Sama failinimi ca.crt, erinev sertifikaat: mida võrrelda

Kaks profiili toovad mõlemad faili nimega ca.crt, üks tunnel tõuseb ja teine ebaõnnestub ahela veaga. Kahe faili kõrvuti avamine harva lahendab selle, ja kontrollimise väljalülitamine lahendab selle vales suunas. Küsimus, mida viga tegelikult küsib, on kitsam: millise sertifikaadi iga protsess oma usaldusankruna laadib, ja kas need kaks on sama objekt? Vastake sellele kõigepealt ja ülejäänud diagnoos saab suuna. Failinimi on pakendi silt ja profiilis kirjas olev tee ei ole samuti autoriteetne, seega sõltub kõik sellest, mida protsess tegelikult loeb.

Leidke sertifikaat, mille klient tegelikult laadib

OpenVPN võtab asutuse vastu kahel kujul ja kuju otsustab, millised baidid loevad. Profiil võib osutada välisele failile ca abil või sertifikaadi profiili enda sisse <ca> plokki põimida. Kui mõlemad on olemas, võidab põimitud plokk ja profiili kõrval olevat faili ei avata kunagi.

Lugege ebaõnnestuvat profiili ja tehke kindlaks, millist kuju see kasutab, enne kui midagi võrdlete. Naaberkataloogist või paketist, kust teine profiil tuli, võetud koopia ei ütle teile midagi selle kohta, mida see protsess usaldab. Sama kehtib konfiguratsioonis oleva tee kohta: see lahendatakse suhteliselt kohast, kus klient käivitati, mis ei ole alati kataloog, mida te vaatate. Lugege profiili, mitte kausta.

Sertifikaadid tuvastatakse nende sisu järgi: avalik võti, subjekt ja väljaandja, kehtivusaken ja kõige selle kohal olev allkiri. Kaks identsete baitidega faili on sama sertifikaat, ükskõik kuidas neid nimetatakse, ja kaks sama nimega faili võivad olla seostamata asutused. Nimi on pakendi silt, mitte identiteet.

Tehke mõlema koopia sõrmejälg openssl-iga

Sõrmejälg on räsi sertifikaadi DER-kodeeringu kohal, vorm, mida allkiri katab, seega rea lõpud ja päise tekst ei saa seda mõjutada. Arvutage see iga faili jaoks ja teil on kaks kooloniga eraldatud kuueteistkümnendsüsteemi stringi, mis kas klapivad või mitte. Võrdlusküsimusele vastamiseks ei pea sertifikaadis midagi muud lugema.

openssl x509 -in /etc/openvpn/office/ca.crt -noout -fingerprint -sha256
openssl x509 -in ~/profiles/lab-ca.pem -noout -fingerprint -sha256

openssl on ahvatlev suunata profiili enda pihta, kuid see loeb failis esimesena esinevat sertifikaadiplokki ja profiil kannab tavaliselt <cert> enne <ca>. Eemaldage asutuse plokk ja tehke seejärel eemaldatud faili sõrmejälg, sest see on koopia, mida klient tegelikult kasutab.

sed -n '/^<ca>$/,/^<\/ca>$/p' office.ovpn | sed '1d;$d' > /tmp/office-ca.pem
openssl x509 -in /tmp/office-ca.pem -noout -fingerprint -sha256

Identsed sõrmejäljed tähendavad, et usaldusmaterjal on sama ja ahela veal on mõni muu põhjus, mis on eraldi uurimine. Erinevad sõrmejäljed tähendavad erinevaid sertifikaate ja just sealt algab järgmine osa.

Lugege lahknevust enne, kui eeldate rünnet

Erinevad sõrmejäljed tähendavad erinevaid sertifikaate ja ei midagi enamat. Uuesti väljaandmine, rotatsioon, ümbernimetatud asutus või vananenud kimp tekitavad kõik erinevad failid täiesti seaduslike ajalugudega. Milline neist kuulub juurutamisse, on küsimus operaatorile või juurutuskirjele, mitte faili muutmise ajale. Arhiivid kopeerivad ajatempleid, seega uuem fail ei ole automaatselt õige ankur.

Iseennast allkirjastav juur on normaalne, seega selle leidmine ei ole probleemi tõestus. Kontrollija ülesanne on ehitada tee serveri sertifikaadist kuni ankruna antud objektini ja ahela viga tähendab tavaliselt, et seda teed ei saanud lõpetada.

Kontrollige, kas ebaõnnestuva profiili ankur on asutus, kust juurutamine veel sertifikaate väljastab. Kui sõrmejälg ei klapi millegagi juurutuskirjes, on profiil lihtsalt vananenud ja ükski kliendipoolne häälestus seda ei paranda.

Parandage usaldus ilma kontrollimist välja lülitamata

Lühiajaline lahendus on kontrollimine välja lülitada või lisada iga ahela sertifikaat ankruna. Mõlemad panevad sõnumi kaduma ja mõlemad muudavad seda, milliseid servereid klient edaspidi aktsepteerib. Lülitage kontrollimine uuesti sisse, paigaldage kavandatud ankur ja testige uuesti.

Kui ahel nüüd ehitatakse, kuid ilmub teine viga, on see edasiminek: nimekontroll, kehtivuskuupäevad ja tühistamine on eraldi kontrollid eraldi sõnumitega. Hoidke sõrmejälgede paar ja algne veatekst koos piletis, et järgmine inimene näeks, milline ankur laaditi ja millist oodati. Sõrmejälgede paar on piisavalt väike, et kleepida üleandmismärkusse, ja järgmine juhtum võtab siis viis minutit pool päeva asemel.

Hankige õige asutus sama autenditud kanali kaudu, mis profiili tarnis. Sertifikaadi serverist tõmbamine sellepärast, et selle subjekt tundub tuttav, on teine tegu ja see laiendab vaikselt seda, mida klient usaldab.