Itselde bestânsnamme ca.crt, oar sertifikaat: wat te ferlykjen

Twa profilen leverje beide in bestân mei de namme ca.crt, ien tunnel komt omheech en de oare mislearret mei in kettingflater. De twa bestannen njonkeninoar iepenje beslisket it selden, en ferifikaasje útsette beslisket it yn 'e ferkearde rjochting. De fraach dy't de flater eins stelt is smeller: hokker sertifikaat laden elk proses as syn fertrouwensanker, en binne de twa itselde objekt? Beändert dat earst en de rest fan 'e diagnoaze krijt in rjochting. De bestânsnamme is in ferpakkingsetiket, en it paad dat yn it profyl skreaun is is ek net gesachhawwend, dus alles hinget derfan ôf wat it proses eins lêst.

Fyn it sertifikaat dat de klant eins laden

OpenVPN akseptearret it gesach yn twa foarmen, en de foarm beslisket hokker bytes fan belang binne. In profyl kin mei ca nei in ekstern bestân wize, of it sertifikaat yn in <ca>-blok yn it profyl sels ynbêdzje. As beide bestean, wint it ynbêde blok en it bestân njonken it profyl wordt nea iepene.

Lês it mislearjende profyl en fyn út hokker foarm it brûkt foardat jo wat ferlykje. In kopy út in oanbuorjende map, of út it pakket dêr't it oare profyl wei kaam, fertelt jo neat oer wat dit proses fertrout. Itselde jildt foar it paad yn 'e konfiguraasje: it wurdt oplost relatyf oan dêr't de klant begûn is, wat net altyd de map is dy't jo besjen. Lês it profyl, net de map.

Sertifikaten wurde identifisearre troch har ynhâld: de iepenbiere kaai, it subjekt en de útjouwer, it jildichheidsfinster en de hantekening oer dat alles. Twa bestannen mei identike bytes binne itselde sertifikaat hoe't se ek neamd wurde, en twa bestannen mei deselde namme kinne ûnbesibbe gesachheden wêze. De namme is in ferpakkingsetiket, gjin identiteit.

Meitsje fingerôfdrukken fan beide kopyen mei openssl

In fingerôfdruk is in hash oer de DER-kodearring fan it sertifikaat, de foarm dy't de hantekening beslacht, dus rigel-einen en koptekst kinne it net beynfloedzje. Berekenje it foar elk bestân en jo hawwe twa troch dûbele punten skieden hex-strings dy't al of net oerienkomme. Neat oars yn it sertifikaat hoecht lêzen te wurden om de ferlykingsfraach te beädertwurdzjen.

openssl x509 -in /etc/openvpn/office/ca.crt -noout -fingerprint -sha256
openssl x509 -in ~/profiles/lab-ca.pem -noout -fingerprint -sha256

It is ferlokkelik om openssl nei it profyl sels te rjochtsjen, mar it lêst hokker sertifikaatblok ek earst yn it bestân ferskynt, en in profyl draacht gewoanlik <cert> foar <ca>. Lûk it gesachblok út en meitsje dan in fingerôfdruk fan it útlutsen bestân, want dat is de kopy dy't de klant eins brûke sil.

sed -n '/^<ca>$/,/^<\/ca>$/p' office.ovpn | sed '1d;$d' > /tmp/office-ca.pem
openssl x509 -in /tmp/office-ca.pem -noout -fingerprint -sha256

Idintike fingerôfdrukken betsjutte dat it fertrouwensmateriaal itselde is en de kettingflater in oare oarsaak hat, wat in oar ûndersyk is. Ferskillende fingerôfdrukken betsjutte ferskillende sertifikaten, en dat is wêr't de folgjende seksje begjint.

Lês in mismatch foardat jo in oanfal oannimme

Ferskillende fingerôfdrukken betsjutte ferskillende sertifikaten en neat mear. In werútjefte, in rotaasje, in nij neamde gesachheid of in ferâldere bondel produsearje allegear ferskillende bestannen mei folslein legitime skiedenissen. Hokker by de útjefte heart is in fraach foar de operator of it útjefterekord, net foar de wizigingstiid fan it bestân. Argyf kopiearje tiidstimpels, dus in nijer bestân is net automatysk it krekte anker.

In woartel dy't himsels ûndertekent is normaal, dus ien fine is gjin bewiis fan in probleem. De taak fan de ferifiearder is in paad te bouwen fan it server-sertifikaat nei it anker dat him jûn is, en in kettingflater betsjut meastentiids dat dat paad net foltôge wurde koe.

Kontrolearje oft it anker fan it mislearjende profyl in gesachheid is dêr't de útjefte noch fan útjout. As de fingerôfdruk nearne yn it útjefterekord mei oerienkomt, is it profyl gewoan ferâldere, en gjin inkele oanpassing oan 'e klantkant sil dat reparearje.

Reparearje fertrouwen sûnder ferifikaasje út te setten

De koarte-termynoplossing is ferifikaasje útsette of elk sertifikaat yn 'e ketting as anker taheakje. Beide litte it berjocht ferdwine, en beide feroarje hokker servers de klant fan dat stuit ôf akseptearret. Sette ferifikaasje wer oan, ynstallearje it bedoelde anker en test op 'e nij.

As de ketting no boud wurdt mar in oare flater ferskynt, is dat foarútgong: nammeferifikaasje, jildichheidsdatums en yntrekking binne aparte kontrôles mei aparte berjochten. Hâld it fingerôfdrukpear en de orizjinele flatertekst byinoar yn 'e kaart, sadat de folgjende persoan sjocht hokker anker laden is en hokker ferwachte waard. In pear fingerôfdrukken is lyts genôch om yn in oerdrachtsnotysje te plakken, en it folgjende gefal nimt dan fiif minuten yn plak fan in middei.

Krij it krekte gesach fia itselde autentisearre kanaal dat it profyl levere. In sertifikaat fan 'e server lûke om't it subjekt bekend liket is in oare die, en it fergruttet stilwei wat de klant fertrouwe sil.