Pregled VPN certifikata bez izvoza njegovog ključa

Čitanje javnih polja certifikata nikada ne zahtijeva prikaz privatnog ključa koji mu odgovara, a alati za to dolaze sa svakim sistemom koji prekida VPN. Rizik je korak ranije: datoteka koju ste dobili možda uopće nije certifikat. PEM certifikat, DER blob, PKCS#12 paket i OpenVPN profil mogu stići pod istim imenom i sadržavati vrlo različit materijal, zato prepoznajte spremnik prije nego odaberete komandu.

Tri činjenice odlučuju koja je komanda sigurna: što datoteka sadrži, što iz nje trebate pročitati i ko će vidjeti izlaz. Pogriješite li u bilo kojoj, sama provjera postaje incident.

Koju ste od tri datoteke dobili

PEM certifikat je tekst s vidljivim oznakama BEGIN i END, DER datoteka je binarna i treba joj zastavica ulaznog formata, a paket je spremnik koji može držati ključ uz certifikat. file server.crt razdvaja tekst od binarnog u sekundi, a pogled na prvi redak razdvaja goli certifikat od profila koji ga ugrađuje. Nagađanje je ono što provjeru pretvara u incident.

Ako je datoteka profil, a ne certifikat, tretirajte je kao vjerodajnicu dok se ne dokaže suprotno. Ta pretpostavka ništa ne košta i sprječava najčešću grešku u cijelom ovom zadatku.

Čitanje javnih polja PEM certifikata

Za certifikat koji smijete pregledati, potkomanda x509 s -noout ispisuje samo polja koja odaberete i ništa drugo. Potiskivanje tijela održava izlaz na metapodacima, što ga ujedno čini sigurnim za lijepljenje u tiket. Selektorima u nastavku su javni, a dokumentacija openssl x509 navodi ostale.

openssl x509 -in server.crt -noout -subject -issuer -dates -fingerprint -sha256

Na lokalno generiranom testnom certifikatu ta komanda ispisuje redak subjekta i izdavaoca, par notBefore i notAfter te jedan SHA-256 otisak. Ta polja identificiraju objekt; ona ne uspostavljaju valjan put povjerenja, što je zaseban zadatak provjere s vlastitom komandom i vlastitim odgovorom. Datoteka lanca može ispisati samo prvi certifikat ako sami ne prođete kroz datoteku. Usporedba dviju datoteka na taj način košta jednu komandu i rješava koji od njih druga strana stvarno predstavlja.

Paketi koji drže ključ uz certifikat

Datoteka .p12 ili .pfx može nositi privatni ključ, a komanda za raščlambu ga ispisuje ako ne potisnete taj dio izlaza. Uz -nokeys ista komanda i dalje izvještava o strukturi spremnika, uključujući zamotanu vrećicu ključa, bez ispuštanja ikakvog ključnog materijala; izostavite li tu zastavicu, blok ključa pojavljuje se u vašem terminalu i u povijesti ljuske.

openssl pkcs12 -in bundle.p12 -nokeys -info -passin env:P12PASS

OpenVPN profil ugrađuje isti materijal kao tekst, pa je granica vidljiva ako znate gdje gledati. Javni materijal stoji između BEGIN CERTIFICATE i END CERTIFICATE, a sve između BEGIN PRIVATE KEY i pripadajućeg retka END jest ključ i ne smije napustiti host. Kopiranje profila u cijelosti objavljuje oboje.

Dobavljanje referentne vrijednosti s drugog mjesta

Otisak pročitan iz veze koju pokušavate provjeriti ne dokazuje ništa, jer ga je dao upravo onaj kojemu ne vjerujete. To nije argument protiv otisaka; to je argument o podrijetlu. Usporedite vrijednost s onom dobivenom kanalom u koji druga strana ne može pisati, primjerice s certifikatom objavljenim u internom spremištu ili s hashem ispisanim u potpisanom zapisu o promjeni.

Gdje spremište povjerenja obavlja provjeru, pustite ga da je obavi i pročitajte grešku koju proizvede, umjesto da je zamijenite vlastitom usporedbom. Bitna je razlika ko je dobavio referencu, a ne koja je hash funkcija korištena.

Dijeljenje rezultata i što učiniti nakon omaške

Pošaljite točnu grešku provjere, relevantne datume i samo podatke o identitetu koje primalac treba. Interna imena hostova i identifikatori računa ostaju osjetljivi čak i kad ključa nema, a javna usluga lijepljenja pogrešno je odredište za bilo što od toga. Lijepite u tiket, ne u radni međuspremnik koji neko drugi dijeli.

Ako se ključni materijal ipak pojavio na ekranu ili u datoteci, tretirajte ga kao kompromitiran i rotirajte ga umjesto da se nadate da niko nije gledao. Zatim zapišite koja je datoteka pregledana, koja je komanda korištena i kamo je otišao izlaz, jer taj zapis strah pretvara u postupak. Rotacija je jeftina prema cijeni pretpostavke da niko nije sačuvao snimku ekrana, a isti zapis govori sljedećem inženjeru koje su datoteke uopće dotaknute. Učinite oboje prije nego se tiket zatvori.