ಒಂದೇ ca.crt ಫೈಲ್ ಹೆಸರು, ಬೇರೆ ಪ್ರಮಾಣಪತ್ರ: ಏನನ್ನು ಹೋಲಿಸಬೇಕು

ಎರಡೂ ಪ್ರೊಫೈಲ್ಗಳು ca.crt ಎಂಬ ಹೆಸರಿನ ಫೈಲ್ ಅನ್ನು ತರುತ್ತವೆ, ಒಂದು ಸುರಂಗ ಏರುತ್ತದೆ ಮತ್ತು ಇನ್ನೊಂದು ಸರಪಳಿ ದೋಷದೊಂದಿಗೆ ವಿಫಲವಾಗುತ್ತದೆ. ಎರಡೂ ಫೈಲ್ಗಳನ್ನು ಅಕ್ಕಪಕ್ಕ ಇಟ್ಟು ತೆರೆಯುವುದು ಇದನ್ನು ಅಪರೂಪವಾಗಿ ಬಗೆಹರಿಸುತ್ತದೆ, ಮತ್ತು ಪರಿಶೀಲನೆಯನ್ನು ಆಫ್ ಮಾಡುವುದು ಅದನ್ನು ತಪ್ಪು ದಿಕ್ಕಿನಲ್ಲಿ ಬಗೆಹರಿಸುತ್ತದೆ. ದೋಷವು ನಿಜವಾಗಿ ಕೇಳುವ ಪ್ರಶ್ನೆ ಹೆಚ್ಚು ಸಂಕುಚಿತವಾಗಿದೆ: ಪ್ರತಿ ಪ್ರಕ್ರಿಯೆಯು ಯಾವ ಪ್ರಮಾಣಪತ್ರವನ್ನು ತನ್ನ ವಿಶ್ವಾಸ ಆಂಕರ್ ಆಗಿ ಲೋಡ್ ಮಾಡುತ್ತದೆ, ಮತ್ತು ಎರಡೂ ಒಂದೇ ವಸ್ತುವೇ? ಮೊದಲು ಅದಕ್ಕೆ ಉತ್ತರಿಸಿ ಮತ್ತು ಉಳಿದ ರೋಗನಿರ್ಣಯಕ್ಕೆ ದಿಕ್ಕು ಸಿಗುತ್ತದೆ. ಫೈಲ್ನ ಹೆಸರು ಪ್ಯಾಕೇಜಿಂಗ್ ಲೇಬಲ್, ಮತ್ತು ಪ್ರೊಫೈಲ್ನಲ್ಲಿ ಬರೆದ ಮಾರ್ಗವೂ ಅಧಿಕೃತವಲ್ಲ, ಆದ್ದರಿಂದ ಎಲ್ಲವೂ ಪ್ರಕ್ರಿಯೆ ನಿಜವಾಗಿ ಏನನ್ನು ಓದುತ್ತದೆ ಎಂಬುದರ ಮೇಲೆ ಅವಲಂಬಿತವಾಗಿದೆ.

ಕ್ಲೈಂಟ್ ನಿಜವಾಗಿ ಲೋಡ್ ಮಾಡುವ ಪ್ರಮಾಣಪತ್ರವನ್ನು ಹುಡುಕಿ

OpenVPN ಪ್ರಾಧಿಕಾರವನ್ನು ಎರಡು ರೂಪಗಳಲ್ಲಿ ಸ್ವೀಕರಿಸುತ್ತದೆ, ಮತ್ತು ರೂಪವು ಯಾವ ಬೈಟ್ಗಳು ಮುಖ್ಯ ಎಂಬುದನ್ನು ನಿರ್ಧರಿಸುತ್ತದೆ. ಪ್ರೊಫೈಲ್ ca ನೊಂದಿಗೆ ಬಾಹ್ಯ ಫೈಲ್ ಅನ್ನು ಸೂಚಿಸಬಹುದು, ಅಥವಾ ಪ್ರಮಾಣಪತ್ರವನ್ನು ಪ್ರೊಫೈಲ್ನ ಒಳಗಿನ <ca> ಬ್ಲಾಕ್ನಲ್ಲಿ ಎಂಬೆಡ್ ಮಾಡಬಹುದು. ಎರಡೂ ಇದ್ದಾಗ, ಎಂಬೆಡ್ ಮಾಡಿದ ಬ್ಲಾಕ್ ಗೆಲ್ಲುತ್ತದೆ ಮತ್ತು ಪ್ರೊಫೈಲ್ನ ಪಕ್ಕದಲ್ಲಿರುವ ಫೈಲ್ ಎಂದಿಗೂ ತೆರೆಯುವುದಿಲ್ಲ.

