In VPN-sertifikaat ynspektearje sûnder de kaai te toanen

It lêzen fan de iepenbiere fjilden fan in sertifikaat freget nea om de byhearrende priveeskaai te toanen, en it ark dêrfoar sit by elk systeem dat in VPN beëiniget. It risiko leit ien stap earder: it bestân dat jo krigen hawwe is miskien hielendal gjin sertifikaat. In PEM-sertifikaat, in DER-blob, in PKCS#12-bondel en in OpenVPN-profyl kinne ûnder deselde namme oankomme en hiel oar materiaal befetsje, dus identifisearje de kontener foardat jo in kommando kieze.

Trije feiten beslisse hokker kommando feilich is: wat it bestân befettet, wat jo derút lêze moatte en wa't de útfier sjocht. Ferkeard ien fan dy trije en de ynspeksje wurdt sels it ynsidint.

Hokker fan de trije bestannen jo krigen hawwe

In PEM-sertifikaat is tekst mei sichtbere BEGIN- en END-markearrings, in DER-bestân is binêr dat in flag foar ynfierformaat nedich hat, en in bondel is in kontener dy't in kaai njonken it sertifikaat hâlde kin. file server.crt skiedt tekst fan binêr yn in sekonde, en in eachopslach op de earste rigel skiedt in keal sertifikaat fan in profyl dat der ien ynbefettet. Rieden is hjir wat in ynspeksje yn in ynsidint feroaret.

As it bestân in profyl is yn stee fan in sertifikaat, behannelje it as in geheim oant it tsjinoer bewiisd is. Dy oanname kostet neat en foarkomt de meast foarkommende flater yn dizze hiele taak.

De iepenbiere fjilden fan in PEM-sertifikaat lêze

Foar in sertifikaat dat jo ynspektearje meie, printsjet it x509-subkommando mei -noout krekt de fjilden dy't jo kieze en neat oars. It lichem ûnderdrukke hâldt de útfier by metadata, en dêrtroch is it ek feilich om yn in ticket te plakken. De selektors hjirûnder binne de iepenbiere, en de dokumintaasje fan openssl x509 listet de rest op.

openssl x509 -in server.crt -noout -subject -issuer -dates -fingerprint -sha256

Op in lokaal makke testsertifikaat printsjet dat kommando in subject- en issuer-rigel, it pear notBefore en notAfter, en ien SHA-256-fingerprint. Dy fjilden identifisearje it objekt; se fêstigje gjin jildich fertrouwenspaad, dat in aparte ferifikaasjetaak is mei syn eigen kommando en syn eigen antwurd. In ketenbestân printsjet ek miskien allinnich it earste sertifikaat, útsein as jo it bestân sels trochrinne. Twa bestannen sa fergelykje kostet ien kommando en besljochtet hokker fan beide de peer echt presintearret.

Bondels dy't in kaai njonken it sertifikaat hâlde

In bestân .p12 of .pfx kin in priveeskaai drage, en it parsekommando printsjet it, útsein as jo dat part fan de útfier ûnderdrukke. Mei -nokeys rapportearret itselde kommando noch altyd de struktuer fan de kontener, ynklusyf in omskuolle kaaisak, sûnder kaaimateriaal út te stjoeren; lit dat flag wei en der ferskynt in kaai-blok yn jo terminal en yn jo shell-skiednis.

openssl pkcs12 -in bundle.p12 -nokeys -info -passin env:P12PASS

In OpenVPN-profyl befettet itselde materiaal as tekst, dus de grins is sichtber as jo witte wêr't jo sjen moatte. Iepenbier materiaal stiet tusken BEGIN CERTIFICATE en END CERTIFICATE, wylst alles tusken BEGIN PRIVATE KEY en de byhearrende END-rigel de kaai is en de host net ferlitte mei. It profyl yn syn gehiel kopiearje publisearret beide.

De referinsjewearde earne oars helje

In fingerprint lêzen fan 'e ferbining dy't jo besykje te ferifiearjen bewiist neat, want de partij dy't jo net fertrouwe hat him levere. Dat is gjin argumint tsjin fingerprints; it is in argumint oer komôf. Fergelykje de wearde mei ien dy't krigen is fia in kanaal dêr't de peer net yn skriuwe kin, lykas it sertifikaat dat yn in yntern depot publisearre is of de hash dy't yn in ûndertekene wizigingsrecord printsjet is.

Wêr't in fertrouwensopslach falidearret, lit it dat dwaan, en lês de flater dy't it produsearret yn stee fan jo eigen fergeliking yn te setten. It ûnderskied dat telt is wa't de referinsje levere hat, net hokker hashfunksje brûkt is.

It resultaat diele, en wat te dwaan nei in slip

Stjoer de krekte falidaasjeflater, de relevante datums en allinnich de identiteitsdetails dy't de ûntfanger nedich hat. Ynterne hostnammen en account-identifiers bliuwe gefoelich sels as der gjin kaai is, en in iepenbiere plaktsjinst is de ferkearde bestimming foar alles dêrfan. Plak yn it ticket, net yn in buffer dy't immen oars dielt.

As kaaimateriaal dochs op it skerm of yn in bestân ferskynd is, behannelje it as kompromittearre en rotearje it yn stee fan te hoopjen dat nimmen sjoen hat. Skriuw dan it ynspektearre bestân op, it brûkte kommando en wêr't de útfier hinne gie, want dat record is wat in skrik yn in proseduere feroaret. Rotaasje is goedkeap njonken de kosten fan oannimme dat nimmen in skermôfdruk bewarre hat, en itselde record fertelt de folgjende yngenieur hokker bestannen oanrekke binne. Doch beide foardat it ticket sletten wurdt.