VPN сертификатын кілтін ашпай тексеру

Сертификаттың ашық өрістерін оқу оның сәйкес жеке кілтін көрсетуді ешқашан талап етпейді, ал оған қажет құралдар VPN-ды тоқтататын әрбір жүйемен бірге келеді. Тәуекел бір қадам ертерек: сізге берілген файл мүлдем сертификат болмауы мүмкін. PEM сертификаты, DER блогы, PKCS#12 жинағы және OpenVPN профилі бірдей атаумен келіп, мүлде басқа материал ұстауы мүмкін, сондықтан бұйрықты таңдамас бұрын контейнерді анықтаңыз.

Қай бұйрықтың қауіпсіз екенін үш факт шешеді: файлда не бар, одан нені оқу керек және шығысты кім көреді. Осының біреуі қате болса, тексерудің өзі оқиғаға айналады.

Үш файлдың қайсысы берілді

PEM сертификаты көрінетін BEGIN және END белгілері бар мәтін, DER файлы енгізу пішімінің жалаушасын қажет ететін бинарлық файл, ал жинақ — сертификаттың қасында кілт ұстауы мүмкін контейнер.file server.crt мәтінді бинарлықтан бір секундта ажыратады, ал бірінші жолға көз жүгірту таза сертификатты ішіне сертификат енгізілген профильден ажыратады. Дәл осы жерде болжау тексеруді оқиғаға айналдырады.

Файл сертификат емес, профиль болса, керісі дәлелденгенше оны құпия дерек ретінде ұстаңыз. Бұл болжам ештеңе тұрмайды және осы жұмыстағы ең жиі қатені болдырмайды.

PEM сертификатының ашық өрістерін оқу

Тексеруге рұқсатыңыз бар сертификат үшін x509 қосалқы бұйрығы -noout кілтімен таңдаған өрістеріңізді ғана шығарады, басқа ештеңе жоқ. Денесін басу шығысты метадеректерде ұстайды, дәл сол оны билетке қоюға қауіпсіз етеді. Төмендегі селекторлар ашық өрістер, ал openssl x509 құжаттамасы қалғанын тізіп береді.

openssl x509 -in server.crt -noout -subject -issuer -dates -fingerprint -sha256

Жергілікті жасалған сынақ сертификатында бұл бұйрық subject және issuer жолын, notBefore мен notAfter жұбын және бір SHA-256 саусақ ізін шығарады. Бұл өрістер нысанды сәйкестендіреді; олар жарамды сенім тізбегін орнатпайды, ол өз бұйрығы мен өз жауабы бар жеке тексеру міндеті. Тізбек файлы файлды өзіңіз қайталамасаңыз, тек бірінші сертификатты шығаруы мүмкін. Екі файлды осылай салыстыру бір бұйрыққа тұрады және қайсысын тарап шынымен ұсынатынын шешеді.

Сертификаттың қасында кілт ұстайтын жинақтар

Кеңейтімі .p12немесе .pfx файл жеке кілт алып жүруі мүмкін, ал талдау бұйрығы шығыстың сол бөлігін баспасаңыз, оны көрсетеді. -nokeys жалаушасымен сол бұйрық контейнер құрылымын, оның ішінде жасырын кілт қапшығын хабарлайды, бірақ кілт материалын шығармайды; бұл жалаушаны алып тастасаңыз, кілт блогы терминалда және shell тарихында пайда болады.

openssl pkcs12 -in bundle.p12 -nokeys -info -passin env:P12PASS

OpenVPN профилі сол материалды мәтін ретінде енгізеді, сондықтан қайдан қарау керегін білсеңіз, шекара көрінеді. Ашық материал BEGIN CERTIFICATE мен END CERTIFICATE арасында, ал BEGIN PRIVATE KEY мен оған сәйкес END жолының арасындағының бәрі кілт және ол хосттан шықпауы керек. Профильді түгел көшіру екеуін де жариялайды.

Анықтамалық мәнді басқа жерден алу

Сіз тексеруге тырысқан қосылымнан оқылған саусақ ізі ештеңені дәлелдемейді, өйткені оны сіз сенбейтін тарап берді. Бұл саусақ іздеріне қарсы дәлел емес; бұл шығу тегі туралы дәлел. Мәнді тарап жаза алмайтын арна арқылы алынған мәнмен салыстырыңыз, мысалы ішкі репозиторийде жарияланған сертификат немесе қол қойылған өзгеріс жазбасында басылған хэш.

Сенім қоймасы валидация жасайтын жерде оған мүмкіндік беріңіз және өз салыстыруыңызбен алмастырмай, ол шығарған қатені оқыңыз. Маңыздысы — анықтаманы кім берді, қандай хэш функциясы қолданылғаны емес.

Нәтижені бөлісу және қателіктен кейін не істеу керек

Нақты валидация қатесін, тиісті күндерді және алушыға қажет сәйкестендіру деректерін ғана жіберіңіз. Ішкі хост атаулары мен тіркелгі идентификаторлары кілт болмаса да сезімтал күйінде қалады, ал ашық қою қызметі мұның бәрі үшін дұрыс емес мекенжай. Билетке қойыңыз, басқалар бөлісетін уақытша буферге емес.

Кілт материалы экранда немесе файлда пайда болса, оны ашылған деп қарап, ешкім көрмеді деп үміттенбей, кілтті ауыстырыңыз. Содан кейін тексерілген файлды, қолданылған бұйрықты және шығыстың қайда кеткенін жазып қойыңыз, өйткені дәл сол жазба қорқынышты процедураға айналдырады. Ешкім скриншот сақтамады деп болжаудың құнымен салыстырғанда кілтті ауыстыру арзан, ал сол жазба келесі инженерге қай файлдарға қол тигенін айтады. Билет жабылмай тұрып екеуін де жасаңыз.