Ինչպես ստուգել VPN վկայագրի մատնահետքը առանձին ալիքով

Մատնահետքը նույնքան վստահելի է, որքան այն ալիքը, որը ձեզ ասել է, թե ինչ սպասել։ Եթե այն արժեքը, որի հետ համեմատում եք, եկել է նույն այն կապով, որը դուք ստուգում եք, ապա համեմատությունը ոչինչ չի ապացուցում, բացի այն, որ այդ կապը վերահսկող կողմը հետևողական է։ Ստուգումը պետք է ընթանա խիստ հերթականությամբ, և ձախողված քայլը պետք է կանգնեցնի ձեզ, այլ ոչ թե մղի հաջորդին։ Ահա այն հերթականությունը, որն օգտագործում եմ, երբ VPN հաճախորդը հայտնում է, որ վկայագիրը փոխվել է։

Անվանեք օբյեկտը, նախքան արժեքն անվանելը

Որոշեք՝ սպասվող արժեքը պատկանում է սերվերի տերևային վկայագրին, այն թողարկող CA-ին, թե տերևի ներսում գտնվող հանրային բանալուն։ Սրանք երեք տարբեր ստուգումներ են, և դրանք ձախողվում են տարբեր ձևերով։ Համապատասխանող CA մատնահետքը չի ամրացնում սերվերը, և հանրային բանալու հեշը միտումնավոր վերապրում է վերաթողարկումը, որը պահպանում է նույն բանալին։

Գրեք նաև ալգորիթմը։ SHA-256-ը այժմ սովորական սպասումն է, սակայն հին գործիքները տպում էին SHA-1, եթե այլ բան չէիք խնդրել, և 40 նիշանոց hex արժեքը նշան է, որ դուք պատրաստվում եք համեմատել երկու տարբեր բաներ։

Ստացեք սպասվող արժեքը երկրորդ ալիքով

Երկրորդ ալիքը պետք է լինի այնպիսին, որում այն կողմը, որից դուք պաշտպանվում եք, չի կարող գրել։ Մատակարարման համակարգ, որում դուք արդեն նույնականացվում եք, չհրկիզվող պահարանում պահվող տպագիր գրառում, կոնֆիգուրացիայի տվյալների բազա կամ մեկ այլ գործընթացի հանձնած ստորագրված փաստաթուղթ՝ բոլորը համապատասխան են։ Գործընկերոջ չաթի հաղորդագրությունը, որոնման արդյունքով հասանելի աջակցության էջը և այն տերմինալում տեղադրված ցանկացած բան, որտեղ դուք արդեն վրիպազերծում եք, համապատասխան չեն։

Խնդրեք ամբողջ արժեքը և ալգորիթմը, երբեք նախածանց։ Երկու կետերը և մեծատառ կամ փոքրատառ լինելը նշանակություն չունեն, բայց կրճատումը 256-բիթանոց ստուգումը վերածում է գուշակության խաղի։

Եթե ոչ ոք չի կարող անկախ աղբյուրից տրամադրել սպասվող արժեքը, ազնիվ արդյունքն այն է, որ այս վկայագիրն այսօր հնարավոր չէ ստուգել։ Դա ասելն ավելի լավ է, քան ամրացնել այն, ինչ հաճախորդը հենց նոր ցուցադրեց, ինչը զգուշացումը վերածում է սովորության։

Հանեք արժեքը ձեր կողմում

Վկայագրի ֆայլի համար հրամանն է openssl x509 -in server.crt -noout -fingerprint -sha256։ Հստակ ամփոփիչը կարևոր է. առանց դրա արդյունքը կախված է ձեր OpenSSL տարբերակից։ Արդյունքը երկու կետով բաժանված hex տող է, ուստի հանեք երկու կետերը և համեմատելուց առաջ երկու կողմերն էլ դարձրեք փոքրատառ։

Ուղղակի TLS խոսող վերջնակետի համար միացեք և խողովակով արտահանեք վկայագիրը՝ openssl s_client -connect vpn.example.com:443 -servername vpn.example.com < /dev/null | openssl x509 -noout -fingerprint -sha256։ Սա աշխատում է վեբ կառավարման վահանակի կամ TLS լսողի համար, ոչ OpenVPN-ի համար, որի կառավարման ալիքը թունելի ներսում է։ OpenVPN-ի համար վկայագիրը կարդացեք սկավառակի պրոֆիլից, փոխանակ փորձեք այն որսալ սոքեթից։

Համեմատությունը պետք է մեխանիկական լինի։ Նորմալացրեք երկու արժեքներն էլ tr -d ':'-ով և փոքրատառ դարձնելով, ապա համեմատեք ամբողջ տողը։ Աչքով համեմատելը հենց այն ճանապարհն է, որով համապատասխան նախածանցը թաքցնում է վերջին բայթի տարբերությունը։ Եթե տողերը տարբերվում են, տարբերությունը վերաբերվեք որպես իրական, նախքան բացատրություն փնտրելը։

Կանգառի պայմաններ

Կանգ առեք, եթե օբյեկտը տարբերվում է, որովհետև CA մատնահետքը չի կարող արդարացնել տերևային վկայագիրը, և տերևը չի կարող արդարացնել CA-ին։ Կանգ առեք, եթե ալգորիթմը տարբերվում է, որովհետև SHA-1 արժեքը SHA-256 արժեքի հետ համեմատելը ձեզ ոչինչ չի ասում։ Կանգ առեք, եթե մատնահետքը համընկնում է, բայց վկայագիրը ժամկետանց է, չեղարկված կամ այլ անվան համար թողարկված՝ համընկնող հեշը վավերականության ստուգում չէ և չի վերանորոգում կոտրված շղթան։ Կանգ առեք նաև, եթե սերիական համարը չի համապատասխանում այն գրառման սերիական համարին, որի հետ ստուգում եք, որովհետև դա փոխարինված վկայագիր նկատելու ամենաէժան միջոցն է։

Կանգ առեք, եթե նոր արժեքը եկել է այն ալիքով, որը դուք ստուգում էիք։ Ռոտացիան կարող է օրինականորեն փոխել մատնահետքը, բայց փոխարինող արժեքը դեռ պետք է գա վստահելի գործընթացից, ոչ թե այն զգուշացնող երկխոսությունից, որը առաջացրեց հարցը։

Կանգ առեք, եթե առաջարկվող ուղղումը հոսթի անվան կամ շղթայի ստուգումն անջատելն է։ Մատնահետքը սովորական ստուգումներին ավելացնում է սահմանափակում. այն չի փոխարինում դրանց, եթե տեղակայումը միտումնավոր չի ընտրել միայն-փին մոդել, և այդ ընտրությունն ունի իր գործառնական ծախսերը։

Համեմատությունից հետո

Գրանցեք, թե ինչ եք համեմատել, որտեղից է եկել սպասվող արժեքը և երբ։ Եթե վկայագիրը վերաթողարկվել է, թարմացրեք պահված սպասումը նույն վստահելի ալիքով և նշեք նոր սերիական համարը, որովհետև հենց սերիական համարն է հաջորդ ռոտացիան աուդիտելի դարձնում։

Ապա հստակ եղեք սահմանների մասին։ Մատնահետքը հաստատում է, որ ձեր ձեռքի վկայագիրը հենց այն է, ինչ ինչ-որ մեկն ասել է ձեզ սպասել։ Այն ոչինչ չի ասում այն մասին, թե արդյոք հոսթը չի վարակվել, և ոչինչ այն մասին, թե արդյոք ծառայությունը գրանցում կամ սահմանափակում է, թե ինչի կարող է հասնել այդ վկայագիրը։