VPN પ્રમાણપત્રને તેની કી જાહેર કર્યા વિના તપાસવું

પ્રમાણપત્રના જાહેર ક્ષેત્રો વાંચવા માટે તેની સાથેની ખાનગી કી બતાવવાની ક્યારેય જરૂર પડતી નથી, અને તે માટેનાં સાધનો દરેક એવી સિસ્ટમ સાથે આવે છે જે VPN સમાપ્ત કરે છે. જોખમ એક પગલું પહેલાં છે: તમને આપવામાં આવેલી ફાઇલ કદાચ પ્રમાણપત્ર જ ન હોય. PEM પ્રમાણપત્ર, DER બ્લોબ, PKCS#12 બંડલ અને OpenVPN પ્રોફાઇલ એક જ નામ સાથે આવી શકે છે અને ઘણું અલગ સામગ્રી ધરાવી શકે છે, તેથી આદેશ પસંદ કરતા પહેલાં કન્ટેનર ઓળખો.

ત્રણ હકીકતો નક્કી કરે છે કે કયો આદેશ સુરક્ષિત છે: ફાઇલમાં શું છે, તમારે તેમાંથી શું વાંચવું છે, અને આઉટપુટ કોણ જોશે. એમાંથી કોઈ એક પણ ખોટું થાય તો નિરીક્ષણ પોતે જ ઘટના બની જાય છે.

તમને ત્રણમાંથી કઈ ફાઇલ આપવામાં આવી

PEM પ્રમાણપત્ર એ દૃશ્યમાન BEGIN અને END ચિહ્નો સાથેનું લખાણ છે, DER ફાઇલ બાઇનરી છે જેને ઇનપુટ-ફોર્મેટ ફ્લેગની જરૂર પડે છે, અને બંડલ એ કન્ટેનર છે જે પ્રમાણપત્રની બાજુમાં કી રાખી શકે છે. file server.crt એક સેકન્ડમાં લખાણને બાઇનરીથી અલગ કરે છે, અને પહેલી લાઇન પર એક નજર નકલી પ્રમાણપત્રને એવી પ્રોફાઇલથી અલગ કરે છે જેમાં એક સમાવેશ થયેલું હોય. અહીં અનુમાન કરવું એ જ નિરીક્ષણને ઘટનામાં ફેરવે છે.

જો ફાઇલ પ્રમાણપત્ર નહીં પણ પ્રોફાઇલ હોય, તો વિરુદ્ધ સાબિત ન થાય ત્યાં સુધી તેને ક્રેડેન્શિયલ ગણો. એ ધારણા કંઈ ખર્ચતી નથી, અને આ આખા કાર્યમાં સૌથી સામાન્ય ભૂલ અટકાવે છે.

PEM પ્રમાણપત્રના જાહેર ક્ષેત્રો વાંચવા

જે પ્રમાણપત્રનું નિરીક્ષણ કરવાની તમને અધિકૃતતા છે તેના માટે, -noout સાથેનો x509 સબકમાન્ડ ફક્ત તમે પસંદ કરેલા ક્ષેત્રો છાપે છે અને બીજું કંઈ નહીં. બોડી દબાવવી એ જ આઉટપુટને મેટાડેટા સુધી મર્યાદિત રાખે છે, જે તેને ટિકિટમાં પેસ્ટ કરવા માટે પણ સુરક્ષિત બનાવે છે. નીચેના સિલેક્ટર જાહેર છે, અને openssl x509 દસ્તાવેજીકરણ બાકીનાની યાદી આપે છે.

openssl x509 -in server.crt -noout -subject -issuer -dates -fingerprint -sha256

સ્થાનિક રીતે બનાવેલા પરીક્ષણ પ્રમાણપત્ર પર એ આદેશ subject અને issuer લાઇન, notBefore અને notAfter જોડી, અને એક SHA-256 ફિંગરપ્રિન્ટ છાપે છે. એ ક્ષેત્રો ઑબ્જેક્ટને ઓળખે છે; તેઓ માન્ય ભરોસા માર્ગ સ્થાપિત કરતા નથી, જે પોતાના આદેશ અને પોતાના જવાબ સાથેનું અલગ ચકાસણી કાર્ય છે. ચેઇન ફાઇલ પણ ફક્ત પહેલું પ્રમાણપત્ર છાપી શકે છે જ્યાં સુધી તમે જાતે ફાઇલ પર પુનરાવર્તન ન કરો. આ રીતે બે ફાઇલોની તુલના કરવા માટે એક આદેશ પૂરતો છે અને તે નક્કી કરે છે કે સામેનો પક્ષ ખરેખર કઈ રજૂ કરે છે.

