Pregled VPN certifikata bez otkrivanja njegova ključa

Čitanje javnih polja certifikata nikada ne zahtijeva prikazivanje privatnog ključa koji mu odgovara, a alati za to dolaze sa svakim sustavom koji završava VPN. Rizik je korak ranije: datoteka koju ste dobili možda uopće nije certifikat. PEM certifikat, DER blob, PKCS#12 paket i OpenVPN profil mogu stići pod istim imenom i sadržavati vrlo različit materijal, pa identificirajte spremnik prije nego odaberete naredbu.

Tri činjenice odlučuju koja je naredba sigurna: što datoteka sadrži, što iz nje trebate pročitati i tko će vidjeti izlaz. Pogriješite li u bilo kojoj, sama inspekcija postaje incident.

Koju od tri datoteke ste dobili

PEM certifikat je tekst s vidljivim oznakama BEGIN i END, DER datoteka je binarna i traži zastavicu ulaznog formata, a paket je spremnik koji može držati ključ uz certifikat. file server.crt razdvaja tekst od binarnog u sekundi, a pogled na prvi redak razdvaja goli certifikat od profila koji ga ugrađuje. Nagađanje ovdje pretvara inspekciju u incident.

Ako je datoteka profil, a ne certifikat, tretirajte je kao vjerodajnicu dok se ne dokaže suprotno. Ta pretpostavka ne košta ništa i sprječava najčešću pogrešku u cijelom ovom zadatku.

Čitanje javnih polja PEM certifikata

Za certifikat koji smijete pregledati, potnaredba x509 s -noout ispisuje polja koja odaberete i ništa drugo. Potiskivanje tijela drži izlaz na metapodacima, što ga čini i sigurnim za lijepljenje u tiket. Donji selektori su javni, a dokumentacija openssl x509 navodi ostale.

openssl x509 -in server.crt -noout -subject -issuer -dates -fingerprint -sha256

Na lokalno generiranom testnom certifikatu ta naredba ispisuje redak subject i issuer, par notBefore i notAfter te jedan SHA-256 otisak. Ta polja identificiraju objekt; ona ne uspostavljaju valjan put povjerenja, što je zaseban zadatak provjere s vlastitom naredbom i vlastitim odgovorom. Datoteka lanca može ispisati samo prvi certifikat ako sami ne prođete kroz datoteku. Usporedba dviju datoteka na ovaj način košta jednu naredbu i rješava koju od njih druga strana doista predstavlja.

Paketi koji drže ključ uz certifikat

Datoteka .p12 ili .pfx može nositi privatni ključ, a naredba za raščlambu ga ispisuje ako ne potisnete taj dio izlaza. Uz -nokeys ista naredba još izvješćuje o strukturi spremnika, uključujući zamotanu vrećicu ključa, bez ispuštanja ikakvog materijala ključa; uklonite tu zastavicu i blok ključa pojavit će se u vašem terminalu i u povijesti ljuske.

openssl pkcs12 -in bundle.p12 -nokeys -info -passin env:P12PASS

OpenVPN profil ugrađuje isti materijal kao tekst, pa je granica vidljiva ako znate gdje gledati. Javni materijal stoji između BEGIN CERTIFICATE i END CERTIFICATE, dok je sve između BEGIN PRIVATE KEY i odgovarajućeg retka END ključ i ne smije napustiti host. Kopiranje profila u cijelosti objavljuje oboje.

Dobivanje referentne vrijednosti odnekud drugdje

Otisak pročitan iz veze koju pokušavate provjeriti ne dokazuje ništa, jer ga je dostavila strana kojoj ne vjerujete. To nije argument protiv otisaka; to je argument o podrijetlu. Usporedite vrijednost s onom dobivenom kanalom u koji druga strana ne može pisati, poput certifikata objavljenog u internom repozitoriju ili hasha ispisanog u potpisanom zapisu promjene.

Gdje spremište povjerenja obavlja provjeru, pustite ga da to učini i pročitajte pogrešku koju proizvodi umjesto da zamijenite vlastitu usporedbu. Razlika koja je važna jest tko je dostavio referencu, a ne koja je hash funkcija korištena.

Dijeljenje rezultata i što učiniti nakon omaške

Pošaljite točnu pogrešku provjere, relevantne datume i samo podatke o identitetu koje primatelj treba. Interna imena hostova i identifikatori računa ostaju osjetljivi i kad ključa nema, a javna usluga za lijepljenje pogrešno je odredište za bilo što od toga. Zalijepite u tiket, ne u međuspremnik koji netko drugi dijeli.

Ako se materijal ključa ipak pojavio na zaslonu ili u datoteci, tretirajte ga kao kompromitiran i rotirajte ga umjesto da se nadate da nitko nije pogledao. Zatim zapišite pregledanu datoteku, korištenu naredbu i kamo je izlaz otišao, jer taj zapis pretvara prestrašenost u postupak. Rotacija je jeftina nasuprot cijeni pretpostavke da nitko nije sačuvao snimku zaslona, a isti zapis govori sljedećem inženjeru koje su datoteke uopće dotaknute. Učinite oboje prije nego se tiket zatvori.