Kontroli VPN-atestilon sen elŝuti ĝian ŝlosilon

Legi la publikajn kampojn de atestilo neniam postulas montri la privatan ŝlosilon, kiu kongruas kun ĝi, kaj la iloj por tio venas kun ĉiu sistemo, kiu finas VPN-on. La risko kuŝas unu paŝon pli frue: la dosiero, kiun oni donis al vi, eble tute ne estas atestilo. PEM-atestilo, DER-bloko, PKCS#12-pakaĵo kaj OpenVPN-profilo povas alveni sub la sama nomo kaj enhavi tre malsaman materialon, do identigu la ujon antaŭ ol elekti komandon.

Tri faktoj decidas, kiu komando estas sekura: kion la dosiero enhavas, kion vi devas legi el ĝi, kaj kiu vidos la eligon. Eraru pri iu ajn el ili, kaj la kontrolo mem fariĝas la incidento.

Kiun el la tri dosieroj vi ricevis

PEM-atestilo estas teksto kun videblaj markiloj BEGIN kaj END, DER-dosiero estas binara kaj bezonas flagon pri eniga formato, kaj pakaĵo estas ujo, kiu povas teni ŝlosilon apud la atestilo. file server.crt apartigas tekston de binara enhavo en sekundo, kaj rigardo al la unua linio apartigas nudan atestilon de profilo, kiu enigas unu. Supozado ĉi tie estas tio, kio igas kontrolon incidento.

Se la dosiero estas profilo kaj ne atestilo, traktu ĝin kiel akreditaĵon ĝis la malo estos pruvita. Tiu supozo nenion kostas, kaj ĝi malhelpas la plej oftan eraron en ĉi tiu tuta tasko.

Legi la publikajn kampojn de PEM-atestilo

Por atestilo, kiun vi rajtas kontroli, la subkomando x509 kun -noout presas nur la kampojn, kiujn vi elektas, kaj nenion alian. Subpremi la korpon estas tio, kio tenas la eligon ĉe metadatenoj, kaj ĝi ankaŭ igas ĝin sekura por alglui en bileton. La selektiloj sube estas la publikaj, kaj la dokumentaro de openssl x509 listigas la ceterajn.

openssl x509 -in server.crt -noout -subject -issuer -dates -fingerprint -sha256

Sur loke generita testa atestilo tiu komando presas linion pri subjekto kaj eldoninto, la paron notBefore kaj notAfter, kaj unu SHA-256-fingrospuron. Tiuj kampoj identigas la objekton; ili ne starigas validan fido-vojon, kio estas aparta kontroltasko kun propra komando kaj propra respondo. Ĉena dosiero ankaŭ povas presi nur la unuan atestilon, se vi mem ne trairas la dosieron. Kompari du dosierojn tiel kostas unu komandon kaj decidas, kiun el ili la kontraŭulo efektive prezentas.

Pakaĵoj, kiuj tenas ŝlosilon apud la atestilo

Dosiero .p12 aŭ .pfx povas porti privatan ŝlosilon, kaj la analiza komando presas ĝin, se vi ne subpremas tiun parton de la eligo. Kun -nokeys la sama komando ankoraŭ raportas la strukturon de la ujo, inkluzive kaŝitan ŝlosilsakon, sen eligi ian ŝlosilan materialon; forigu tiun flagon kaj ŝlosilbloko aperas en via terminalo kaj en via ŝela historio.

openssl pkcs12 -in bundle.p12 -nokeys -info -passin env:P12PASS

OpenVPN-profilo enigas la saman materialon kiel teksto, do la limo estas videbla, se vi scias, kie rigardi. Publika materialo staras inter BEGIN CERTIFICATE kaj END CERTIFICATE, dum ĉio inter BEGIN PRIVATE KEY kaj ĝia responda END-linio estas la ŝlosilo kaj ne rajtas forlasi la gastiganton. Kopii la profilon tute publikigas ambaŭ.

Akiri la referencan valoron aliloke

Fingrospuro legita el la konekto, kiun vi provas kontroli, pruvas nenion, ĉar ĝin liveris la partio, kiun vi malŝatas. Tio ne estas argumento kontraŭ fingrospuroj; ĝi estas argumento pri deveno. Komparu la valoron kun tiu akirita per kanalo, en kiun la kontraŭulo ne povas skribi, ekzemple la atestilo publikigita en interna deponejo aŭ la haŝo presita en subskribita ŝanĝprotokolo.

Kie fida deponejo faras la validigon, lasu ĝin fari tion, kaj legu la eraron, kiun ĝi produktas, anstataŭ anstataŭigi ĝin per via propra komparo. La grava distingo estas, kiu liveris la referencon, ne kiun haŝan funkcion oni uzis.

Kunhavigi la rezulton kaj kion fari post eraro

Sendu la precizan validigan eraron, la rilatajn datojn kaj nur la identecajn detalojn, kiujn la ricevanto bezonas. Internaj gastignomoj kaj kontaj identigiloj restas sentemaj eĉ kiam neniu ŝlosilo ĉeestas, kaj publika algluservo estas la malĝusta celloko por io ajn el tio. Algluu en la bileton, ne en provizoran bufron, kiun kunhavigas iu alia.

Se ŝlosila materialo tamen aperis sur la ekrano aŭ en dosiero, traktu ĝin kiel kompromititan kaj rotaciu ĝin anstataŭ esperi, ke neniu rigardis. Poste notu, kiun dosieron vi kontrolis, kiun komandon vi uzis kaj kien iris la eligo, ĉar tiu protokolo estas tio, kio transformas timon en proceduron. Rotacio malmultekostas kompare kun la kosto supozi, ke neniu konservis ekrankopion, kaj la sama protokolo diras al la sekva inĝeniero, kiujn dosierojn oni entute tuŝis. Faru ambaŭ antaŭ ol la bileto fermiĝos.