E VPN-Zertifikat iwwerpréiwen, ouni säi Schlëssel auszeginn

D'ëffentlech Felder vun engem Zertifikat ze liesen erfuerdert ni, de passenden privaten Schlëssel ze weisen, an d'Instrumenter dofir kommen mat all System, dat en VPN beendegt. D'Risiko läit ee Schrëtt virdrun: d'Datei, déi Dir kritt hutt, ass vläicht guer keen Zertifikat. E PEM-Zertifikat, en DER-Blob, e PKCS#12-Bündel an e OpenVPN-Profil kënnen mam selwechten Numm ukënnen a ganz verschidde Material halen, also identifizéiert de Container, ier Dir eng Kommando auswielt.

Dräi Fakten entscheeden, wéi eng Kommando sécher ass: wat d'Datei hält, wat Dir doraus liese musst, a wien d'Ausgab gesäit. Krit Dir ee vun hinnen falsch, gëtt d'Inspektioun selwer zum Incident.

Wéi eng vun dräi Dateien Dir kritt hutt

E PEM-Zertifikat ass Text mat sichtbaren BEGIN- an END-Marken, eng DER-Datei ass binär an brauch en Input-Format-Flag, an e Bündel ass e Container, deen e Schlëssel nieft dem Zertifikat ka halen. file server.crt trennt Text a Binär an enger Sekonn, an en Bléck op déi éischt Linn trennt e bloe Zertifikat vun engem Profil, deen een enthält. Hei ze roden ass dat, wat eng Inspektioun zum Incident mécht.

Wann d'Datei e Profil ass an keen Zertifikat, behandelt se als Identitéitsdokument, bis d'Géigendeel bewisen ass. Dës Unnahm kascht näischt a verhënnert dee heefegste Feeler an dëser ganzer Aufgab.

Déi ëffentlech Felder vun engem PEM-Zertifikat liesen

Fir en Zertifikat, dat Dir däerft iwwerpréiwen, dréckt d'x509-Subkommando mat -noout déi Felder, déi Dir auswielt, an soss näischt. De Kierper ze ënnerdrécken hält d'Ausgab op Metadaten, an dat mécht se och sécher fir an en Ticket ze klewen. Déi Selecteuren hei drënner sinn déi ëffentlech, an d'openssl x509 Dokumentatioun lëscht déi aner op.

openssl x509 -in server.crt -noout -subject -issuer -dates -fingerprint -sha256

Op engem lokal generéierten Testzertifikat dréckt déi Kommando eng Sujet- an Ausstellerlinn, d'notBefore- an notAfter-Paar an een SHA-256-Ofdréck. Déi Felder identifizéieren den Objet; se stellen keen gültege Vertrauenswee op, dat ass eng separat Verifikatiounsaufgab mat hirer eegener Kommando an hirer eegener Äntwert. Eng Kette-Datei dréckt vläicht nëmmen dat éischt Zertifikat, ausser Dir iteréiert selwer iwwer d'Datei. Zwou Dateien esou ze vergläichen kascht eng Kommando a kläert, wéi eng vun hinnen de Peer tatsächlech présentéiert.

Bündelen, déi e Schlëssel nieft dem Zertifikat halen

Eng .p12 oder .pfx-Datei ka e private Schlëssel droen, an d'Parsing-Kommando dréckt en, ausser Dir ënnerdréckt dee Deel vun der Ausgab. Mat -nokeys mellt déiselwecht Kommando nach ëmmer d'Struktur vum Container, inklusiv engem verschleierte Schlësselbag, ouni Schlësselmaterial auszeginn; fällt dee Flag ewech, erschéngt e Schlësselblock an Ärem Terminal an an Ärer Shell-Historik.

openssl pkcs12 -in bundle.p12 -nokeys -info -passin env:P12PASS

En OpenVPN-Profil bett d'selwecht Material als Text an, also ass d'Grenz sichtbar, wann Dir wësst, wou Dir kucke musst. Ëffentlecht Material sëtzt tëscht BEGIN CERTIFICATE an END CERTIFICATE, während alles tëscht BEGIN PRIVATE KEY an der passender END-Linn de Schlëssel ass a muss den Host net verloossen. De Profil komplett ze kopéieren publizéiert béides.

De Referenzwäert vun aneschtwou kréien

En Ofdréck, dee vun der Verbindung gelies gëtt, déi Dir wëllt verifizéieren, beweist näischt, well déi Partei, déi Dir net vertraut, en geliwwert huet. Dat ass keen Argument géint Ofdréck; et ass en Argument iwwer d'Herkunft. Vergläicht de Wäert mat engem, deen iwwer e Kanal kritt gouf, an deen de Peer net schreiwen kann, wéi d'Zertifikat, dat an engem internen Repository publizéiert ass, oder den Hash, deen an engem ënnerschriwwene Change-Record gedréckt ass.

Wou en Trust Store d'Validéierung mécht, loosst en dat maachen, a liest de Feeler, deen en produzéiert, amplaz Är eege Vergläichung z'ersetzen. Den Ënnerscheed, deen zielt, ass wien d'Referenz geliwwert huet, net wéi eng Hashfunktioun benotzt gouf.

D'Resultat deelen, a wat no engem Ausrutscher ze maachen ass

Schéckt de genau Validéierungsfeeler, déi relevant Datumen an nëmmen déi Identitéitsdetailer, déi den Empfänger brauch. Intern Hostnimm an Account-Identifikatore bleiwen sensibel, och wann kee Schlëssel dobäi ass, an e ëffentleche Paste-Service ass fir all dat de falschen Zil. Kleeft en an den Ticket, net an e Scratch-Buffer, deen een aneren deelt.

Wann Schlësselmaterial um Bildschierm oder an enger Datei erschéngt ass, behandelt en als kompromittéiert a rotéiert en, amplaz ze hoffen, datt keen nogekuckt huet. Schreift duerno d'Datei op, déi iwwerpréift gouf, d'Kommando, déi benotzt gouf, a wou d'Ausgab higaang ass, well dee Rekord dat ass, wat eng Angscht an eng Prozedur verwandelt. D'Rotatioun ass bëlleg am Verglach zu de Käschte vun der Unnahm, datt keen e Screenshot behalen huet, an deeselwechte Rekord seet dem nächsten Ingenieur, wéi eng Dateien iwwerhaapt ugedeckt goufen. Maacht béides, ier den Ticket zougemaach gëtt.