Hvernig á að sannreyna fingrafar VPN-vottorðs um sérstaka rás

Fingrafar er ekki betra en rásin sem sagði þér hvers vænta mátti. Ef gildið sem þú ber saman við barst um sömu tengingu og þú ert að prófa, sannar samanburðurinn ekkert annað en að sá sem stjórnar tengingunni sé samkvæmur sjálfum sér. Athugunin verður að fara fram í föstum röð, og misheppnað skref á að stöðva þig í stað þess að ýta þér á næsta. Hér er röðin sem ég nota þegar VPN-biðlari tilkynnir að vottorð hafi breyst.

Nefndu hlutinn áður en þú nefnir gildið

Ákveddu hvort vænta gildið tilheyri blaðvottorði þjónsins, útgáfustofnuninni CA eða opinbera lyklinum inni í blaðinu. Þetta eru þrjár ólíkar athuganir og þær mistakast á ólíkan hátt. Fingrafar CA sem passar festir ekki þjóninn, og hak opinbera lykilsins lifir viljandi af endurútgáfu sem heldur sama lykli.

Skrifaðu líka niður reikniritið. SHA-256 er venjulega væntingin núna, en eldri verkfæri prentuðu SHA-1 nema þú biðir um annað, og 40 stafa hex-gildi er merki um að þú sért að fara að bera saman tvo ólíka hluti.

Fáðu vænta gildið um aðra rás

Önnur rásin verður að vera slík að aðilinn sem þú verndar þig fyrir geti ekki skrifað í hana. Úthlutunarkerfi sem þú auðkennir þig þegar við, prentuð skrá í peningaskáp, stillingagagnagrunnur eða undirritað skjal sem annar ferli skilar, allt gengur. Spjallskilaboð frá vinnufélaga, stoðsíða sem nálgast er í gegnum leitarniðurstöðu og hvað sem límt er í skjáherminn sem þú ert þegar að kemba í ganga ekki.

Biddu um fullt gildi og reikniritið, aldrei forskeyti. Tvípunktar og há- eða lágstafir skipta ekki máli, en stytting breytir 256 bita athugun í giskaleik.

Ef enginn getur framleitt vænta gildið úr óháðri heimild, er heiðarleg niðurstaða sú að ekki sé hægt að sannreyna þetta vottorð í dag. Að segja það er betra en að festa það sem biðlarinn sýndi rétt í þessu, sem gerir viðvörun að venju.

Dragðu gildið út á þinni hlið

Fyrir vottorðsskrá er skipunin openssl x509 -in server.crt -noout -fingerprint -sha256. Sértæka þemban skiptir máli: án hennar fer úttakið eftir útgáfu OpenSSL hjá þér. Niðurstaðan er hex-strengur aðskilinn með tvípunktum, svo fjarlægðu tvípunktana og gerðu báðar hliðar lágstafi áður en þú ber saman.

Fyrir endapunkt sem talar TLS beint, tengstu og pípaðu vottorðinu út: openssl s_client -connect vpn.example.com:443 -servername vpn.example.com < /dev/null | openssl x509 -noout -fingerprint -sha256. Þetta virkar fyrir vefstjórnborð eða TLS-hlustara, ekki fyrir OpenVPN, en stjórnrás þess er inni í göngunni. Fyrir OpenVPN skaltu lesa vottorðið úr sniðinu á disknum í stað þess að reyna að grípa það úr sokknum.

Samanburðurinn á að vera vélrænn. Staðlaðu bæði gildin með tr -d ':' og lágstafabreytingu, berðu svo saman allan strenginn. Að gera það með auganu er leiðin sem passandi forskeyti felur misræmi í síðasta bætinum. Ef strengirnir eru ólíkir skaltu meðhöndla muninn sem raunverulegan áður en þú leitar skýringar.

Stöðvunarskilyrði

Stoppaðu ef hluturinn er ólíkur, því fingrafar CA getur ekki hreinsað blaðvottorð og blað getur ekki hreinsað CA. Stoppaðu ef reikniritið er ólíkt, því SHA-1 gildi borin saman við SHA-256 gildi segir þér ekkert. Stoppaðu ef fingrafarið passar en vottorðið er útrunnið, afturkallað eða gefið út fyrir annað nafn; passandi hak er ekki gildisathugun og lagar ekki brotna keðju. Stoppaðu líka ef raðnúmerið passar ekki við raðnúmerið í skránni sem þú ber saman við, því það er ódýrasta leiðin til að sjá skipt vottorð.

Stoppaðu ef nýja gildið barst um rásina sem þú varst að prófa. Snúningur getur breytt fingrafari á lögmætan hátt, en staðgengilsgildið verður samt að koma frá trausta ferlinu, ekki frá viðvörunarglugganum sem olli spurningunni.

Stoppaðu ef lagfæringin sem er lögð til er að slökkva á sannprófun hýsilnafns eða keðju. Fingrafar bætir skilyrði við venjulegu athuganirnar; það kemur ekki í stað þeirra nema uppsetningin hafi viljandi valið líkan með aðeins pin, og sú ákvörðun hefur sinn eigin rekstrarkostnað.

Eftir samanburðinn

Skráðu hvað þú barst saman, hvaðan vænta gildið kom og hvenær. Ef vottorðið var endurútgefið skaltu uppfæra geymdu væntinguna um sömu traustu rás og skrá nýja raðnúmerið, því raðnúmerið er það sem gerir næsta snúning endurskoðanlegan.

Vertu svo skýr um takmörkin. Fingrafar staðfestir að vottorðið sem þú hefur er það sem einhver sagði þér að vænta. Það segir ekkert um hvort hýsillinn sé óskemmdur, og ekkert um hvort þjónustan skrái eða takmarki það sem vottorðið getur náð til.