VPN ziurtagiria aztertu gakoa kanporatu gabe

Ziurtagiri baten eremu publikoak irakurtzeak ez du inoiz behar harekin bat datorren gako pribatua erakustea, eta horretarako tresnak VPN bat amaitzen duen sistema guztiekin datoz. Arriskua pauso bat lehenago dago: eman dizuten fitxategia agian ez da ziurtagiri bat ere. PEM ziurtagiri batek, DER bloke batek, PKCS#12 pakete batek eta OpenVPN profil batek izen berarekin iritsi eta material oso desberdina izan dezakete, beraz, identifikatu edukiontzia komandoa aukeratu aurretik.

Hiru faktak erabakitzen dute zein komando den segurua: fitxategiak zer duen, hortik zer irakurri behar duzun eta nork ikusiko duen irteera. Huts egin horietako edozeinetan, eta azterketa bera bihurtzen da gertaera.

Hiru fitxategietatik zein eman dizuten

PEM ziurtagiri bat BEGIN eta END markatzaile ikusgarriak dituen testua da, DER fitxategia bitarra da eta sarrera-formatuko bandera bat behar du, eta pakete bat ziurtagiriaren ondoan gako bat gorde dezakeen edukiontzia da. file server.crt komandoak segundo batean bereizten ditu testua eta bitarra, eta lehen lerroari begiratzeak ziurtagiri soila eta bat txertatzen duen profila bereizten ditu. Hemen asmatzea da azterketa gertaera bihurtzen duena.

Fitxategia ziurtagiri bat baino profil bat bada, tratatu kredentzial gisa kontrakoa frogatu arte. Suposizio horrek ez du ezer kostatzen, eta zeregin osoan ohikoena den akatsa saihesten du.

PEM ziurtagiri baten eremu publikoak irakurtzea

Aztertzeko baimena duzun ziurtagiri baterako, x509 azpikomandoak -noout-ekin soilik zuk aukeratutako eremuak inprimatzen ditu eta besterik ez. Gorputza ezabatzea da irteera metadatuetan mantentzen duena, eta horrexek egiten du txartel batera itsasteko seguru. Beheko hautatzaileak publikoak dira, eta openssl x509 dokumentazioak gainerakoak zerrendatzen ditu.

openssl x509 -in server.crt -noout -subject -issuer -dates -fingerprint -sha256

Tokian sortutako proba-ziurtagiri batean komando horrek subjektuaren eta jaulkitzailearen lerroa, notBefore eta notAfter bikotea eta SHA-256 hatz-marka bat inprimatzen ditu. Eremu horiek objektua identifikatzen dute; ez dute konfiantza-bide baliozkorik ezartzen, eta hori bere komandoa eta bere erantzuna dituen egiaztatze-zeregin bereizia da. Kate-fitxategi batek lehen ziurtagiria bakarrik inprima dezake, zuk zeuk fitxategian zehar iteratzen ez baduzu. Bi fitxategi horrela alderatzeak komando bakarra kostatzen du eta pareak benetan zein aurkezten duen argitzen du.

Ziurtagiriaren ondoan gakoa duten paketeak

.p12 edo .pfx fitxategi batek gako pribatu bat eraman dezake, eta analisi-komandoak inprimatu egiten du irteeraren zati hori ezabatzen ez baduzu. -nokeys-ekin komando berak edukiontziaren egitura jakinarazten jarraitzen du, gako-zaku estalia barne, gako-materialik igorri gabe; bandera hori kenduta, gako-bloke bat agertzen da zure terminalean eta zure shellaren historian.

openssl pkcs12 -in bundle.p12 -nokeys -info -passin env:P12PASS

OpenVPN profil batek material bera txertatzen du testu gisa, beraz, muga ikusgai dago non begiratu jakinez gero. Material publikoa BEGIN CERTIFICATE eta END CERTIFICATE artean dago, eta BEGIN PRIVATE KEY eta hari dagokion END lerroaren arteko guztia gakoa da eta ezin du hosta utzi. Profila osorik kopiatzeak biak argitaratzen ditu.

Erreferentzia-balioa beste nonbaitetik lortzea

Egiaztatu nahi duzun konexiotik irakurritako hatz-markak ez du ezer frogatzen, mesfidatzen zaren alderdiak eman baitu. Hori ez da hatz-marken aurkako argudioa; jatorriari buruzko argudioa da. Alderatu balioa pareak idatzi ezin duen kanal baten bidez lortutako batekin, hala nola barne-biltegi batean argitaratutako ziurtagiriarekin edo sinatutako aldaketa-erregistro batean inprimatutako hashekin.

Konfiantza-biltegi batek baliozkotzea egiten duenean, utzi egin dezala, eta irakurri sortzen duen errorea zure alderaketa ordezkatu beharrean. Garrantzitsua den bereizketa erreferentzia nork eman zuen da, ez zein hash funtzio erabili zen.

Emaitza partekatzea eta huts baten ondoren zer egin

Bidali baliozkotze-errore zehatza, dagozkion datak eta hartzaileak behar dituen identitate-xehetasunak bakarrik. Barneko host-izenak eta kontu-identifikatzaileak sentikorrak izaten jarraitzen dute gakorik ez dagoenean ere, eta itsasteko zerbitzu publiko bat toki okerra da horietako edozeinentzat. Itsatsi txartelean, ez beste norbaitek partekatzen duen buffer batera.

Gako-materiala pantailan edo fitxategi batean agertu bada, tratatu konprometitutzat eta biratu, inork begiratu ez duelako itxaropenaren ordez. Ondoren idatzi zein fitxategi aztertu zen, zein komando erabili zen eta nora joan zen irteera, erregistro hori baita beldurra prozedura bihurtzen duena. Biraketa merkea da inork pantaila-argazkirik gorde ez duelako suposatzearen kostuaren aldean, eta erregistro berak hurrengo ingeniariari esaten dio zein fitxategi ukitu ziren behintzat. Egin biak txartela itxi aurretik.