VPN сертификатын ачкычын жарыя кылбай текшерүү

Сертификаттын ачык талааларын окуу үчүн ага дал келген жашыруун ачкычты көрсөтүүнүн кереги жок, жана муну кылган куралдар VPNди бүтүргөн ар бир система менен келет. Тобокелдик бир кадам мурун турат: сизге берилген файл сертификат эмес болушу мүмкүн. PEM сертификаты, DER блогу, PKCS#12 топтому жана OpenVPN профили бирдей ат менен келип, абдан башка материалды кармашы мүмкүн, ошондуктан буйрукту тандаардан мурун контейнерди аныктаңыз.

Үч факты кайсы буйруктун коопсуз экенин чечет: файлда эмне бар, андан эмнени окуу керек, жана чыгарылышты ким көрөт. Булардын бири ката болсо, текшерүү өзү окуяга айланат.

Сизге берилген үч файлдын кайсынысы

PEM сертификаты көрүнгөн BEGIN жана END белгилери бар текст, DER файлы киргизүү форматынын желегин талап кылган бинардык файл, ал эми топтом — сертификаттын жанында ачкычты кармашы мүмкүн болгон контейнер. file server.crt текстти бинардан бир заматта ажыратат, жана биринчи сапка көз чаптыруу таза сертификатты аны камтыган профилден бөлүп берет. Ушул жерде божомолдоо текшерүүнү окуяга айландырат.

Эгер файл сертификат эмес, профиль болсо, тескериси далилденбейинче аны тастыктама катары кабыл алыңыз. Бул божомол эч нерсеге турбайт жана бүт иштин эң кеңири тараган катасын болтурбайт.

PEM сертификатынын ачык талааларын окуу

Текшерүүгө укугуңуз бар сертификат үчүн, -noout менен x509 субкомандасы сиз тандаган талааларды гана басып чыгарат, башка эч нерсени. Денени басуу чыгарылышты метаберилиштер менен чектейт, ошол эле аны билетке чаптоого коопсуз кылат. Төмөнкү селекторлор ачык болуп саналат, калганын openssl x509 документтемеси тизмелейт.

openssl x509 -in server.crt -noout -subject -issuer -dates -fingerprint -sha256

Жергиликтүү түзүлгөн сыноо сертификатында бул буйрук субъект жана чыгарган тарап сабын, notBefore жана notAfter жупун, жана бир SHA-256 изин басып чыгарат. Бул талаалар объектини аныктайт; алар жарактуу ишеним жолун түзбөйт, ал өз буйругу жана өз жообу бар өзүнчө текшерүү иши. Чынжыр файлы да файлды өзүңүз кайталабасаңыз, биринчи сертификатты гана басып чыгарышы мүмкүн. Эки файлды ушундай салыштыруу бир буйрукка турат жана каршы тарап иш жүзүндө кайсынысын көрсөтөрүн чечет.

Сертификаттын жанында ачкычты кармаган топтомдор

.p12 же .pfx файлы жашыруун ачкычты кармашы мүмкүн, жана чыгарылыштын ошол бөлүгүн баспасаңыз, талдоо буйругу аны басып чыгарат. -nokeys менен ошол эле буйрук эч кандай ачкыч материалын чыгарбастан, контейнердин түзүлүшүн, анын ичинде капталган ачкыч баштыгын билдирет; бул флагды алып салсаңыз, терминалыңызда жана shell тарыхыңызда ачкыч блогу пайда болот.

openssl pkcs12 -in bundle.p12 -nokeys -info -passin env:P12PASS

OpenVPN профили ошол эле материалды текст түрүндө камтыйт, ошондуктан кайдан кароону билсеңиз, чек көрүнөт. Ачык материал BEGIN CERTIFICATE жана END CERTIFICATE ортосунда турат, ал эми BEGIN PRIVATE KEY жана ага дал келген END сабынын ортосундагы нерсе ачкыч болуп, ал хосттон чыкпашы керек. Профилди толугу менен көчүрүү экөөнү тең жарыялайт.

Шилтеме маанисин башка жерден алуу

Текшерүүгө аракет кылган туташуудан окулган из эч нерсени далилдебейт, анткени аны сиз ишенбеген тарап берген. Бул издерге каршы аргумент эмес; бул булак жөнүндөгү аргумент. Маанини каршы тарап жаза албаган канал аркылуу алынган маани менен салыштырыңыз, мисалы ички кампада жарыяланган сертификат же кол коюлган өзгөртүү жазуусунда басылган хэш.

Ишеним кампасы текшерүүнү аткарса, ага жол бериңиз жана өз салыштырууңузду алмаштырбай, анын чыгарган катасын окуңуз. Маанилүү айырма — шилтемени ким бергенинде, кайсы хэш функциясы колдонулганында эмес.

Жыйынтыкты бөлүшүү жана жаңылыштыктан кийин эмне кылуу керек

Так текшерүү катасын, тиешелүү даталарды жана алуучуга керектүү инсандык маалыматтарды гана жөнөтүңүз. Ички хост аттары жана аккаунт идентификаторлору ачкыч жок болсо да сезимтал бойдон калат, жана коомдук чаптоо кызматы алардын баары үчүн туура эмес жер. Билетке чаптаңыз, башка бирөө бөлүшкөн убактылуу буферге эмес.

Ачкыч материалы экранда же файлда чындап пайда болгон болсо, эч ким көргөн жок деп үмүт кылбай, аны бузулган деп эсептеп алмаштырыңыз. Андан кийин текшерилген файлды, колдонулган буйрукту жана чыгарылыш кайда кеткенин жазыңыз, анткени ушул жазуу коркунучту процедурага айландырат. Эч ким скриншот сактаган жок деп болжолдоонун баасына салыштырганда алмаштыруу арзан, жана ошол эле жазуу кийинки инженерге кайсы файлдарга тийилгенин айтып берет. Билет жабылганга чейин экөөнү тең жасаңыз.