પ્રમાણપત્રની બાજુમાં કી રાખતા બંડલ

.p12 અથવા .pfx ફાઇલ ખાનગી કી ધરાવી શકે છે, અને પાર્સિંગ આદેશ તેને છાપે છે જ્યાં સુધી તમે આઉટપુટનો એ ભાગ દબાવો નહીં. -nokeys સાથે એ જ આદેશ કન્ટેનરનું બંધારણ હજી પણ જણાવે છે, જેમાં આવરિત કી-બેગનો સમાવેશ થાય છે, પણ કોઈ કી સામગ્રી બહાર કાઢતો નથી; એ ફ્લેગ કાઢી નાખો તો તમારા ટર્મિનલમાં અને તમારા શેલ ઇતિહાસમાં કી બ્લોક દેખાય છે.

openssl pkcs12 -in bundle.p12 -nokeys -info -passin env:P12PASS

OpenVPN પ્રોફાઇલ એ જ સામગ્રી લખાણ તરીકે સમાવે છે, તેથી જો તમે જાણો કે ક્યાં જોવું તો સીમા દૃશ્યમાન છે. જાહેર સામગ્રી BEGIN CERTIFICATE અને END CERTIFICATE વચ્ચે બેસે છે, જ્યારે BEGIN PRIVATE KEY અને તેની મેળ ખાતી END લાઇન વચ્ચેનું બધું કી છે અને તેને હોસ્ટ છોડવી ન જોઈએ. પ્રોફાઇલ જેમ છે તેમ કૉપી કરવાથી બંને પ્રકાશિત થાય છે.

સંદર્ભ મૂલ્ય બીજે ક્યાંકથી મેળવવું

તમે ચકાસવા માંગતા કનેક્શનમાંથી વાંચેલું ફિંગરપ્રિન્ટ કંઈ સાબિત કરતું નથી, કારણ કે તે તમે જે પક્ષ પર ભરોસો નથી કરતા તેણે પૂરું પાડ્યું છે. આ ફિંગરપ્રિન્ટ વિરુદ્ધની દલીલ નથી; આ ઉદ્ભવ વિશેની દલીલ છે. મૂલ્યની તુલના એવી રીતે મેળવેલા મૂલ્ય સાથે કરો કે જેમાં સામેનો પક્ષ લખી ન શકે, જેમ કે આંતરિક રિપોઝિટરીમાં પ્રકાશિત પ્રમાણપત્ર અથવા સહી કરેલા ફેરફાર રેકોર્ડમાં છપાયેલો હેશ.

જ્યાં ભરોસા સ્ટોર ચકાસણી કરે છે ત્યાં તેને કરવા દો, અને તમારી પોતાની તુલના બદલે તે જે ભૂલ ઉત્પન્ન કરે છે તે વાંચો. મહત્વનો ભેદ એ છે કે સંદર્ભ કોણે પૂરો પાડ્યો, એ નહીં કે કયો હેશ ફંક્શન વપરાયો.

પરિણામ શેર કરવું, અને ભૂલ પછી શું કરવું

ચોક્કસ ચકાસણી ભૂલ, સંબંધિત તારીખો અને ફક્ત એ જ ઓળખ વિગતો મોકલો જે પ્રાપ્તકર્તાને જોઈએ. આંતરિક હોસ્ટનામ અને ખાતા ઓળખકર્તા કી ન હોય તો પણ સંવેદનશીલ રહે છે, અને જાહેર પેસ્ટ સેવા એમાંથી કોઈ પણ માટે ખોટું સ્થળ છે. ટિકિટમાં પેસ્ટ કરો, બીજું કોઈ શેર કરે તેવા બફરમાં નહીં.

જો કી સામગ્રી ખરેખર સ્ક્રીન પર કે ફાઇલમાં દેખાઈ, તો તેને સમાધાનકર્તા ગણો અને કોઈ જોયું નહીં હોય એવી આશા રાખવાને બદલે તેને ફેરવો. પછી નિરીક્ષણ કરેલી ફાઇલ, વપરાયેલો આદેશ અને આઉટપુટ ક્યાં ગયું તે લખી રાખો, કારણ કે એ રેકોર્ડ જ ડરને પ્રક્રિયામાં ફેરવે છે. કોઈએ સ્ક્રીનશોટ રાખ્યો નહીં હોય એવું માનવાના ખર્ચ સામે ફેરવવું સસ્તું છે, અને એ જ રેકોર્ડ આગલા ઇજનેરને કહે છે કે કઈ ફાઇલોને અડકવામાં આવ્યું. ટિકિટ બંધ થાય તે પહેલાં બંને કરો.