VPN સર્ટિફિકેટની ફિંગરપ્રિન્ટ અલગ ચેનલ દ્વારા કેવી રીતે ચકાસવી

ફિંગરપ્રિન્ટ એટલી જ ભરોસાપાત્ર છે જેટલી એ ચેનલ જેણે તમને કહ્યું કે શું અપેક્ષા રાખવી. તમે જે મૂલ્ય સાથે સરખામણી કરો છો તે જો તમે ચકાસી રહ્યા છો તે જ જોડાણ દ્વારા આવ્યું હોય, તો સરખામણી એથી વધુ કંઈ સાબિત કરતી નથી કે તે જોડાણને જે નિયંત્રિત કરે છે તે સુસંગત છે. તપાસ નિશ્ચિત ક્રમમાં ચાલવી જોઈએ, અને નિષ્ફળ પગલું તમને આગળના પગલા તરફ ધકેલવાને બદલે રોકવું જોઈએ. જ્યારે VPN ક્લાયંટ જણાવે કે સર્ટિફિકેટ બદલાયું છે, ત્યારે હું આ ક્રમ વાપરું છું.

મૂલ્યનું નામ આપતા પહેલા વસ્તુનું નામ આપો

નક્કી કરો કે અપેક્ષિત મૂલ્ય સર્વરના લીફ સર્ટિફિકેટનું છે, જારી કરનાર CAનું છે, કે લીફની અંદરની જાહેર કીનું છે. આ ત્રણ અલગ તપાસ છે અને તે અલગ રીતે નિષ્ફળ જાય છે. મેળ ખાતી CA ફિંગરપ્રિન્ટ સર્વરને પિન કરતી નથી, અને જાહેર કીનો હેશ જાણી જોઈને એવી પુનઃઅમલમાં ટકી રહે છે જે એ જ કી રાખે છે.

અલ્ગોરિધમ પણ લખી લો. SHA-256 હવે સામાન્ય અપેક્ષા છે, પણ જૂનાં સાધનો બીજું કંઈ ન માગો તો SHA-1 છાપતાં, અને 40 અક્ષરનું હેક્સ મૂલ્ય એ સંકેત છે કે તમે બે અલગ વસ્તુઓની સરખામણી કરવા જઈ રહ્યા છો.

અપેક્ષિત મૂલ્ય બીજી ચેનલ દ્વારા મેળવો

બીજી ચેનલ એવી હોવી જોઈએ જ્યાં તમે જેનાથી બચી રહ્યા છો તે પક્ષ લખી ન શકે. તમે પહેલેથી જેની સાથે પ્રમાણીકરણ કરો છો તેવી પ્રોવિઝનિંગ સિસ્ટમ, તિજોરીમાં રાખેલો છપાયેલો રેકોર્ડ, રૂપરેખાંકન ડેટાબેઝ, અથવા બીજી પ્રક્રિયા દ્વારા પહોંચાડાયેલ દસ્તાવેજ—બધા યોગ્ય છે. સહકર્મીનો ચેટ સંદેશ, શોધ પરિણામ દ્વારા પહોંચેલું સહાય પૃષ્ઠ, અને તમે પહેલેથી જે ટર્મિનલમાં ડિબગ કરો છો ત્યાં પેસ્ટ કરેલું કંઈ પણ—યોગ્ય નથી.

પૂરું મૂલ્ય અને અલ્ગોરિધમ માગો, ક્યારેય પ્રીફિક્સ નહીં. કોલન અને અક્ષરોની મોટી-નાની અસર નથી, પણ કાપવાથી 256-બિટની તપાસ અનુમાનની રમત બની જાય છે.

જો કોઈ સ્વતંત્ર સ્રોતમાંથી અપેક્ષિત મૂલ્ય આપી શકે નહીં, તો પ્રામાણિક પરિણામ એ છે કે આ સર્ટિફિકેટ આજે ચકાસી શકાય નહીં. એમ કહેવું એ ક્લાયંટે હમણાં જે દર્શાવ્યું તેને પિન કરવા કરતાં સારું છે, જે ચેતવણીને આદતમાં ફેરવે છે.

મૂલ્ય તમારી બાજુએ કાઢો

સર્ટિફિકેટ ફાઇલ માટે આદેશ openssl x509 -in server.crt -noout -fingerprint -sha256 છે. સ્પષ્ટ ડાયજેસ્ટ મહત્વનો છે: તેના વિના આઉટપુટ તમારી OpenSSL આવૃત્તિ પર આધાર રાખે છે. પરિણામ કોલનથી અલગ થયેલી હેક્સ શબ્દમાળા છે, તેથી કોલન દૂર કરો અને સરખામણી પહેલાં બંને બાજુઓને નાના અક્ષરોમાં લાવો.

