როგორ გადავამოწმოთ VPN სერტიფიკატის ანაბეჭდი ცალკე არხით

ანაბეჭდი იმდენად სანდოა, რამდენადაც ის არხი, რომელმაც გითხრათ, რა უნდა მოგელოდათ. თუ მნიშვნელობა, რომელსაც ადარებთ, იმავე კავშირით მოვიდა, რომელსაც ამოწმებთ, მაშინ შედარება არაფერს ამტკიცებს გარდა იმისა, რომ ამ კავშირის მმართველი მხარე თანმიმდევრულია. შემოწმება უნდა მიმდინარეობდეს ფიქსირებული თანმიმდევრობით, და წარუმატებელმა ნაბიჯმა უნდა შეგაჩეროთ, ნაცვლად იმისა, რომ შემდეგზე გაგიწიოთ. აი თანმიმდევრობა, რომელსაც ვიყენებ, როცა VPN კლიენტი იტყობინება, რომ სერტიფიკატი შეიცვალა.

დაასახელეთ ობიექტი, სანამ მნიშვნელობას დაასახელებთ

გადაწყვიტეთ, მოსალოდნელი მნიშვნელობა სერვერის ფოთლოვან სერტიფიკატს ეკუთვნის, მის გამომცემ CA-ს თუ ფოთლის შიგნით არსებულ საჯარო გასაღებს. ეს სამი განსხვავებული შემოწმებაა და ისინი სხვადასხვაგვარად ცდება. დამთხვეული CA ანაბეჭდი სერვერს არ ამაგრებს, და საჯარო გასაღების ჰეში განზრახ გადაურჩება ხელახალ გამოშვებას, რომელიც იმავე გასაღებს ინახავს.

ჩაწერეთ ასევე ალგორითმი. SHA-256 დღეს ჩვეულებრივი მოლოდინია, მაგრამ ძველი ხელსაწყოები SHA-1-ს ბეჭდავდნენ, თუ სხვას არ ითხოვდით, და 40 სიმბოლოიანი hex მნიშვნელობა ნიშანია, რომ ორ სხვადასხვა რამეს აპირებთ შედარებას.

მოიპოვეთ მოსალოდნელი მნიშვნელობა მეორე არხით

მეორე არხი ისეთი უნდა იყოს, რომელშიც ის მხარე, რომლისგანაც იცავთ თავს, ვერ ჩაწერს. მომარაგების სისტემა, რომელშიც უკვე ავთენტიფიცირდებით, სეიფში შენახული ბეჭდური ჩანაწერი, კონფიგურაციის ბაზა ან სხვა პროცესის მიერ მიტანილი ხელმოწერილი დოკუმენტი, ყველა შესაფერისია. კოლეგის ჩატის შეტყობინება, ძიების შედეგით მიღწეული მხარდაჭერის გვერდი და ნებისმიერი რამ, რაც იმ ტერმინალში ჩასვით, სადაც უკვე გამართვას აკეთებთ, შესაფერისი არ არის.

ითხოვეთ სრული მნიშვნელობა და ალგორითმი, არასოდეს პრეფიქსი. ორწერტილსა და ასოების რეგისტრს მნიშვნელობა არ აქვს, მაგრამ შეკვეცა 256-ბიტიან შემოწმებას გამოცნობის თამაშად აქცევს.

თუ ვერავინ შეძლებს მოსალოდნელი მნიშვნელობის დამოუკიდებელი წყაროდან მოწოდებას, პატიოსანი შედეგია, რომ ამ სერტიფიკატის დღეს გადამოწმება შეუძლებელია. ამის თქმა სჯობს იმის დამაგრებას, რაც კლიენტმა ახლახან აჩვენა, რაც გაფრთხილებას ჩვევად აქცევს.

ამოიღეთ მნიშვნელობა თქვენს მხარეს

სერტიფიკატის ფაილისთვის ბრძანებაა openssl x509 -in server.crt -noout -fingerprint -sha256. მკაფიო დაიჯესტი მნიშვნელოვანია: მის გარეშე შედეგი თქვენს OpenSSL ვერსიაზეა დამოკიდებული. შედეგი ორწერტილებით გამოყოფილი hex სტრიქონია, ამიტომ მოხსენით ორწერტილები და შედარებამდე ორივე მხარე პატარა ასოებად აქციეთ.

