Archwilio tystysgrif VPN heb ollwng ei hallwedd

Nid yw darllen meysydd cyhoeddus tystysgrif byth yn gofyn am ddangos yr allwedd breifat sy'n cyfateb iddi, ac mae'r offer i wneud hynny'n dod gyda phob system sy'n terfynu VPN. Mae'r risg un cam yn gynharach: efallai nad tystysgrif yw'r ffeil a roddwyd i chi o gwbl. Gall tystysgrif PEM, blob DER, pecyn PKCS#12 a phroffil OpenVPN gyrraedd o dan yr un enw a chynnwys deunydd hollol wahanol, felly nodwch y cynhwysydd cyn i chi ddewis gorchymyn.

Mae tri ffaith yn penderfynu pa orchymyn sy'n ddiogel: beth sydd yn y ffeil, beth sydd angen i chi ei ddarllen ohoni, a phwy fydd yn gweld yr allbwn. Camgymerwch unrhyw un ohonynt a daw'r archwiliad ei hun yn ddigwyddiad.

Pa un o'r tair ffeil a roddwyd i chi

Mae tystysgrif PEM yn destun â marciau BEGIN ac END gweladwy, mae ffeil DER yn ddeuaidd ac angen baner fformat mewnbwn, ac mae pecyn yn gynhwysydd a all ddala allwedd wrth ochr y dystysgrif. Mae file server.crt yn gwahanu testun oddi wrth ddeuaidd mewn eiliad, ac mae trem ar y llinell gyntaf yn gwahanu tystysgrif noeth oddi wrth broffil sy'n mewnosod un. Dyfalu yma sy'n troi archwiliad yn ddigwyddiad.

Os proffil yw'r ffeil yn hytrach na thystysgrif, triniwch hi fel cymhwyster nes profir fel arall. Nid yw'r dybiaeth hon yn costio dim, ac mae'n atal y camgymeriad mwyaf cyffredin yn y dasg gyfan.

Darllen meysydd cyhoeddus tystysgrif PEM

Ar gyfer tystysgrif yr ydych wedi'ch awdurdodi i'w harchwilio, mae'r is-orchymyn x509 gyda -noout yn argraffu'r meysydd a ddewiswch a dim arall. Gostwng y corff sy'n cadw'r allbwn yn fetadata, a dyna hefyd sy'n ei wneud yn ddiogel i'w ludo i docyn. Y dewiswyr isod yw'r rhai cyhoeddus, ac mae dogfennaeth openssl x509 yn rhestru'r gweddill.

openssl x509 -in server.crt -noout -subject -issuer -dates -fingerprint -sha256

Ar dystysgrif brawf a gynhyrchwyd yn lleol mae'r gorchymyn hwnnw'n argraffu llinell pwnc ac anfonwr, y pâr notBefore a notAfter, ac un marc bys SHA-256. Mae'r meysydd hynny'n adnabod y gwrthrych; nid ydynt yn sefydlu llwybr ymddiriedaeth dilys, sy'n dasg dilysu ar wahân â'i gorchymyn ei hun a'i ateb ei hun. Gall ffeil gadwyn argraffu'r dystysgrif gyntaf yn unig oni bai eich bod chi'n ailadrodd dros y ffeil eich hun. Mae cymharu dwy ffeil fel hyn yn costio un gorchymyn ac yn setlo pa un y mae'r cymar yn ei gyflwyno mewn gwirionedd.

Pecynnau sy'n dal allwedd wrth ochr y dystysgrif

Gall ffeil .p12 neu .pfx gario allwedd breifat, ac mae'r gorchymyn dosrannu yn ei hargraffu oni bai eich bod yn gostwng y rhan honno o'r allbwn. Gyda -nokeys mae'r un gorchymyn yn dal i adrodd strwythur y cynhwysydd, gan gynnwys bag allwedd gorchuddiedig, heb ollwng unrhyw ddeunydd allwedd; hepwch y faner honno ac mae bloc allwedd yn ymddangos yn eich terfynell ac yn hanes eich plisgyn.

openssl pkcs12 -in bundle.p12 -nokeys -info -passin env:P12PASS

Mae proffil OpenVPN yn mewnosod yr un deunydd fel testun, felly mae'r ffin yn weladwy os gwyddoch ble i edrych. Mae deunydd cyhoeddus rhwng BEGIN CERTIFICATE ac END CERTIFICATE, tra bod unrhyw beth rhwng BEGIN PRIVATE KEY a'i linell END gyfatebol yn allwedd ac ni ddylai adael y gwesteiwr. Mae copïo'r proffil yn gyfan yn cyhoeddi'r ddau.

Cael y gwerth cyfeirio o rywle arall

Nid yw marc bys a ddarllenwyd o'r cysylltiad yr ydych yn ceisio ei ddilysu yn profi unrhyw beth, oherwydd y parti yr ydych yn ei amau a'i darparodd. Nid yw hynny'n ddadl yn erbyn marciau bys; mae'n ddadl am darddiad. Cymharwch y gwerth ag un a gafwyd trwy sianel na all y cymar ysgrifennu iddi, fel y dystysgrif a gyhoeddwyd mewn storfa fewnol neu'r hash a argraffwyd mewn cofnod newid wedi'i lofnodi.

Lle mae storfa ymddiriedaeth yn gwneud y dilysu, gadewch iddi wneud hynny, a darllenwch y gwall a gynhyrcha yn lle rhoi eich cymhariaeth eich hun yn ei le. Y gwahaniaeth sy'n bwysig yw pwy a ddarparodd y cyfeiriad, nid pa swyddogaeth hash a ddefnyddiwyd.

Rhannu'r canlyniad, a beth i'w wneud ar ôl slip

Anfonwch y gwall dilysu union, y dyddiadau perthnasol a dim ond y manylion adnabod sydd eu hangen ar y derbynnydd. Mae enwau gwesteiwr mewnol a dynodwyr cyfrif yn parhau'n sensitif hyd yn oed pan nad oes allwedd, ac mae gwasanaeth gludo cyhoeddus yn gyrchfan anghywir ar gyfer unrhyw un ohonynt. Gludwch i'r tocyn, nid i fwfer crafu y mae rhywun arall yn ei rannu.

Os ymddangosodd deunydd allwedd ar y sgrin neu mewn ffeil, triniwch ef fel un sydd wedi'i gyfaddawdu a'i gylchdroi yn lle gobeithio na chymerodd neb sylw. Yna nodwch pa ffeil a archwiliwyd, pa orchymyn a ddefnyddiwyd a ble aeth yr allbwn, oherwydd y cofnod hwnnw sy'n troi braw yn weithdrefn. Mae cylchdroi yn rhad o'i gymharu â chost tybio na chadwodd neb sgrinlun, ac mae'r un cofnod yn dweud wrth yr peiriannydd nesaf pa ffeiliau a gyffyrddwyd o gwbl. Gwnewch y ddau cyn i'r tocyn gael ei gau.