Yr un enw ffeil ca.crt, tystysgrif wahanol: beth i’w gymharu

Mae dau broffil yn cludo ffeil o’r enw ca.crt, mae un tiwnel yn codi ac mae’r llall yn methu â gwall cadwyn. Anaml y bydd agor y ddwy ffeil ochr yn ochr yn setlo hyn, ac mae diffodd y gwirio yn ei setlo i’r cyfeiriad anghywir. Mae’r cwestiwn y mae’r gwall yn ei ofyn mewn gwirionedd yn gulach: pa dystysgrif y mae pob proses yn ei llwytho fel ei hangor ymddiriedaeth, ac a yw’r ddwy yr un gwrthrych? Atebwch hynny’n gyntaf ac mae gan weddill y diagnosis gyfeiriad. Mae enw’r ffeil yn label pecynnu, ac nid yw’r llwybr a ysgrifennwyd yn y proffil yn awdurdodol ychwaith, felly mae popeth yn dibynnu ar yr hyn y mae’r broses yn ei ddarllen mewn gwirionedd.

Dewch o hyd i’r dystysgrif y mae’r cleient yn ei lwytho mewn gwirionedd

Mae OpenVPN yn derbyn yr awdurdod ar ddwy ffurf, ac mae’r ffurf yn penderfynu pa feitiau sy’n bwysig. Gall proffil bwyntio at ffeil allanol gyda ca, neu osod y dystysgrif y tu mewn i floc <ca> yn y proffil ei hun. Pan fo’r ddau yn bodoli, y bloc sydd wedi’i osod sy’n ennill ac ni chaiff y ffeil wrth ymyl y proffil ei hagor byth.

Darllenwch y proffil sy’n methu a darganfod pa ffurf y mae’n ei defnyddio cyn cymharu unrhyw beth. Nid yw copi a dynnwyd o gyfeiriadur cyfagos, neu o’r pecyn y daeth y proffil arall ohono, yn dweud dim wrthych am yr hyn y mae’r broses hon yn ymddiried ynddo. Mae’r un peth yn wir am y llwybr yn y gosodiad: mae’n datrys yn gymharol i ble y cafodd y cleient ei gychwyn, nad yw bob amser yn gyfeiriadur yr ydych yn edrych arno. Darllenwch y proffil, nid y ffolder.

Adnabyddir tystysgrifau wrth eu cynnwys: yr allwedd gyhoeddus, y gwrthrych a’r cyhoeddwr, y ffenestr ddilysrwydd a’r llofnod dros y cyfan. Mae dwy ffeil â beitiau union yr un fath yr un dystysgrif waeth beth y’u gelwir, a gall dwy ffeil â’r un enw fod yn awdurdodau heb gysylltiad. Label pecynnu yw’r enw, nid hunaniaeth.

Ôl-fynegiwch y ddwy gopi gydag openssl

Mae ôl-bys yn hash dros godio DER y dystysgrif, y ffurf y mae’r llofnod yn ei chwmpasu, felly ni all diweddglo llinellau na thestun pennawd effeithio arno. Cyfrifwch ef ar gyfer pob ffeil ac mae gennych ddau linyn hecsadegol wedi’u gwahanu gan golon sy’n cyd-fynd neu beidio. Nid oes angen darllen unrhyw beth arall yn y dystysgrif i ateb y cwestiwn cymharu.

openssl x509 -in /etc/openvpn/office/ca.crt -noout -fingerprint -sha256
openssl x509 -in ~/profiles/lab-ca.pem -noout -fingerprint -sha256

Mae’n demtasiwn pwyntio openssl at y proffil ei hun, ond mae’n darllen pa floc tystysgrif bynnag sy’n ymddangos gyntaf yn y ffeil, ac mae proffil fel arfer yn cludo <cert> cyn <ca>. Tynnwch y bloc awdurdod, yna ôl-fynegiwch y ffeil a dynnwyd, oherwydd dyna’r copi y bydd y cleient yn ei ddefnyddio mewn gwirionedd.

sed -n '/^<ca>$/,/^<\/ca>$/p' office.ovpn | sed '1d;$d' > /tmp/office-ca.pem
openssl x509 -in /tmp/office-ca.pem -noout -fingerprint -sha256

Mae ôl-bysau union yr un fath yn golygu bod y deunydd ymddiriedaeth yr un peth a bod gan y gwall cadwyn ryw achos arall, sef ymchwiliad gwahanol. Mae ôl-bysau gwahanol yn golygu tystysgrifau gwahanol, a dyna lle mae’r adran nesaf yn dechrau.

Darllenwch anghysondeb cyn tybio ymosodiad

Mae ôl-bysau gwahanol yn golygu tystysgrifau gwahanol a dim mwy. Mae ailgyhoeddi, cylchdroi, awdurdod wedi’i ailenwi, neu gasgliad hen ffasiwn oll yn cynhyrchu ffeiliau gwahanol â hanesion hollol legitim. Pa un sy’n perthyn i’r defnyddio yn gwestiwn i’r gweithredwr neu i gofnod y defnyddio, nid i amser addasu’r ffeil. Mae archifau yn copïo stampiau amser, felly nid yw ffeil mwy newydd yn awtomatig yr angor gywir.

Mae gwreiddyn sy’n llofnodi ei hun yn normal, felly nid yw dod o hyd i un yn dystiolaeth o broblem. Gwaith y gwiriedydd yw adeiladu llwybr o dystysgrif y gweinydd i’r angor a roddwyd iddo, ac mae gwall cadwyn fel arfer yn golygu na ellid cwblhau’r llwybr hwnnw.

Gwiriwch a yw angor y proffil sy’n methu yn awdurdod y mae’r defnyddio yn dal i gyhoeddi ohoni. Os nad yw’r ôl-bys yn cyfateb i ddim yng nghofnod y defnyddio, mae’r proffil yn hen ffasiwn yn syml, ac ni fydd unrhyw addasu ar ochr y cleient yn trwsio hynny.

Trwsiwch ymddiriedaeth heb ddiffodd y gwirio

Y cyweiriad tymor byr yw diffodd y gwirio neu ychwanegu pob tystysgrif yn y gadwyn fel angor. Mae’r ddau yn gwneud i’r neges ddiflannu, ac mae’r ddau yn newid pa weinyddion y bydd y cleient yn eu derbyn o hynny ymlaen. Trowch y gwirio yn ôl ymlaen, gosodwch yr angor a fwriedir, ac ailbrofwch.

Os yw’r gadwyn nawr yn adeiladu ond gwall gwahanol yn ymddangos, mae hynny’n gynnydd: mae gwirio enw, dyddiadau dilysrwydd, ac adalw yn wiriadau ar wahân â negeseuon ar wahân. Cadwch y pâr ôl-bys a thestun gwreiddiol y gwall gyda’i gilydd yn y tocyn, fel y gwel y person nesaf pa angor a lwythwyd a pha un a ddisgwylid. Mae pâr o ôl-bysau yn ddigon bach i’w gludo i nodyn trosglwyddo, ac mae’r digwyddiad nesaf wedyn yn cymryd pum munud yn lle prynhawn.

Sicrhewch yr awdurdod gywir drwy’r un sianel ddilysedig a ddanfonodd y proffil. Mae tynnu tystysgrif oddi ar y gweinydd oherwydd bod ei gwrthrych yn edrych yn gyfarwydd yn weithred wahanol, ac mae’n ehangu’n dawel yr hyn y bydd y cleient yn ymddiried ynddo.