VPN-sertifikaadi uurimine ilma selle võtit välja andmata

Sertifikaadi avalike väljade lugemine ei nõua kunagi sellega sobiva privaatvõtme näitamist ja selleks vajalikud tööriistad tulevad kaasa iga süsteemiga, mis VPN-i lõpetab. Risk on samm varem: fail, mille te saite, ei pruugi üldse olla sertifikaat. PEM-sertifikaat, DER-blokk, PKCS#12-pakett ja OpenVPN profiil võivad saabuda sama nimega ja sisaldada väga erinevat materjali, seega tehke konteiner kindlaks enne käsu valimist.

Kolm asja otsustavad, milline käsk on ohutu: mida fail sisaldab, mida peate sellest lugema ja kes väljundit näeb. Eksige ükskõik millises neist ja uurimine ise muutub juhtumiks.

Millise kolmest failist te saite

PEM-sertifikaat on tekst nähtavate BEGIN- ja END-markeritega, DER-fail on binaarne ja vajab sisendvormingu lippu ning pakett on konteiner, mis võib hoida võtit sertifikaadi kõrval. file server.crt eraldab teksti binaarsest sekundiga ja pilk esimesele reale eraldab palja sertifikaadi profiilist, mis selle sisaldab. Just oletamine muudab uurimise juhtumiks.

Kui fail on profiil, mitte sertifikaat, käsitlege seda volitusena, kuni vastupidine on tõestatud. See eeldus ei maksa midagi ja hoiab ära kogu selle ülesande kõige levinuma vea.

PEM-sertifikaadi avalike väljade lugemine

Sertifikaadi puhul, mida tohib uurida, trükib alamkäsk x509 koos -noout ainult teie valitud väljad ja mitte midagi muud. Keha mahasurumine hoiab väljundi metaandmetel ja see teeb selle ka piletisse kleepimiseks ohutuks. Allpool olevad valijad on avalikud ja ülejäänud loetleb openssl x509 dokumentatsioon.

openssl x509 -in server.crt -noout -subject -issuer -dates -fingerprint -sha256

Kohapeal loodud testserdil trükib see käsk subjekti ja väljaandja rea, paari notBefore ja notAfter ning ühe SHA-256 sõrmejälje. Need väljad identifitseerivad objekti; need ei kehtesta kehtivat usaldusahelat, mis on eraldi kontrollimise ülesanne oma käsu ja oma vastusega. Ahelafail võib samuti trükkida ainult esimese sertifikaadi, kui te ise faili läbi ei itereeri. Kahe faili selline võrdlemine maksab ühe käsu ja selgitab, millist neist vastaspool tegelikult esitab.

Paketid, mis hoiavad võtit sertifikaadi kõrval

Fail .p12 või .pfx võib kanda privaatvõtit ja parsimiskäsk trükib selle, kui te seda väljundi osa maha ei suru. Valikuga -nokeys teatab sama käsk endiselt konteineri struktuurist, sealhulgas looritatud võtmekotist, ilma võtmematerjali väljastamata; kui selle lipu ära jätate, ilmub võtmeblokk teie terminali ja shelli ajalukku.

openssl pkcs12 -in bundle.p12 -nokeys -info -passin env:P12PASS

OpenVPN profiil sisaldab sama materjali tekstina, seega on piir nähtav, kui tead, kuhu vaadata. Avalik materjal asub BEGIN CERTIFICATE ja END CERTIFICATE vahel, samas kui kõik BEGIN PRIVATE KEY ja sellele vastava END-rea vahel on võti ja ei tohi hostist lahkuda. Profiili tervikuna kopeerimine avaldab mõlemad.

Võrdlusväärtuse hankimine mujalt

Ühendusest, mida proovite kontrollida, loetud sõrmejälg ei tõesta midagi, sest selle esitas pool, keda te ei usalda. See ei ole argument sõrmejälgede vastu; see on argument päritolu kohta. Võrrelge väärtust sellisega, mis on saadud kanali kaudu, kuhu vastaspool ei saa kirjutada, näiteks sisemises hoidlas avaldatud sertifikaat või allkirjastatud muudatuse kirjes trükitud räsi.

Kui usaldushoidla teeb valideerimise, laske tal seda teha, ja lugege viga, mille see tekitab, selle asemel et asendada see oma võrdlusega. Oluline vahe on see, kes viite esitas, mitte see, millist räsifunktsiooni kasutati.

Tulemuse jagamine ja mida teha eksimuse järel

Saatke täpne valideerimisviga, asjakohased kuupäevad ja ainult need identiteediandmed, mida adressaat vajab. Sisemised hostinimed ja kontode identifikaatorid jäävad tundlikuks ka siis, kui võtit pole, ja avalik kleepimisteenus on kõige selle jaoks vale sihtkoht. Kleepige piletisse, mitte visandmällu, mida keegi teine jagab.

Kui võtmematerjal siiski ekraanile või faili ilmus, käsitlege seda kompromiteerituna ja keerutage seda, selle asemel et loota, et keegi ei vaadanud. Seejärel kirjutage üles, millist faili uuriti, millist käsku kasutati ja kuhu väljund läks, sest just see kirje muudab hirmu protseduuriks. Keerutamine on odav võrreldes selle hinnaga, mis kaasneb eeldusega, et keegi ei salvestanud ekraanipilti, ja sama kirje ütleb järgmisele insenerile, milliseid faile üldse puudutati. Tehke mõlemad enne pileti sulgemist.