o cümlədən örtülmüş açar kisəsini, heç bir açar materialı yaymadan bildirir; bu bayrağı atsanız, terminalınızda və shell tarixçənizdə açar bloku görünür.

openssl pkcs12 -in bundle.p12 -nokeys -info -passin env:P12PASS

OpenVPN profili həmin materialı mətn kimi daxil edir, buna görə hara baxacağınızı bilsəniz sərhəd görünür. Açıq material BEGIN CERTIFICATE ilə END CERTIFICATE arasında yerləşir, BEGIN PRIVATE KEY ilə ona uyğun END sətri arasındakı hər şey isə açardır və hostdan çıxmamalıdır. Profili bütövlükdə köçürmək hər ikisini yayımlayır.

İstinad dəyərini başqa yerdən almaq

Yoxlamağa çalışdığınız bağlantıdan oxunan barmaq izi heç nəyi sübut etmir, çünki onu etibarsız saydığınız tərəf təqdim edib. Bu, barmaq izlərinin əleyhinə arqument deyil; mənbə haqqında arqumentdir. Dəyəri həmyaşıdın yaza bilmədiyi kanaldan əldə edilmiş dəyərlə müqayisə edin, məsələn daxili repozitoriyada dərc edilmiş sertifikatla və ya imzalanmış dəyişiklik qeydində çap olunmuş heşlə.

Etimad anbarı yoxlamanı aparırsa, qoy aparsın və öz müqayisənizi onun yerinə qoymaq əvəzinə onun yaratdığı xətanı oxuyun. Vacib olan fərq istinadı kimin təqdim etdiyidir, hansı heş funksiyasının istifadə olunduğu deyil.

Nəticəni paylaşmaq və səhvən sonra nə etmək

Dəqiq yoxlama xətasını, aid tarixləri və yalnız alıcının ehtiyac duyduğu şəxsiyyət detallarını göndərin. Daxili host adları və hesab identifikatorları heç bir açar olmadıqda belə həssas qalır və ictimai yapışdırma xidməti bunların heç biri üçün düzgün ünvan deyil. Bilete yapışdırın, başqasının paylaşdığı qaralama buferinə deyil.

Açar materialı ekranda və ya faylda göründüsə, onu kompromisə uğramış sayın və heç kimin baxmadığını ümid etmək əvəzinə onu rotasiya edin. Sonra yoxlanılan faylı, istifadə olunan əmri və çıxışın hara getdiyini yazın, çünki bu qeyd qorxunu prosedura çevirir. Rotasiya heç kimin ekran şəkli saxlamadığını güman etməyin dəyəri ilə müqayisədə ucuzdur və həmin qeyd növbəti mühəndisə hansı fayllara ümumiyyətlə toxunulduğunu bildirir. Bileti bağlamazdan əvvəl hər ikisini edin.