Nola egiaztatu VPN ziurtagiri baten hatz-marka kanal independente batetik

Hatz-marka bat berdin balio du zer espero duzun esan dizun kanalak adina. Konparatzen ari zaren balioa probatzen ari zaren konexio beretik iritsi bada, konparazioak ez du ezer frogatzen konexio hori kontrolatzen duena koherentea dela besterik. Egiaztapenak ordena finko bat jarraitu behar du, eta huts egindako urrats batek geldiarazi behar zaitu hurrengora bultzatu beharrean. Hau da VPN bezero batek ziurtagiri bat aldatu dela jakinarazten duenean erabiltzen dudan ordena.

Izen eman objektuari, balioari izen eman aurretik

Erabaki balio esperotua zerbitzariaren hosto-ziurtagiriarena den, hura jaulkitzen duen CAarena ala hostoaren barruko gako publikoarena. Hiru egiaztapen desberdin dira eta modu desberdinean huts egiten dute. Bat datorren CA hatz-markak ez du zerbitzaria finkatzen, eta gako publikoaren hash batek berariaz gainditzen du gako bera mantentzen duen berrjaulkipen bat.

Ohar ezazu algoritmoa ere. SHA-256 da gaur egungo itxaropen arrunta, baina tresna zaharrek SHA-1 inprimatzen zuten beste zerbait eskatzen ez bazenuen, eta 40 karaktereko hex balio bat bi gauza desberdin konparatzear zaudela adierazten du.

Eskuratu balio esperotua bigarren kanal batetik

Bigarren kanalak halakoa izan behar du non zaintzen ari zaren alderdiak ezin duen idatzi. Jada autentifikatzen zaren hornikuntza-sistema batek, kutxa gotor batean gordetako erregistro inprimatu batek, konfigurazio-datu-base batek edo beste prozesu batek emandako dokumentu sinatu batek baldintza betetzen dute. Lankide baten txat-mezuak, bilaketa-emaitza baten bidez iritsitako laguntza-orriak eta dagoeneko arazten ari zaren terminalean itsatsitako edozein gauzak ez dute betetzen.

Eskatu balio osoa eta algoritmoa, inoiz ez aurrizki bat. Bi puntuek eta letra larri edo xeheek ez dute axola, baina mozketak 256 biteko egiaztapena asmakizun-joko bihurtzen du.

Inork iturri independente batetik balio esperotua eman ezin badu, emaitza zintzoa da ziurtagiri hau ezin dela gaur egiaztatu. Hori esatea bezeroak une honetan erakutsi duena finkatzea baino hobea da, izan ere horrek abisua ohitura bihurtzen du.

Atera balioa zure aldean

Ziurtagiri-fitxategi baterako, komandoa openssl x509 -in server.crt -noout -fingerprint -sha256 da. Digest esplizitua garrantzitsua da: hura gabe, irteera zure OpenSSL bertsioaren araberakoa da. Emaitza bi puntuz bereizitako hex katea da, beraz kendu bi puntuak eta bi aldeak minuskula bihurtu konparatu aurretik.

TLS zuzenean hitz egiten duen muturrerako, konektatu eta bidali ziurtagiria kanaletik kanpora: openssl s_client -connect vpn.example.com:443 -servername vpn.example.com < /dev/null | openssl x509 -noout -fingerprint -sha256. Honek web administrazio-panel baterako edo TLS entzule baterako balio du, ez OpenVPN-erako, zeinaren kontrol-kanala tunelaren barruan baitago. OpenVPN-rako, irakurri ziurtagiria diskoan dagoen profiletik, socketetik harrapatzen saiatu beharrean.

Konparazioak mekanikoa izan behar du. Normalizatu bi balioak tr -d ':' eta letra-xehe bihurtzearekin, eta gero konparatu kate osoa. Begiz egitea da aurrizki bat datozenak azken byteko desadostasuna ezkutatzen duen modua. Kateak desberdinak badira, tratatu aldea erreala den bezala azalpena bilatu aurretik.

Gelditzeko baldintzak

Gelditu objektua desberdina bada, CA hatz-markak ezin duelako hosto-ziurtagiri bat garbitu eta hosto batek ezin duelako CA garbitu. Gelditu algoritmoa desberdina bada, SHA-1 balio bat SHA-256 balio batekin alderatzeak ez dizulako ezer esaten. Gelditu hatz-marka bat badator baina ziurtagiria iraungita, baliogabetuta edo beste izen baterako jaulkita badago; hash bat datorrenak ez du baliozkotasun-egiaztapenik egiten eta ez du kate hautsia konpontzen. Gelditu ere serie-zenbakia egiaztatzen ari zaren erregistroko serie-zenbakiarekin bat ez badator, hori delako ziurtagiri ordezkatu bat antzemateko modurik merkeena.

Gelditu balio berria probatzen ari zinen kanaletik iritsi bada. Errotazioak hatz-marka bat legez alda dezake, baina ordezko balioak prozesu fidagarritik etorri behar du oraindik, galdera eragin zuen abisu-leihotik eta ez.

Gelditu iradokitako konponbidea ostalari-izenaren edo katearen egiaztapena desgaitzea bada. Hatz-marka batek murrizketa bat gehitzen die ohiko egiaztapenei; ez ditu ordezkatzen inplementazioak berariaz pin-soilikako eredua aukeratu ez badu, eta aukera horrek bere kostu operatiboak dakartza.

Konparazioaren ondoren

Erregistratu zer konparatu zenuen, balio esperotua nondik etorri zen eta noiz. Ziurtagiria berrjaulki bazen, eguneratu gordetako itxaropena kanal fidagarri beretik eta idatzi serie-zenbaki berria, serie-zenbakia delako hurrengo errotazioa ikuskaerraza egiten duena.

Ondoren, izan argi mugekin. Hatz-marka batek baieztatzen du daukazun ziurtagiria norbaitek espero zenezakeela esan zizun hura dela. Ez du ezer esaten ostalaria konprometituta ez dagoenik, ezta zerbitzuak ziurtagiri horrek zer har dezakeen erregistratzen edo mugatzen duenik ere.