Sut i wirio ôl-bys tystysgrif VPN ar draws sianel arall

Rhaid trin ôl-bys cystal â’r sianel a ddywedodd wrthych beth i’w ddisgwyl. Os daeth y gwerth rydych yn cymharu ag ef drwy’r un cysylltiad rydych yn ei brofi, nid yw’r gymhariaeth yn profi dim y tu hwnt i’r ffaith bod pwy bynnag sy’n rheoli’r cysylltiad hwnnw yn gyson. Rhaid i’r gwiriad redeg mewn trefn sefydlog, ac fe ddylai cam sydd wedi methu eich stopio yn lle eich gwthio i’r nesaf. Dyma’r drefn a ddefnyddiaf pan fydd cleient VPN yn nodi bod tystysgrif wedi newid.

Enwch y gwrthrych cyn enwi’r gwerth

Penderfynwch a yw’r gwerth disgwyliedig yn perthyn i dystysgrif ddeilen y gweinydd, i’r CA sy’n ei dyroddi, ynteu i’r allwedd gyhoeddus y tu mewn i’r ddeilen. Mae’r rhain yn dri gwiriad gwahanol ac maent yn methu mewn ffyrdd gwahanol. Nid yw ôl-bys CA sy’n cyfateb yn pinio’r gweinydd, ac mae hash allwedd gyhoeddus yn goroesi’n fwriadol ailddyroddiad sy’n cadw’r un allwedd.

Ysgrifennwch yr algorithm hefyd. SHA-256 yw’r disgwyliad arferol erbyn hyn, ond roedd offer hŷn yn argraffu SHA-1 oni bai eich bod yn gofyn am rywbeth arall, ac mae gwerth hecs 40 nod yn arwydd eich bod ar fin cymharu dau beth gwahanol.

Tynnwch y gwerth disgwyliedig drwy ail sianel

Rhaid i’r ail sianel fod yn un na all y parti rydych yn gwarchod rhagddo ysgrifennu iddi. Mae system ddarparu rydych eisoes yn dilysu iddi, cofnod printiedig mewn sêff, cronfa ddata ffurfweddu, neu ddogfen wedi’i lofnodi a ddanfonwyd gan broses arall i gyd yn gymwys. Nid yw neges sgwrs gan gydweithiwr, tudalen gymorth a gyrhaeddwyd drwy ganlyniad chwilio, na dim byd a lapiwyd i’r derfynell rydych eisoes yn dadfygio ynddi yn gymwys.

Gofynnwch am y gwerth cyflawn a’r algorithm, byth am ragosodiad. Nid oes ots am y colons na maint y llythrennau, ond mae cwtogi yn troi gwiriad o 256 did yn gêm ddyfalu.

Os na all neb gynhyrchu’r gwerth disgwyliedig o ffynhonnell annibynnol, y canlyniad gonest yw na ellir gwirio’r dystysgrif hon heddiw. Mae dweud hynny yn well na phinio’r hyn a ddangosodd y cleient gynnau, sy’n troi rhybudd yn arfer.

Tynnwch y gwerth ar eich ochr eich hun

Ar gyfer ffeil dystysgrif, y gorchymyn yw openssl x509 -in server.crt -noout -fingerprint -sha256. Mae’r digest penodol yn bwysig: hebddo, mae’r allbwn yn dibynnu ar eich fersiwn OpenSSL. Llinyn hecs wedi’i wahanu gan golonau yw’r canlyniad, felly tynnwch y colons a throi’r ddwy ochr yn llythrennau bach cyn cymharu.

Ar gyfer pwynt terfyn sy’n siarad TLS yn uniongyrchol, cysylltwch a phibellu’r dystysgrif allan: openssl s_client -connect vpn.example.com:443 -servername vpn.example.com < /dev/null | openssl x509 -noout -fingerprint -sha256. Mae hyn yn gweithio ar gyfer panel gweinyddol gwe neu wrandawr TLS, nid ar gyfer OpenVPN, y mae ei sianel reoli y tu mewn i’r twnnel. Ar gyfer OpenVPN, darllenwch y dystysgrif o’r proffil ar y disg yn lle ceisio ei chipio o’r soced.

Dylai’r gymhariaeth fod yn fecanyddol. Normaleiddiwch y ddau werth gyda tr -d ':' a throad i lythrennau bach, yna cymharwch y llinyn cyfan. Cymharu â’r llygad yw’r ffordd y mae rhagosodiad cyfatebol yn cuddio anghysondeb yn y beit olaf. Os yw’r llinynnau yn wahanol, triniwch y gwahaniaeth fel un go iawn cyn chwilio am esboniad.

Amodau stopio

Stopiwch os yw’r gwrthrych yn wahanol, oherwydd ni all ôl-bys CA ryddhau tystysgrif ddeilen ac ni all deilen ryddhau’r CA. Stopiwch os yw’r algorithm yn wahanol, oherwydd nid yw gwerth SHA-1 wedi’i gymharu â gwerth SHA-256 yn dweud dim wrthych. Stopiwch os yw’r ôl-bys yn cyfateb ond bod y dystysgrif wedi dod i ben, wedi’i dadffurfio neu wedi’i dyroddi ar gyfer enw gwahanol; nid yw hash cyfatebol yn wiriad dilysrwydd ac nid yw’n trwsio cadwyn sydd wedi torri. Stopiwch hefyd os nad yw’r rhif cyfresol yn cyfateb i’r rhif cyfresol yn y cofnod rydych yn gwirio yn ei erbyn, gan mai dyma’r ffordd rataf o sylwi ar dystysgrif wedi’i disodli.

Stopiwch os daeth y gwerth newydd drwy’r sianel roeddech yn ei phrofi. Gall cylchdroi newid ôl-bys yn gyfreithlon, ond rhaid i’r gwerth amnewid ddod o’r broses ymddiriedig o hyd, nid o’r deialog rhybudd a achlysurodd y cwestiwn.

Stopiwch os yw’r atrysiad a awgrymir yn diffodd gwirio enw’r gwesteiwr neu’r gadwyn. Mae ôl-bys yn ychwanegu cyfyngiad at y gwiriadau arferol; nid yw’n eu disodli oni bai bod y defnydd wedi dewis model pin-yn-unig yn fwriadol, ac mae’r dewisiad hwnnw yn gysylltiedig â chostau gweithredol ei hun.

Ar ôl y gymhariaeth

Cofnodwch beth a gymharwyd gennych, o ble daeth y gwerth disgwyliedig, a phryd. Os ailddyroddwyd y dystysgrif, diweddarwch y disgwyliad a storiwyd drwy’r un sianel ymddiriedig a nodwch y rhif cyfresol newydd, gan mai’r rhif cyfresol sy’n gwneud y cylchdro nesaf yn archwiladwy.

Yna byddwch yn glir am y terfynau. Mae ôl-bys yn cadarnhau mai’r dystysgrif sydd gennych yw’r un y dywedodd rhywun wrthych i’w disgwyl. Nid yw’n dweud dim am y gwesteiwr fod yn gyfaddawd, nac am a yw’r gwasanaeth yn cofnodi neu’n cyfyngu ar beth y gall y dystysgrif honno ei gyrraedd.