VPN վկայագիրն ստուգել՝ առանց դրա բանալին բացահայտելու

Վկայագրի հանրային դաշտերը կարդալը երբեք չի պահանջում ցուցադրել դրան համապատասխանող գաղտնի բանալին, և դրա համար անհրաժեշտ գործիքները գալիս են յուրաքանչյուր համակարգի հետ, որը վերջացնում է VPN-ը։ Ռիսկը մեկ քայլ առաջ է՝ ձեզ տրված ֆայլը կարող է ընդհանրապես վկայագիր չլինել։ PEM վկայագիր, DER բլոբ, PKCS#12 փաթեթ և OpenVPN պրոֆիլ կարող են գալ նույն անվամբ և պարունակել շատ տարբեր նյութ, ուստի հրաման ընտրելուց առաջ նույնականացրեք տարան։

Երեք փաստ է որոշում, թե որ հրամանն է անվտանգ՝ ինչ է պարունակում ֆայլը, ինչ պետք է կարդաք դրանից, և ով կտեսնի արդյունքը։ Սխալվեք դրանցից որևէ մեկում, և ստուգումն ինքն է դառնում միջադեպ։

Երեք ֆայլերից որն է ձեզ տրվել

PEM վկայագիրը տեքստ է՝ տեսանելի BEGIN և END նշիչներով, DER ֆայլը երկուական է, որին անհրաժեշտ է մուտքային ձևաչափի դրոշակ, իսկ փաթեթը տարա է, որը կարող է բանալի պահել վկայագրի կողքին։ file server.crt մեկ վայրկյանում տարանջատում է տեքստը երկուականից, և առաջին տողին նայելը մերկ վկայագիրն առանձնացնում է այն պրոֆիլից, որի մեջ վկայագիր է ներդրված։ Հենց այստեղ գուշակելն է ստուգումը վերածում միջադեպի։

Եթե ֆայլը վկայագիր չէ, այլ պրոֆիլ, ապա մինչև հակառակի ապացուցումը վերաբերվեք դրան որպես հավատարմագրի։ Այդ ենթադրությունն ոչինչ չարժե և կանխում է այս ամբողջ առաջադրանքի ամենատարածված սխալը։

PEM վկայագրի հանրային դաշտերը կարդալը

Ձեր լիազորած վկայագրի համար x509 ենթահրամանը -noout-ով տպում է միայն ձեր ընտրած դաշտերը և ոչ այլ բան։ Մարմինը ճնշելն է, որ արդյունքը պահում է մետատվյալների մակարդակում, ինչը նաև այն դարձնում է անվտանգ՝ տոմսի մեջ տեղադրելու համար։ Ստորև նշված ընտրիչները հանրայինն են, իսկ openssl x509 փաստաթղթերը թվարկում են մնացածը։

openssl x509 -in server.crt -noout -subject -issuer -dates -fingerprint -sha256

Տեղական ստեղծված փորձնական վկայագրի վրա այդ հրամանը տպում է subject և issuer տողը, notBefore և notAfter զույգը և մեկ SHA-256 մատնահետք։ Այդ դաշտերը նույնականացնում են օբյեկտը, սակայն չեն հաստատում վավեր վստահության ուղի, ինչը առանձին ստուգման խնդիր է՝ իր սեփական հրամանով և իր սեփական պատասխանով։ Շղթայի ֆայլը կարող է տպել միայն առաջին վկայագիրը, եթե դուք ինքներդ չանցնեք ֆայլով։ Երկու ֆայլերի այսպիսի համեմատությունը մեկ հրաման արժե և որոշում է, թե դրանցից որն է իրականում ներկայացնում մյուս կողմը։

Փաթեթներ, որոնք բանալի են պահում վկայագրի կողքին

.p12 կամ .pfx ֆայլը կարող է կրել գաղտնի բանալի, և վերլուծող հրամանը տպում է այն, եթե դուք չճնշեք արդյունքի այդ մասը։ -nokeys-ով նույն հրամանը դեռ հաղորդում է տարայի կառուցվածքը, ներառյալ փաթաթված բանալու պարկը, առանց որևէ բանալու նյութ արտանետելու, և հանեք այդ դրոշակը, և ձեր տերմինալում ու shell-ի պատմության մեջ կհայտնվի բանալու բլոկ։

openssl pkcs12 -in bundle.p12 -nokeys -info -passin env:P12PASS

OpenVPN պրոֆիլը նույն նյութը ներդնում է տեքստի տեսքով, ուստի սահմանը տեսանելի է, եթե գիտեք՝ ուր նայել։ Հանրային նյութը գտնվում է BEGIN CERTIFICATE-ի և END CERTIFICATE-ի միջև, մինչդեռ BEGIN PRIVATE KEY-ի և դրա համապատասխան END տողի միջև ամեն ինչ բանալին է և չպետք է լքի հոսթը։ Պրոֆիլն ամբողջությամբ պատճենելը հրապարակում է երկուսն էլ։

Հղումային արժեքը այլ տեղից ստանալը

Այն կապից կարդացված մատնահետքը, որը փորձում եք ստուգել, ոչինչ չի ապացուցում, որովհետև այն տրամադրել է այն կողմը, որին չեք վստահում։ Սա փաստարկ չէ մատնահետքերի դեմ, սա փաստարկ է ծագման մասին։ Համեմատեք արժեքը մեկի հետ, որը ստացվել է այնպիսի ուղիով, որով մյուս կողմը չի կարող գրել, օրինակ՝ ներքին պահոցում հրապարակված վկայագիրը կամ ստորագրված փոփոխության գրառման մեջ տպված հեշը։

Որտեղ վստահության պահոցն է կատարում ստուգումը, թող այն անի դա, և կարդացեք նրա տված սխալը՝ ձեր սեփական համեմատությունը փոխարինելու փոխարեն։ Կարևոր տարբերությունն այն է, թե ով է տրամադրել հղումը, ոչ թե՝ որ հեշ ֆունկցիան է օգտագործվել։

Արդյունքը կիսելը, և ինչ անել սայթաքումից հետո

Ուղարկեք ճշգրիտ ստուգման սխալը, համապատասխան ամսաթվերը և միայն այն ինքնության մանրամասները, որոնք անհրաժեշտ են ստացողին։ Ներքին հոսթանունները և հաշվի նույնացուցիչները զգայուն են մնում նույնիսկ բանալու բացակայության դեպքում, և հանրային տեղադրման ծառայությունը դրանցից որևէ մեկի համար սխալ նպատակակետ է։ Տեղադրեք տոմսի մեջ, ոչ թե բուֆերի, որը կիսում է մեկ ուրիշը։

Եթե բանալու նյութ իրոք հայտնվել է էկրանին կամ ֆայլում, վերաբերվեք դրան որպես վտանգվածի և պտտեք այն՝ հույս դնելու փոխարեն, թե ոչ ոք չի նայել։ Ապա գրի առեք ստուգված ֆայլը, օգտագործված հրամանը և թե ուր գնաց արդյունքը, որովհետև հենց այդ գրառումն է վախը դարձնում ընթացակարգ։ Պտտումը էժան է այն գնի համեմատ, թե ոչ ոք սքրինշոթ չի պահել ենթադրելը, և նույն գրառումը հաջորդ ինժեներին ասում է, թե որ ֆայլերին են ընդհանրապես դիպել։ Երկուսն էլ արեք մինչև տոմսը փակվելը։