ವಿಫಲವಾಗುವ ಪ್ರೊಫೈಲ್ ಓದಿ ಮತ್ತು ಏನನ್ನಾದರೂ ಹೋಲಿಸುವ ಮೊದಲು ಅದು ಯಾವ ರೂಪವನ್ನು ಬಳಸುತ್ತದೆ ಎಂದು ಕಂಡುಹಿಡಿಯಿರಿ. ನೆರೆಯ ಡೈರೆಕ್ಟರಿಯಿಂದ ಅಥವಾ ಇನ್ನೊಂದು ಪ್ರೊಫೈಲ್ ಬಂದ ಪ್ಯಾಕೇಜ್ನಿಂದ ತೆಗೆದ ಪ್ರತಿ ಈ ಪ್ರಕ್ರಿಯೆ ಯಾವುದನ್ನು ನಂಬುತ್ತದೆ ಎಂಬುದರ ಬಗ್ಗೆ ನಿಮಗೆ ಏನನ್ನೂ ಹೇಳುವುದಿಲ್ಲ. ಸಂರಚನೆಯಲ್ಲಿನ ಮಾರ್ಗಕ್ಕೂ ಇದೇ ಅನ್ವಯಿಸುತ್ತದೆ: ಅದು ಕ್ಲೈಂಟ್ ಪ್ರಾರಂಭವಾದ ಸ್ಥಳಕ್ಕೆ ಸಾಪೇಕ್ಷವಾಗಿ ಪರಿಹರಿಸಲ್ಪಡುತ್ತದೆ, ಅದು ಯಾವಾಗಲೂ ನೀವು ನೋಡುತ್ತಿರುವ ಡೈರೆಕ್ಟರಿ ಅಲ್ಲ. ಪ್ರೊಫೈಲ್ ಓದಿ, ಫೋಲ್ಡರ್ ಅಲ್ಲ.

ಪ್ರಮಾಣಪತ್ರಗಳನ್ನು ಅವುಗಳ ವಿಷಯದಿಂದ ಗುರುತಿಸಲಾಗುತ್ತದೆ: ಸಾರ್ವಜನಿಕ ಕೀ, ವಿಷಯ ಮತ್ತು ನೀಡುವವರು, ಮಾನ್ಯತೆಯ ಅವಧಿ ಮತ್ತು ಅವೆಲ್ಲದರ ಮೇಲಿನ ಸಹಿ. ಒಂದೇ ಬೈಟ್ಗಳಿರುವ ಎರಡು ಫೈಲ್ಗಳು ಯಾವ ಹೆಸರಿನಿಂದ ಕರೆದರೂ ಒಂದೇ ಪ್ರಮಾಣಪತ್ರ, ಮತ್ತು ಒಂದೇ ಹೆಸರಿನ ಎರಡು ಫೈಲ್ಗಳು ಸಂಬಂಧವಿಲ್ಲದ ಪ್ರಾಧಿಕಾರಗಳಾಗಿರಬಹುದು. ಹೆಸರು ಪ್ಯಾಕೇಜಿಂಗ್ ಲೇಬಲ್, ಗುರುತಲ್ಲ.

