VPN сертификатынын манжа изин өзүнчө канал аркылуу кантип текшерүү керек

Манжа изи канчалык ишенимдүү болсо, сизге эмнени күтүү керектигин айткан канал да ошончолук ишенимдүү. Эгер салыштырып жаткан маани сиз текшерип жаткан ошол эле байланыш аркылуу келсе, салыштыруу ошол байланышты башкарып турган тарап ырааттуу экенинен башка эч нерсени далилдебейт. Текшерүү белгиленген тартипте жүрүшү керек, ал эми ийгиликсиз кадам сизди кийинкисине түртүүнүн ордуна токтотушу керек. VPN кардары сертификат өзгөргөнүн билдиргенде мен колдонгон тартип мынайы.

Маанини атаардан мурун объектини атаңыз

Күтүлгөн маани сервердин жалбырак сертификатына, аны чыгарган CAга же жалбырактын ичиндеги ачык ачкычка таандыкпы экенин чечиңиз. Бул үч башка текшерүү жана алар ар башкача ийгиликсиз болот. Дал келген CA манжа изи серверди бекемдебейт, жана ачык ачкычтын хеши ошол эле ачкычты сактаган кайра чыгаруудан атайын аман калат.

Алгоритмди да жазып кой. SHA-256 азыр кадимки күтүү, бирок эски куралдар башка нерсе сурабасаңыз SHA-1 баскан, ал эми 40 белгилүү hex маани эки башка нерсени салыштыраарыңыздын белгиси.

Күтүлгөн маанини экинчи канал аркылуу алыңыз

Экинчи канал сиз коргонуп жаткан тарап жаза албаган канал болушу керек. Сиз мурунтан аутентификация жасаган камсыздоо системасы, сейфтеги басылган жазуу, конфигурация маалымат базасы же башка процесс жеткирген кол коюлган документ, баары ылайыктуу. Кесиптештин чат билдирүүсү, издөө натыйжасы аркылуу ачылган колдоо баракчасы жана сиз азыр эле мүчүлүштүктү оңдоп жаткан терминалга чапталган нерселердин баары ылайыктуу эмес.

Толук маанини жана алгоритмди сураңыз, эч качан префикс эмес. Кош чекит жана тамга регистри маанилүү эмес, бирок кыскартуу 256 биттик текшерүүнү болжол оюнуна айландырат.

Эгер эч ким күтүлгөн маанини көз карандысыз булактан бере албаса, акыйкат жыйынтык бул сертификатты бүгүн текшерүү мүмкүн эмес. Ушундай деп айтуу кардар жаңы эле көрсөткөн нерсени бекитүүдөн жакшы, анткени ал эскертүүнү адат кылат.

Маанини өз жагыңыздан алып чыгыңыз

Сертификат файлы үчүн буйрук openssl x509 -in server.crt -noout -fingerprint -sha256. Айкын дайджест маанилүү: ансыз чыгарылыш сиздин OpenSSL версияңызга көз каранды. Жыйынтык кош чекит менен бөлүнгөн hex сап, ошондуктан кош чекиттерди алып салып, салыштыруудан мурун эки тарапты тең кичине тамгага келтириңиз.

TLSти түздөн-түз сүйлөгөн акыркы чекит үчүн туташып, сертификатты түтүк аркылуу чыгарыңыз: openssl s_client -connect vpn.example.com:443 -servername vpn.example.com < /dev/null | openssl x509 -noout -fingerprint -sha256. Бул веб башкаруу панелине же TLS угуучусуна иштейт, башкаруу каналы туннелдин ичинде жайгашкан OpenVPN үчүн иштебейт. OpenVPN үчүн сокеттен кармоого аракет кылуунун ордуна дисктеги профилден сертификатты окуңуз.

Салыштыруу механикалык болушу керек. Эки маанини тең tr -d ':' жана регистрди бирдей кылуу аркылуу нормалдаштырып, анан бүт сапты салыштырыңыз. Көз менен салыштыруу дал келген префикстин акыркы байттагы айырманы жашыруучу ыкмасы. Эгер саптар айырмаланса, түшүндүрмө издөөдөн мурун айырманы чыныгы деп кабыл алыңыз.

Токтотуу шарттары

Объект башка болсо токтоңуз, анткени CA манжа изи жалбырак сертификатты актай албайт, ал эми жалбырак CAны актай албайт. Алгоритм башка болсо токтоңуз, анткени SHA-1 маанисин SHA-256 мааниси менен салыштыруу сизге эч нерсе айтпайт. Манжа изи дал келсе да сертификаттын мөөнөтү өткөн, жокко чыгарылган же башка атка берилген болсо токтоңуз; дал келген хеш жарактуулуктун текшерүүсү эмес жана үзүлгөн чынжырды оңдобойт. Ошондой эле сериялык номери сиз салыштырып жаткан жазуудагы сериялык номерге дал келбесе токтоңуз, анткени бул алмаштырылган сертификатты байкоонун эң арзан жолу.

Жаңы маани сиз текшерип жаткан канал аркылуу келсе токтоңуз. Ротация манжа изин мыйзамдуу түрдө өзгөртө алат, бирок алмаштыруучу маани баары бир ишенимдүү процесстен келиши керек, суроону жараткан эскертүү терезесинен эмес.

Сунушталган оңдоо хост атын же чынжырды текшерүүнү өчүрүү болсо токтоңуз. Манжа изи кадимки текшерүүлөргө бир чектөө кошот; эгер жайылтуу атайын тек-пин моделин тандабаса, ал аларды алмаштырбайт, ал эми ал тандоо өзүнүн операциялык чыгымдары менен келет.

Салыштыруудан кийин

Эмнени салыштырганыңызды, күтүлгөн маани кайдан келгенин жана качан болгонун жазып коюңуз. Эгер сертификат кайра чыгарылса, сакталган күтүүнү ошол эле ишенимдүү канал аркылуу жаңыртып, жаңы сериялык номерди белгилеңиз, анткени кийинки ротацияны текшерүүгө мүмкүн кылган дал ошол сериялык номер.

Анан чектөөлөр тууралуу так болуңуз. Манжа изи сиздеги сертификат бирөө күтүүңүздү айткан сертификат экенин ырастайт. Ал хост бузулбаганы тууралуу эч нерсе айтпайт жана кызматтын бул сертификат кайда жете аларын жазып же чектеп жатабы, аны да айтпайт.