Hogyan ellenőrizzük egy VPN-tanúsítvány ujjlenyomatát külön csatornán

Az ujjlenyomat csak annyit ér, amennyit a csatorna, amely megmondta, mit várjon. Ha az az érték, amelyhez hasonlít, ugyanazon a kapcsolaton érkezett, amelyet vizsgál, a hasonlítás semmit sem bizonyít azon túl, hogy a kapcsolatot irányító fél konzisztens. Az ellenőrzésnek rögzített sorrendben kell lefutnia, és egy sikertelen lépésnek meg kell állítania, nem pedig a következő felé taszítania. Ez az a sorrend, amelyet akkor használok, amikor a VPN-kliens jelzi, hogy megváltozott egy tanúsítvány.

Nevezze meg az objektumot, mielőtt megnevezné az értéket

Döntse el, hogy a várt érték a kiszolgáló levéltanúsítványához, a kiállító CA-hoz vagy a levélen belüli nyilvános kulcshoz tartozik-e. Ez három különböző ellenőrzés, és különböző módon vallanak kudarcot. Egy egyező CA-ujjlenyomat nem rögzíti a kiszolgálót, és a nyilvános kulcs hash-e szándékosan túléli az újrakiadást, amely ugyanazt a kulcsot tartja meg.

Jegyezze fel az algoritmust is. A SHA-256 ma a szokásos elvárás, de a régebbi eszközök SHA-1-et nyomtattak, hacsak nem kért mást, és a 40 karakteres hexadecimális érték annak a jele, hogy két különböző dolgot fog összehasonlítani.

Szerezze be a várt értéket egy második csatornán

A második csatornának olyannak kell lennie, ahová az a fél, akitől tart, nem tud írni. Egy kiépítési rendszer, amelynél már hitelesít, egy széfben őrzött nyomtatott feljegyzés, egy konfigurációs adatbázis vagy egy másik folyamat által kézbesített aláírt dokumentum mind megfelel. Egy kolléga csevegőüzenete, egy keresési találaton keresztül elért támogatási oldal, és bármi, amit abba a terminálba illesztenek be, amelyben már hibakeresést végez, nem felel meg.

A teljes értéket és az algoritmust kérje, soha ne előtagot. A kettőspontok és a kis- vagy nagybetűk nem számítanak, de a csonkítás egy 256 bites ellenőrzést találgatós játékká tesz.

Ha senki sem tudja független forrásból előállítani a várt értéket, a becsületes eredmény az, hogy ez a tanúsítvány ma nem ellenőrizhető. Ezt kimondani jobb, mint rögzíteni azt, amit a kliens éppen mutatott, mert az a figyelmeztetést szokássá alakítja.

Nyissa ki az értéket a saját oldalán

Egy tanúsítványfájl esetében a parancs openssl x509 -in server.crt -noout -fingerprint -sha256. A kifejezett kivonat számít: nélküle a kimenet az OpenSSL-verziójától függ. Az eredmény kettőspontokkal elválasztott hexadecimális karakterlánc, ezért távolítsa el a kettőspontokat, és az összehasonlítás előtt alakítsa mindkét oldalt kisbetűssé.

Egy közvetlenül TLS-t beszélő végpont esetében csatlakozzon, és csövön keresztül hozza ki a tanúsítványt: openssl s_client -connect vpn.example.com:443 -servername vpn.example.com < /dev/null | openssl x509 -noout -fingerprint -sha256. Ez egy webes felügyeleti panelhez vagy TLS-figyelőhöz működik, a OpenVPN-hez nem, amelynek vezérlőcsatornája az alagúton belül van. Az OpenVPN esetében olvassa a tanúsítványt a lemezen lévő profilból, ahelyett hogy a socketből próbálná elkapni.

Az összehasonlításnak mechanikusnak kell lennie. Normalizálja mindkét értéket tr -d ':'-vel és kisbetűsítéssel, majd hasonlítsa össze a teljes karakterláncot. Szemmel összehasonlítani az az út, amelyen egy egyező előtag elrejti az eltérést az utolsó bájtban. Ha a karakterláncok eltérnek, tekintse a különbséget valósnak, mielőtt magyarázatot keres.

Megállási feltételek

Álljon meg, ha az objektum eltér, mert egy CA-ujjlenyomat nem tisztázhat egy levéltanúsítványt, és egy levél nem tisztázhatja a CA-t. Álljon meg, ha az algoritmus eltér, mert a SHA-1 érték a SHA-256 értékkel összevetve semmit sem mond. Álljon meg, ha az ujjlenyomat egyezik, de a tanúsítvány lejárt, visszavont, vagy más névre állították ki; az egyező hash nem érvényességi ellenőrzés, és nem javítja meg a törött láncot. Álljon meg akkor is, ha a sorozatszám nem egyezik azzal a sorozatszámmal, amely a viszonyítási rekordban szerepel, mert ez a legolcsóbb módja a kicserélt tanúsítvány észlelésének.

Álljon meg, ha az új érték azon a csatornán érkezett, amelyet vizsgált. A rotáció jogosan megváltoztathat egy ujjlenyomatot, de a csereértéknek továbbra is a megbízható folyamatból kell jönnie, nem abból a figyelmeztető párbeszédből, amely a kérdést kiváltotta.

Álljon meg, ha a javasolt megoldás a hosztnév- vagy lánc-ellenőrzés kikapcsolása. Az ujjlenyomat egy megkötést ad a szokásos ellenőrzésekhez; nem helyettesíti azokat, hacsak a telepítés nem választott szándékosan csak-pin modellt, és ez a választás a saját üzemeltetési költségeivel jár.

Az összehasonlítás után

Jegyezze fel, mit hasonlított össze, honnan jött a várt érték, és mikor. Ha a tanúsítványt újra kiadták, frissítse a tárolt elvárást ugyanazon a megbízható csatornán, és jegyezze fel az új sorozatszámot, mert a sorozatszám az, ami a következő rotációt ellenőrizhetővé teszi.

Utána legyen világos a korlátokról. Az ujjlenyomat megerősíti, hogy a birtokában lévő tanúsítvány az, amelyet valaki mondott Önnek, hogy várjon. Semmit sem mond arról, hogy a gazdagép nem kompromittált, és arról sem, hogy a szolgáltatás naplózza-e vagy korlátozza-e, mit érhet el ez a tanúsítvány.