openssl ನೊಂದಿಗೆ ಎರಡೂ ಪ್ರತಿಗಳ ಫಿಂಗರ್ಪ್ರಿಂಟ್ ತೆಗೆದುಕೊಳ್ಳಿ

ಫಿಂಗರ್ಪ್ರಿಂಟ್ ಎಂಬುದು ಪ್ರಮಾಣಪತ್ರದ DER ಎನ್ಕೋಡಿಂಗ್ನ ಮೇಲಿನ ಹ್ಯಾಶ್, ಸಹಿ ಆವರಿಸುವ ರೂಪ, ಆದ್ದರಿಂದ ಸಾಲಿನ ಅಂತ್ಯಗಳು ಮತ್ತು ಹೆಡರ್ ಪಠ್ಯ ಅದನ್ನು ಬಾಧಿಸಲಾರವು. ಪ್ರತಿ ಫೈಲ್ಗೆ ಅದನ್ನು ಲೆಕ್ಕಹಾಕಿ ಮತ್ತು ನಿಮಗೆ ಕೊಲನ್ಗಳಿಂದ ಬೇರ್ಪಟ್ಟ ಎರಡು ಹೆಕ್ಸ್ ಸ್ಟ್ರಿಂಗ್ಗಳು ಸಿಗುತ್ತವೆ, ಅವು ಹೊಂದಿಕೆಯಾಗುತ್ತವೆ ಅಥವಾ ಇಲ್ಲ. ಹೋಲಿಕೆಯ ಪ್ರಶ್ನೆಗೆ ಉತ್ತರಿಸಲು ಪ್ರಮಾಣಪತ್ರದಲ್ಲಿ ಬೇರೆ ಏನನ್ನೂ ಓದಬೇಕಿಲ್ಲ.

openssl x509 -in /etc/openvpn/office/ca.crt -noout -fingerprint -sha256
openssl x509 -in ~/profiles/lab-ca.pem -noout -fingerprint -sha256

openssl ಅನ್ನು ಪ್ರೊಫೈಲ್ಗೆ ನೇರವಾಗಿ ತೋರಿಸುವುದು ಆಮಿಷಪೂರ್ಣ, ಆದರೆ ಅದು ಫೈಲ್ನಲ್ಲಿ ಮೊದಲು ಕಾಣಿಸುವ ಪ್ರಮಾಣಪತ್ರ ಬ್ಲಾಕ್ ಅನ್ನು ಓದುತ್ತದೆ, ಮತ್ತು ಪ್ರೊಫೈಲ್ ಸಾಮಾನ್ಯವಾಗಿ <ca> ಗಿಂತ ಮೊದಲು <cert> ಹೊಂದಿರುತ್ತದೆ. ಪ್ರಾಧಿಕಾರದ ಬ್ಲಾಕ್ ಅನ್ನು ಹೊರತೆಗೆದು, ನಂತರ ಹೊರತೆಗೆದ ಫೈಲ್ನ ಫಿಂಗರ್ಪ್ರಿಂಟ್ ತೆಗೆದುಕೊಳ್ಳಿ, ಏಕೆಂದರೆ ಅದೇ ಕ್ಲೈಂಟ್ ನಿಜವಾಗಿ ಬಳಸುವ ಪ್ರತಿ.

sed -n '/^<ca>$/,/^<\/ca>$/p' office.ovpn | sed '1d;$d' > /tmp/office-ca.pem
openssl x509 -in /tmp/office-ca.pem -noout -fingerprint -sha256

ಒಂದೇ ರೀತಿಯ ಫಿಂಗರ್ಪ್ರಿಂಟ್ಗಳು ವಿಶ್ವಾಸ ಸಾಮಗ್ರಿ ಒಂದೇ ಎಂದು ಮತ್ತು ಸರಪಳಿ ದೋಷಕ್ಕೆ ಬೇರೆ ಕಾರಣವಿದೆ ಎಂದು ಅರ್ಥ, ಅದು ಬೇರೆ ತನಿಖೆ. ಬೇರೆ ಫಿಂಗರ್ಪ್ರಿಂಟ್ಗಳು ಬೇರೆ ಪ್ರಮಾಣಪತ್ರಗಳು ಎಂದರ್ಥ, ಮತ್ತು ಮುಂದಿನ ವಿಭಾಗ ಅಲ್ಲಿಂದ ಪ್ರಾರಂಭವಾಗುತ್ತದೆ.

