Kiel kontroli la fingrospuron de VPN-atestilo per aparta kanalo

Fingrospuro estas same fidinda kiel la kanalo, kiu diris al vi, kion atendi. Se la valoro, kun kiu vi komparas, alvenis per la sama konekto, kiun vi testas, la komparo pruvas nenion krom tio, ke tiu, kiu regas tiun konekton, estas konsekvenca. La kontrolo devas iri laŭ fiksa ordo, kaj malsukcesa paŝo devus haltigi vin anstataŭ puŝi vin al la sekva. Jen la ordo, kiun mi uzas, kiam VPN-kliento raportas, ke atestilo ŝanĝiĝis.

Nomu la objekton antaŭ ol nomi la valoron

Decidu, ĉu la atendata valoro apartenas al la folia atestilo de la servilo, al la eldonanta CA, aŭ al la publika ŝlosilo ene de la folio. Tiuj estas tri malsamaj kontroloj, kaj ili malsukcesas laŭ malsamaj manieroj. CA-fingrospuro, kiu kongruas, ne fiksas la servilon, kaj haŝo de la publika ŝlosilo intence postvivas reeldonon, kiu konservas la saman ŝlosilon.

Notu ankaŭ la algoritmon. SHA-256 estas la normala atendo nun, sed pli malnovaj iloj presis SHA-1 se vi ne petis alion, kaj 40-litera deksesuma valoro estas signo, ke vi baldaŭ komparos du malsamajn aferojn.

Elprenu la atendatan valoron per dua kanalo

La dua kanalo devas esti tia, en kiun la partio, kontraŭ kiu vi gardas vin, ne povas skribi. Provizosistemo, per kiu vi jam aŭtentikiĝas, presita registro en kesto, agorda datumbazo aŭ subskribita dokumento liverita de alia procezo ĉiuj taŭgas. Babileja mesaĝo de kolego, subtena paĝo atingita per serĉrezulto, kaj io ajn algluita en la terminalon, en kiu vi jam senerarigas, ne taŭgas.

Petu la plenan valoron kaj la algoritmon, neniam prefikson. La dupunktoj kaj la uskleco ne gravas, sed tranĉado transformas kontrolon de 256 bitoj en konjektludon.

Se neniu povas prezenti la atendatan valoron el sendependa fonto, la honesta rezulto estas, ke ĉi tiu atestilo ne povas esti kontrolita hodiaŭ. Diri tion estas pli bone ol fiksi tion, kion la kliento ĵus montris, kio transformas averton en kutimon.

Eltiru la valoron ĉe via flanko

Por atestila dosiero, la komando estas openssl x509 -in server.crt -noout -fingerprint -sha256. La eksplicita digesto gravas: sen ĝi, la eligo dependas de via OpenSSL-versio. La rezulto estas deksesuma ĉeno apartigita per dupunktoj, do forigu la dupunktojn kaj minuskligu ambaŭ flankojn antaŭ komparo.

Por finpunkto, kiu parolas TLS rekte, konektiĝu kaj tubu la atestilon eksteren: openssl s_client -connect vpn.example.com:443 -servername vpn.example.com < /dev/null | openssl x509 -noout -fingerprint -sha256. Ĉi tio funkcias por reta administra panelo aŭ TLS-auskultanto, ne por OpenVPN, kies rega kanalo sidas ene de la tunelo. Por OpenVPN, legu la atestilon el la profilo sur la disko anstataŭ provi kapti ĝin el la ingo.

La komparo devus esti mekanika. Normaligu ambaŭ valorojn per tr -d ':' kaj uskla faldado, poste komparu la tutan ĉenon. Fari ĝin per okulo estas la maniero, kiel kongrua prefikso kaŝas malkongruon en la lasta bajto. Se la ĉenoj diferencas, traktu la diferencon kiel realan antaŭ ol serĉi klarigon.

Haltaj kondiĉoj

Haltu, se la objekto diferencas, ĉar CA-fingrospuro ne povas senkulpigi folian atestilon kaj folio ne povas senkulpigi la CA. Haltu, se la algoritmo diferencas, ĉar SHA-1-valoro komparita kun SHA-256-valoro diras al vi nenion. Haltu, se la fingrospuro kongruas sed la atestilo estas eksvalidiĝinta, revokita aŭ eldonita por alia nomo; kongrua haŝo ne estas valideckontrolo kaj ne riparas rompitan ĉenon. Haltu ankaŭ, se la seria numero ne kongruas kun la seria numero en la registro, kontraŭ kiu vi kontrolas, ĉar tio estas la plej malmultekosta maniero rimarki anstataŭigitan atestilon.

Haltu, se la nova valoro alvenis per la kanalo, kiun vi testis. Rotacio povas laŭleĝe ŝanĝi fingrospuron, sed la anstataŭa valoro tamen devas veni el la fidinda procezo, ne el la averta dialogo, kiu kaŭzis la demandon.

Haltu, se la proponita ripeto estas malŝalti la kontrolon de gastignomo aŭ de la ĉeno. Fingrospuro aldonas limigon al la normalaj kontroloj; ĝi ne anstataŭas ilin krom se la deplojo intence elektis modelon nur-pin, kaj tiu elekto portas proprajn operaciajn kostojn.

Post la komparo

Registru, kion vi komparis, de kie venis la atendata valoro kaj kiam. Se la atestilo estis reeldonita, ĝisdatigu la konservitan atendo per la sama fidinda kanalo kaj notu la novan serian numeron, ĉar la seria numero estas tio, kio faras la sekvan rotacion aŭdebla.

Poste estu klara pri la limoj. Fingrospuro konfirmas, ke la atestilo, kiun vi havas, estas tiu, kies atendo iu diris al vi. Ĝi diras nenion pri tio, ĉu la gastiganto estas nekompromitita, nek pri tio, ĉu la servo protokolas aŭ limigas, kion tiu atestilo povas atingi.