સીધું TLS બોલતા એન્ડપોઇન્ટ માટે, જોડાઓ અને સર્ટિફિકેટને પાઇપ દ્વારા બહાર કાઢો: openssl s_client -connect vpn.example.com:443 -servername vpn.example.com < /dev/null | openssl x509 -noout -fingerprint -sha256. આ વેબ એડમિન પેનલ કે TLS શ્રોતા માટે કામ કરે છે, OpenVPN માટે નહીં, જેની નિયંત્રણ ચેનલ ટનલની અંદર હોય છે. OpenVPN માટે, સોકેટમાંથી પકડવાનો પ્રયાસ કરવાને બદલે ડિસ્ક પરની પ્રોફાઇલમાંથી સર્ટિફિકેટ વાંચો.

સરખામણી યાંત્રિક હોવી જોઈએ. tr -d ':' અને અક્ષરોને સમાન કરવાથી બંને મૂલ્યો સામાન્ય કરો, પછી આખી શબ્દમાળા સરખાવો. આંખથી કરવું એ જ રીત છે જેમાં મેળ ખાતું પ્રીફિક્સ છેલ્લા બાઇટનો તફાવત છુપાવે છે. જો શબ્દમાળાઓ અલગ હોય, તો સમજૂતી શોધતા પહેલાં તફાવતને વાસ્તવિક ગણો.

અટકવાની શરતો

વસ્તુ અલગ હોય તો અટકો, કારણ કે CA ફિંગરપ્રિન્ટ લીફ સર્ટિફિકેટને નિર્દોષ ઠેરવી શકતી નથી અને લીફ CAને ઠેરવી શકતું નથી. અલ્ગોરિધમ અલગ હોય તો અટકો, કારણ કે SHA-1 મૂલ્યની SHA-256 મૂલ્ય સાથે સરખામણી તમને કંઈ કહેતી નથી. ફિંગરપ્રિન્ટ મેળ ખાય પણ સર્ટિફિકેટ સમાપ્ત, રદ થયેલું કે બીજા નામ માટે જારી થયેલું હોય તો અટકો; મેળ ખાતો હેશ માન્યતાની તપાસ નથી અને તૂટેલી શૃંખલા સુધારતો નથી. જે રેકોર્ડ સામે તમે ચકાસો છો તેમાંના સીરિયલ નંબર સાથે સીરિયલ નંબર મેળ ન ખાય તો પણ અટકો, કારણ કે બદલાયેલું સર્ટિફિકેટ પકડવાનો આ સૌથી સસ્તો રસ્તો છે.

નવું મૂલ્ય તમે ચકાસી રહ્યા હતા તે ચેનલ દ્વારા આવ્યું હોય તો અટકો. રોટેશન ફિંગરપ્રિન્ટને કાયદેસર રીતે બદલી શકે છે, પણ બદલીનું મૂલ્ય તો વિશ્વસનીય પ્રક્રિયામાંથી જ આવવું જોઈએ, પ્રશ્ન ઊભો કરનાર ચેતવણી સંવાદમાંથી નહીં.

સૂચવેલો ઉપાય હોસ્ટનામ કે શૃંખલા ચકાસણી બંધ કરવાનો હોય તો અટકો. ફિંગરપ્રિન્ટ સામાન્ય તપાસોમાં એક નિયંત્રણ ઉમેરે છે; તે તેમને બદલતી નથી સિવાય કે ડિપ્લોયમેન્ટે જાણી જોઈને માત્ર-પિન મોડેલ પસંદ કર્યું હોય, અને તે પસંદગી પોતાના સંચાલન ખર્ચ લાવે છે.

સરખામણી પછી

તમે શું સરખાવ્યું, અપેક્ષિત મૂલ્ય ક્યાંથી આવ્યું અને ક્યારે—તે નોંધો. સર્ટિફિકેટ ફરી જારી થયું હોય તો સંગ્રહિત અપેક્ષા એ જ વિશ્વસનીય ચેનલ દ્વારા અદ્યતન કરો અને નવો સીરિયલ નંબર નોંધો, કારણ કે સીરિયલ નંબર જ આગલા રોટેશનને ઓડિટયોગ્ય બનાવે છે.

પછી મર્યાદાઓ વિશે સ્પષ્ટ રહો. ફિંગરપ્રિન્ટ પુષ્ટિ કરે છે કે તમારી પાસેનું સર્ટિફિકેટ એ જ છે જેની અપેક્ષા રાખવાનું કોઈએ તમને કહ્યું હતું. તે હોસ્ટ સુરક્ષિત છે કે નહીં તે વિશે કંઈ કહેતું નથી, અને સેવા આ સર્ટિફિકેટ ક્યાં સુધી પહોંચી શકે તેનું લોગ કે મર્યાદિત કરે છે કે નહીં તે વિશે પણ કંઈ કહેતું નથી.