ದಾಳಿ ಎಂದು ಭಾವಿಸುವ ಮೊದಲು ಅಸಾಮರಸ್ಯವನ್ನು ಓದಿ

ಬೇರೆ ಫಿಂಗರ್ಪ್ರಿಂಟ್ಗಳು ಬೇರೆ ಪ್ರಮಾಣಪತ್ರಗಳು ಮತ್ತು ಅಷ್ಟೇ. ಮರುನೀಡಿಕೆ, ತಿರುಗುವಿಕೆ, ಮರುನಾಮಕರಣಗೊಂಡ ಪ್ರಾಧಿಕಾರ ಅಥವಾ ಹಳೆಯ ಬಂಡಲ್ ಎಲ್ಲವೂ ಸಂಪೂರ್ಣ ಕಾನೂನುಬದ್ಧ ಇತಿಹಾಸವಿರುವ ಬೇರೆ ಫೈಲ್ಗಳನ್ನು ಉತ್ಪಾದಿಸುತ್ತವೆ. ಯಾವುದು ನಿಯೋಜನೆಗೆ ಸೇರಿದೆ ಎಂಬುದು ಆಪರೇಟರ್ ಅಥವಾ ನಿಯೋಜನೆ ದಾಖಲೆ ನಲ್ಲಿ ಹುಡುಕಬೇಕಾದ ಪ್ರಶ್ನೆ, ಫೈಲ್ನ ಮಾರ್ಪಾಡು ಸಮಯಕ್ಕಲ್ಲ. ಆರ್ಕೈವ್ಗಳು ಟೈಮ್ಸ್ಟ್ಯಾಂಪ್ಗಳನ್ನು ನಕಲಿಸುತ್ತವೆ, ಆದ್ದರಿಂದ ಹೊಸ ಫೈಲ್ ಸ್ವಯಂಚಾಲಿತವಾಗಿ ಸರಿಯಾದ ಆಂಕರ್ ಅಲ್ಲ.

ತನ್ನಷ್ಟಕ್ಕೆ ಸಹಿ ಮಾಡುವ ಮೂಲ ಸಾಮಾನ್ಯ, ಆದ್ದರಿಂದ ಒಂದನ್ನು ಕಂಡುಹಿಡಿಯುವುದು ಸಮಸ್ಯೆಯ ಸಾಕ್ಷ್ಯವಲ್ಲ. ಪರಿಶೀಲಕನ ಕೆಲಸ ಸರ್ವರ್ ಪ್ರಮಾಣಪತ್ರದಿಂದ ತನಗೆ ನೀಡಿದ ಆಂಕರ್ವರೆಗೆ ಮಾರ್ಗ ನಿರ್ಮಿಸುವುದು, ಮತ್ತು ಸರಪಳಿ ದೋಷ ಸಾಮಾನ್ಯವಾಗಿ ಆ ಮಾರ್ಗ ಪೂರ್ಣಗೊಳ್ಳಲಿಲ್ಲ ಎಂದರ್ಥ.

ವಿಫಲ ಪ್ರೊಫೈಲ್ನ ಆಂಕರ್ ನಿಯೋಜನೆ ಇನ್ನೂ ನೀಡುತ್ತಿರುವ ಪ್ರಾಧಿಕಾರವೇ ಎಂದು ಪರಿಶೀಲಿಸಿ. ಫಿಂಗರ್ಪ್ರಿಂಟ್ ನಿಯೋಜನೆ ದಾಖಲೆಯಲ್ಲಿ ಯಾವುದಕ್ಕೂ ಹೊಂದಿಕೆಯಾಗದಿದ್ದರೆ, ಪ್ರೊಫೈಲ್ ಸುಮ್ಮನೆ ಹಳೆಯದಾಗಿದೆ, ಮತ್ತು ಕ್ಲೈಂಟ್ ಬದಿಯ ಯಾವುದೇ ಟ್ಯೂನಿಂಗ್ ಅದನ್ನು ಸರಿಪಡಿಸುವುದಿಲ್ಲ.

