VPN сертификатының саусақ ізін бөлек арнамен қалай тексеруге болады

Саусақ ізі қаншалықты сенімді болса, сізге нені күту керектігін айтқан арна да соншалықты сенімді. Егер салыстырып отырған мән сіз тексеретін сол қосылым арқылы келсе, салыстыру сол қосылымды басқаратын тараптың бірізді екенінен басқа ештеңені дәлелдемейді. Тексеру белгіленген ретпен жүруі керек, ал сәтсіз қадам сізді келесіге итермелеудің орнына тоқтатуы тиіс. Міне, VPN клиенті сертификат өзгергенін хабарлағанда мен қолданатын рет.

Мәнді атамас бұрын нысанды атаңыз

Күтілетін мән сервердің жапырақ сертификатына, оны шығарған CA-ға немесе жапырақтың ішіндегі ашық кілтке жататынын шешіңіз. Бұл үш түрлі тексеру және олар әртүрлі жолмен сәтсіз аяқталады. Сәйкес келген CA саусақ ізі серверді бекітпейді, және ашық кілттің хэші сол кілтті сақтайтын қайта шығарылымнан әдейі аман қалады.

Алгоритмді де жазып қойыңыз. SHA-256 қазір қалыпты күту, бірақ ескі құралдар басқа нәрсе сұрамасаңыз SHA-1 басатын, ал 40 таңбалы hex мән екі түрлі нәрсені салыстырғалы жатқаныңыздың белгісі.

Күтілетін мәнді екінші арна арқылы алыңыз

Екінші арна сіз қорғанатын тарап жаза алмайтын арна болуы керек. Сіз бұрыннан аутентификация жасайтын жабдықтау жүйесі, сейфтегі басылған жазба, конфигурация дерекқоры немесе басқа процесс жеткізетін қол қойылған құжат, бәрі жарайды. Әріптестің чат хабары, іздеу нәтижесі арқылы ашылған қолдау беті және сіз қазірдің өзінде жөндеп отырған терминалға қойылған кез келген нәрсе жарамайды.

Толық мәнді және алгоритмді сұраңыз, ешқашан префикс сұрамаңыз. Қос нүкте мен әріп регистрі маңызды емес, бірақ қысқарту 256 биттік тексеруді болжам ойынына айналдырады.

Егер ешкім күтілетін мәнді тәуелсіз дереккөзден бере алмаса, адал нәтиже — бұл сертификатты бүгін тексеру мүмкін емес. Соны айту клиент жаңа ғана көрсеткен нәрсені бекітуден жақсы, өйткені ол ескертуді әдетке айналдырады.

Мәнді өз жағыңызда шығарып алыңыз

Сертификат файлы үшін команда openssl x509 -in server.crt -noout -fingerprint -sha256. Айқын дайджест маңызды: онсыз шығыс сіздің OpenSSL нұсқаңызға тәуелді. Нәтиже қос нүктемен бөлінген hex жолы, сондықтан қос нүктелерді алып тастап, салыстыру алдында екі жақты да кіші әріпке келтіріңіз.

TLS-ті тікелей сөйлейтін шеткі нүкте үшін қосылып, сертификатты құбыр арқылы шығарыңыз: openssl s_client -connect vpn.example.com:443 -servername vpn.example.com < /dev/null | openssl x509 -noout -fingerprint -sha256. Бұл веб әкімшілік панеліне немесе TLS тыңдаушысына жарайды, ал басқару арнасы туннельдің ішінде орналасқан OpenVPN үшін жарамайды. OpenVPN үшін сокеттен ұстауға тырысудың орнына дискідегі профильден сертификатты оқыңыз.

Салыстыру механикалық болуы керек. Екі мәнді де tr -d ':' және регистрді біріздендіру арқылы қалыпқа келтіріп, содан кейін бүкіл жолды салыстырыңыз. Көзбен салыстыру — сәйкес префикстің соңғы байттағы айырмашылықты жасыратын тәсілі. Егер жолдар өзгеше болса, түсініктеме іздеудің алдында айырмашылықты шынайы деп қабылдаңыз.

Тоқтау шарттары

Нысан өзгеше болса тоқтаңыз, өйткені CA саусақ ізі жапырақ сертификатын ақтай алмайды, ал жапырақ CA-ны ақтай алмайды. Алгоритм өзгеше болса тоқтаңыз, өйткені SHA-1 мәнін SHA-256 мәнімен салыстыру сізге ештеңе айтпайды. Саусақ ізі сәйкес болса да сертификат мерзімі біткен, кері қайтарылған немесе басқа атауға берілген болса тоқтаңыз; сәйкес хэш жарамдылық тексерісі емес және үзілген тізбекті түзетпейді. Сондай-ақ сериялық нөмір сіз тексеретін жазбадағы сериялық нөмірге сәйкес келмесе тоқтаңыз, өйткені бұл ауыстырылған сертификатты байқаудың ең арзан жолы.

Жаңа мән сіз тексеріп отырған арна арқылы келсе тоқтаңыз. Ротация саусақ ізін заңды түрде өзгерте алады, бірақ алмастыру мәні бәрібір сенімді процестен келуі керек, сұрақ тудырған ескерту терезесінен емес.

Ұсынылған түзету хост атауын немесе тізбекті тексеруді өшіру болса тоқтаңыз. Саусақ ізі қалыпты тексерулерге бір шектеу қосады; ол тек орналастыру әдейі тек-пин моделін таңдамаса, оларды алмастырмайды, ал бұл таңдау өз операциялық шығындарымен келеді.

Салыстырудан кейін

Нені салыстырғаныңызды, күтілетін мән қайдан келгенін және қашан екенін жазып қойыңыз. Егер сертификат қайта шығарылса, сақталған күтуді сол сенімді арна арқылы жаңартып, жаңа сериялық нөмірді белгілеңіз, өйткені келесі ротацияны тексерілетін ететін дәл сол сериялық нөмір.

Содан кейін шектеулер туралы анық болыңыз. Саусақ ізі сіздегі сертификаттың біреу күтуіңізді айтқан сертификат екенін растайды. Ол хосттың зақымдалмағаны туралы ештеңе айтпайды және қызметтің бұл сертификаттың қайда жете алатынын тіркейтінін немесе шектейтінін де айтпайды.