VPN sertifikatının barmaq izini ayrı kanal vasitəsilə necə yoxlamaq olar

Barmaq izi, sizə nə gözləməli olduğunuzu deyən kanal qədər etibarlıdır. Müqayisə etdiyiniz dəyər sınaqdan keçirdiyiniz eyni bağlantı ilə gəlibsə, müqayisə yalnız o bağlantıya nəzarət edənin ardıcıl olmasından başqa heç nə sübut etmir. Yoxlama sabit ardıcıllıqla aparılmalıdır və uğursuz addım sizi növbəti addıma itələmək əvəzinə dayandırmalıdır. VPN müştərisi sertifikatın dəyişdiyini bildirdikdə istifadə etdiyim ardıcıllıq budur.

Dəyəri adlandırmazdan əvvəl obyekti adlandırın

Gözlənilən dəyərin serverin son sertifikatına, onu verən CA-ya, yoxsa son sertifikatın içindəki açıq açara aid olduğunu müəyyən edin. Bunlar üç fərqli yoxlamadır və fərqli şəkildə uğursuz olurlar. Uyğun gələn CA barmaq izi serveri bağlamır və açıq açar heşi eyni açarı saxlayan yenidən buraxılışdan qəsdən sağ çıxır.

Alqoritmi də yazın. SHA-256 bu gün normal gözləntidir, lakin köhnə alətlər başqa bir şey istəməsəniz SHA-1 çap edirdi və 40 simvollu hex dəyər iki fərqli şeyi müqayisə etmək üzrə olduğunuzun əlamətidir.

Gözlənilən dəyəri ikinci kanaldan götürün

İkinci kanal, özünüzü qoruduğunuz tərəfin yaza bilmədiyi kanal olmalıdır. Artıq autentifikasiya etdiyiniz təchizat sistemi, seyfdə çap edilmiş qeyd, konfiqurasiya verilənlər bazası və ya başqa proses tərəfindən çatdırılan imzalanmış sənəd hamısı uyğundur. Həmkarınızdan gələn çat mesajı, axtarış nəticəsi ilə çatdığınız dəstək səhifəsi və artıq sazladığınız terminala yapışdırılan hər şey uyğun deyil.

Tam dəyəri və alqoritmi istəyin, heç vaxt prefiks yox. İki nöqtə və hərf registri əhəmiyyətli deyil, lakin kəsilmə 256 bitlik yoxlamanı təxmin oyununa çevirir.

Heç kim gözlənilən dəyəri müstəqil mənbədən təqdim edə bilmirsə, dürüst nəticə bu sertifikatın bu gün yoxlana bilməməsidir. Bunu demək, müştərinin indicə göstərdiyini bağlamaqdan yaxşıdır, çünki bu, xəbərdarlığı vərdişə çevirir.

Dəyəri öz tərəfinizdə çıxarın

Sertifikat faylı üçün əmr openssl x509 -in server.crt -noout -fingerprint -sha256. Açıq həzm vacibdir: o olmadan nəticə OpenSSL versiyanızdan asılıdır. Nəticə iki nöqtə ilə ayrılmış hex sətri olduğu üçün müqayisədən əvvəl iki nöqtələri silin və hər iki tərəfi kiçik hərflərə çevirin.

TLS-i birbaşa danışan son nöqtə üçün qoşulun və sertifikatı boru ilə çıxarın: openssl s_client -connect vpn.example.com:443 -servername vpn.example.com < /dev/null | openssl x509 -noout -fingerprint -sha256. Bu, veb idarəetmə paneli və ya TLS dinləyicisi üçün işləyir, nəzarət kanalı tunelin içində oturan OpenVPN üçün işləmir. OpenVPN üçün sertifikatı soketdən tutmağa çalışmaq əvəzinə diskdəki profildən oxuyun.

Müqayisə mexaniki olmalıdır. Hər iki dəyəri tr -d ':' və registr qatlaması ilə normallaşdırın, sonra bütün sətri müqayisə edin. Gözlə müqayisə etmək, uyğun gələn prefiksin son baytdakı fərqi gizlətmə üsuludur. Sətirlər fərqlənirsə, izahat axtarmazdan əvvəl fərqi real qəbul edin.

Dayanma şərtləri

Obyekt fərqlənirsə dayanın, çünki CA barmaq izi son sertifikatı, son sertifikat isə CA-nı təmizləyə bilməz. Alqoritm fərqlənirsə dayanın, çünki SHA-1 dəyəri ilə SHA-256 dəyərini müqayisə etmək sizə heç nə demir. Barmaq izi uyğun gəlsə də sertifikat vaxtı keçmiş, ləğv edilmiş və ya başqa ad üçün verilmişsə dayanın; uyğun heş etibarlılıq yoxlaması deyil və qırılmış zənciri bərpa etmir. Seriya nömrəsi yoxladığınız qeyddəki seriya nömrəsi ilə uyğun gəlmirsə də dayanın, çünki bu, dəyişdirilmiş sertifikatı görməyin ən ucuz yoludur.

Yeni dəyər sınaqdan keçirdiyiniz kanaldan gəlibsə dayanın. Rotasiya barmaq izini qanuni olaraq dəyişə bilər, lakin əvəzedici dəyər yenə də etibarlı prosesdən gəlməlidir, sualı doğuran xəbərdarlıq dialoqundan deyil.

Təklif olunan düzəliş host adının və ya zəncirin yoxlanmasını söndürməkdirsə dayanın. Barmaq izi normal yoxlamalara bir məhdudiyyət əlavə edir; o, yalnız yerləşdirmə qəsdən yalnız-pin modeli seçibsə onları əvəz edir və bu seçim öz əməliyyat xərclərini gətirir.

Müqayisədən sonra

Nəyi müqayisə etdiyinizi, gözlənilən dəyərin haradan gəldiyini və nə vaxt olduğunu qeyd edin. Sertifikat yenidən buraxılıbsa, saxlanılan gözləntini eyni etibarlı kanal vasitəsilə yeniləyin və yeni seriya nömrəsini qeyd edin, çünki növbəti rotasiyanı auditə açıq edən seriya nömrəsidir.

Sonra məhdudiyyətlər barədə aydın olun. Barmaq izi sizdə olan sertifikatın kimsənin gözləməyinizi söylədiyi sertifikat olduğunu təsdiqləyir. O, hostun zədələnmədiyi barədə heç nə demir və xidmətin bu sertifikatın nəyə çata biləcəyini qeyd edib-etmədiyi və ya məhdudlaşdırıb-məhdudlaşdırmadığı barədə də heç nə demir.