პირდაპირ TLS-ზე მოლაპარაკე ბოლო წერტილისთვის დაუკავშირდით და სერტიფიკატი მილით გამოიტანეთ: openssl s_client -connect vpn.example.com:443 -servername vpn.example.com < /dev/null | openssl x509 -noout -fingerprint -sha256. ეს მუშაობს ვებ ადმინისტრირების პანელისთვის ან TLS მსმენელისთვის, არა OpenVPN-ისთვის, რომლის მართვის არხი გვირაბის შიგნითაა. OpenVPN-ისთვის წაიკითხეთ სერტიფიკატი დისკზე არსებული პროფილიდან, ნაცვლად იმისა, რომ სოკეტიდან დაჭერას სცადოთ.

შედარება მექანიკური უნდა იყოს. ნორმალიზეთ ორივე მნიშვნელობა tr -d ':'-ით და ასოების ერთგვაროვნებით, შემდეგ შეადარეთ მთელი სტრიქონი. თვალით შედარება ის გზაა, რომლითაც დამთხვეული პრეფიქსი ბოლო ბაიტში განსხვავებას მალავს. თუ სტრიქონები განსხვავდება, სანამ ახსნას მოძებნით, განსხვავება რეალურად მიიჩნიეთ.

შეჩერების პირობები

შეჩერდით, თუ ობიექტი განსხვავდება, რადგან CA ანაბეჭდი ვერ გაამართლებს ფოთლოვან სერტიფიკატს და ფოთოლი ვერ გაამართლებს CA-ს. შეჩერდით, თუ ალგორითმი განსხვავდება, რადგან SHA-1 მნიშვნელობის SHA-256 მნიშვნელობასთან შედარება არაფერს გეუბნებათ. შეჩერდით, თუ ანაბეჭდი ემთხვევა, მაგრამ სერტიფიკატი ვადაგასულია, გაუქმებულია ან სხვა სახელზეა გამოცემული; დამთხვეული ჰეში ვალიდურობის შემოწმება არ არის და გატეხილ ჯაჭვს არ არემონტებს. შეჩერდით ასევე, თუ სერიული ნომერი არ ემთხვევა იმ ჩანაწერის სერიულ ნომერს, რომლის წინააღმდეგაც ამოწმებთ, რადგან ეს შეცვლილი სერტიფიკატის შემჩნევის ყველაზე იაფი გზაა.

შეჩერდით, თუ ახალი მნიშვნელობა იმ არხით მოვიდა, რომელსაც ამოწმებდით. როტაციამ შეიძლება კანონიერად შეცვალოს ანაბეჭდი, მაგრამ ჩანაცვლების მნიშვნელობა მაინც სანდო პროცესიდან უნდა მოვიდეს და არა იმ გაფრთხილების დიალოგიდან, რომელმაც კითხვა გამოიწვია.

შეჩერდით, თუ შემოთავაზებული გამოსწორება ჰოსტის სახელის ან ჯაჭვის შემოწმების გამორთვაა. ანაბეჭდი ჩვეულებრივ შემოწმებებს ერთ შეზღუდვას ამატებს; ის მათ არ ცვლის, თუ განლაგებამ განზრახ არ აირჩია მხოლოდ-პინ მოდელი, და ამ არჩევანს თავისი ოპერაციული ხარჯები აქვს.

შედარების შემდეგ

ჩაწერეთ, რა შეადარეთ, საიდან მოვიდა მოსალოდნელი მნიშვნელობა და როდის. თუ სერტიფიკატი ხელახლა გამოიცა, განაახლეთ შენახული მოლოდინი იმავე სანდო არხით და ჩაწერეთ ახალი სერიული ნომერი, რადგან სწორედ სერიული ნომერი ხდის შემდეგ როტაციას აუდიტირებადს.

შემდეგ ნათლად ისაუბრეთ საზღვრებზე. ანაბეჭდი ადასტურებს, რომ თქვენს ხელში არსებული სერტიფიკატი ის არის, რაც ვიღაცამ გითხრათ, რომ უნდა მოგელოდათ. ის არაფერს ამბობს იმაზე, დაუზიანებელია თუ არა ჰოსტი, და არც იმაზე, აღრიცხავს თუ ზღუდავს სერვისი იმას, თუ სად შეიძლება ამ სერტიფიკატს მიწვდომა.