ಪರಿಶೀಲನೆಯನ್ನು ಆಫ್ ಮಾಡದೆ ವಿಶ್ವಾಸವನ್ನು ಸರಿಪಡಿಸಿ

ಅಲ್ಪಾವಧಿ ಪರಿಹಾರ ಪರಿಶೀಲನೆಯನ್ನು ಆಫ್ ಮಾಡುವುದು ಅಥವಾ ಸರಪಳಿಯಲ್ಲಿನ ಪ್ರತಿ ಪ್ರಮಾಣಪತ್ರವನ್ನು ಆಂಕರ್ ಆಗಿ ಸೇರಿಸುವುದು. ಎರಡೂ ಸಂದೇಶವನ್ನು ಮಾಯವಾಗಿಸುತ್ತವೆ, ಮತ್ತು ಎರಡೂ ಕ್ಲೈಂಟ್ ಇನ್ನು ಮುಂದೆ ಯಾವ ಸರ್ವರ್ಗಳನ್ನು ಸ್ವೀಕರಿಸುತ್ತದೆ ಎಂಬುದನ್ನು ಬದಲಾಯಿಸುತ್ತವೆ. ಪರಿಶೀಲನೆಯನ್ನು ಮತ್ತೆ ಆನ್ ಮಾಡಿ, ಉದ್ದೇಶಿತ ಆಂಕರ್ ಅನ್ನು ಸ್ಥಾಪಿಸಿ ಮತ್ತು ಮತ್ತೆ ಪರೀಕ್ಷಿಸಿ.

ಸರಪಳಿ ಈಗ ನಿರ್ಮಾಣವಾದರೆ ಆದರೆ ಬೇರೆ ದೋಷ ಕಾಣಿಸಿಕೊಂಡರೆ, ಅದು ಪ್ರಗತಿ: ಹೆಸರಿನ ಪರಿಶೀಲನೆ, ಮಾನ್ಯತೆ ದಿನಾಂಕಗಳು ಮತ್ತು ರದ್ದತಿ ಪ್ರತ್ಯೇಕ ಸಂದೇಶಗಳಿರುವ ಪ್ರತ್ಯೇಕ ತಪಾಸಣೆಗಳು. ಫಿಂಗರ್ಪ್ರಿಂಟ್ ಜೋಡಿ ಮತ್ತು ಮೂಲ ದೋಷ ಪಠ್ಯವನ್ನು ಟಿಕೆಟ್ನಲ್ಲಿ ಒಟ್ಟಿಗೆ ಇರಿಸಿ, ಮುಂದಿನ ವ್ಯಕ್ತಿ ಯಾವ ಆಂಕರ್ ಲೋಡ್ ಆಯಿತು ಮತ್ತು ಯಾವುದನ್ನು ನಿರೀಕ್ಷಿಸಲಾಗಿತ್ತು ಎಂದು ನೋಡಬಹುದು. ಒಂದು ಜೋಡಿ ಫಿಂಗರ್ಪ್ರಿಂಟ್ ಹಸ್ತಾಂತರ ಟಿಪ್ಪಣಿಯಲ್ಲಿ ಅಂಟಿಸಲು ಸಾಕಷ್ಟು ಚಿಕ್ಕದು, ಮತ್ತು ಮುಂದಿನ ಸಂಭವವು ಆಗ ಮಧ್ಯಾಹ್ನದ ಬದಲು ಐದು ನಿಮಿಷ ತೆಗೆದುಕೊಳ್ಳುತ್ತದೆ.

ಪ್ರೊಫೈಲ್ ತಲುಪಿಸಿದ ಅದೇ ದೃಢೀಕೃತ ಚಾನಲ್ ಮೂಲಕ ಸರಿಯಾದ ಪ್ರಾಧಿಕಾರವನ್ನು ಪಡೆಯಿರಿ. ಅದರ ವಿಷಯ ಪರಿಚಿತವಾಗಿ ಕಾಣುತ್ತದೆ ಎಂಬ ಕಾರಣಕ್ಕೆ ಸರ್ವರ್ನಿಂದ ಪ್ರಮಾಣಪತ್ರವನ್ನು ಎಳೆಯುವುದು ಬೇರೆ ಕ್ರಿಯೆ, ಮತ್ತು ಅದು ಕ್ಲೈಂಟ್ ನಂಬುವುದನ್ನು ಮೌನವಾಗಿ ವಿಸ್ತರಿಸುತ್ತದೆ.