Selwechten Numm vun der Datei ca.crt, anert Zertifikat: wat vergläichen

Zwee Profiler bréngen allebéid eng Datei mam Numm ca.crt, den engem Tunnel kënnt erop an deen aneren hält mat engem Kettefehler op. Déi zwou Dateien niewenteneen opzemaachen entscheet dat selten, an d’Verifikatioun ofzeschalten entscheet et an déi falsch Richtung. D’Fro, déi de Fehler tatsächlech stellt, ass méi enk: wéi en Zertifikat lued all Prozess als säin Vertrauensanker, a si déi zwee dat selwecht Objet? Äntwert dat als éischt a mam Rescht vun der Diagnos geet et an eng Richtung. Den Numm vun der Datei ass eng Verpakungsetikett, an de Pad, deen am Profil geschriwwen ass, ass och net autoritär, also hänkt alles dovun of, wat de Prozess tatsächlech liest.

Fannt den Zertifikat, deen de Client tatsächlech lued

OpenVPN akzeptéiert d’Autoritéit an zwou Formen, an d’Form entscheet, wéi eng Byte wichteg sinn. E Profil kann op eng extern Datei mat ca weisen, oder den Zertifikat an e <ca>-Block am Profil selwer abauen. Wa béid existéieren, gewënnt den agebaute Block an d’Datei niewent dem Profil gëtt ni opgemaach.

Liest de Profil, deen feelt, a fann eraus, wéi eng Form en benotzt, ier Dir eppes vergläicht. Eng Kopie aus engem Nopeschverzeechnes, oder aus dem Pak, aus deem deen anere Profil koum, seet Iech näischt doriwwer, wat dëse Prozess vertraut. Datselwecht gëllt fir de Pad an der Konfiguratioun: en gëtt relativ zu där Plaz opgeléist, wou de Client gestart gouf, an dat ass net ëmmer de Verzeechnes, deen Dir ukuckt. Liest de Profil, net den Dossier.

Zertifikater ginn duerch hire Inhalt identifizéiert: de ëffentleche Schlëssel, de Sujet an den Aussteller, d’Gëltegkeetsfenster an d’Signatur iwwer dat alles. Zwou Dateie mat identesche Byten sinn deeselwechten Zertifikat, wéi se och ëmmer heeschen, an zwou Dateie mam selwechten Numm kënnen onofhängeg Autoritéiten sinn. Den Numm ass eng Verpakungsetikett, keng Identitéit.

Huelt de Fangerofdrock vun deenen zwou Kopien mat openssl

E Fangerofdrock ass en Hash iwwer d’DER-Kodéierung vum Zertifikat, d’Form, déi d’Signatur deckt, also kënnen Zeilenenn an Headertext en net beaflossen. Berechent en fir all Datei a Dir hutt zwee Mat Doppelpunkte getrennt Hex-Strings, déi bueden oder net passen. Et muss näischt anescht am Zertifikat gelies ginn, fir d’Vergläichsfro ze beäntweren.

openssl x509 -in /etc/openvpn/office/ca.crt -noout -fingerprint -sha256
openssl x509 -in ~/profiles/lab-ca.pem -noout -fingerprint -sha256

Et ass verlockend, openssl op de Profil selwer ze riichten, awer en liest deen éischten Zertifikatsblock, deen an der Datei erschéngt, an e Profil dréit normalerweis <cert> virun <ca>. Zitt den Autoritéitsblock eraus, a huelt dann de Fangerofdrock vun der erausgezunnener Datei, well dat ass d’Kopie, déi de Client tatsächlech benotze wäert.

sed -n '/^<ca>$/,/^<\/ca>$/p' office.ovpn | sed '1d;$d' > /tmp/office-ca.pem
openssl x509 -in /tmp/office-ca.pem -noout -fingerprint -sha256

Identesch Fangerofdréck heeschen, datt d’Vertrauensmaterial dat selwecht ass an de Kettefehler eng aner Ursaach huet, wat eng aner Enquête ass. Verschidde Fangerofdréck heeschen verschidde Zertifikater, an do fänkt den nächsten Abschnitt un.

Liest eng Onstëmmegkeet, ier Dir en Ugrëff unhëlt

Verschidde Fangerofdréck heeschen verschidde Zertifikater an näischt méi. Eng Nei-Ausstellung, eng Rotatioun, eng ëmbenannten Autoritéit oder en alen Bundle produzéiere all verschidde Dateien mat ganz legitimen Historien. Wien dozou gehéiert, ass eng Fro fir den Operateur oder fir den Deployementsrekord, net fir d’Ännerungszäit vun der Datei. Archiver kopéieren Zäitstempel, also ass eng méi nei Datei net automatesch dee richtege Anker.

Eng Wuerzel, déi sech selwer signéiert, ass normal, also ass eng ze fannen kee Beweis fir e Problem. D’Aufgab vum Iwwerpréifer ass, e Pad vum Serverzertifikat bis zum Anker ze bauen, deen him iwwergi gouf, an e Kettefehler heescht meeschtens, datt dëse Pad net konnt fäerdeg gemaach ginn.

Kontrolléiert, ob den Anker vum feelende Profil eng Autoritéit ass, aus där den Deployement nach ëmmer ausstellt. Wann de Fangerofdrock op näischt am Deployementsrekord passt, ass de Profil einfach veraltert, an keng Upassung op der Clientsäit wäert dat reparéieren.

Reparéiert d’Vertrauen, ouni d’Verifikatioun ofzeschalten

Déi kuerzfristeg Léisung ass, d’Verifikatioun ofzeschalten oder all Zertifikat an der Kette als Anker derbäizesetzen. Béides léisst d’Message verschwannen, a béides ännert, wéi eng Server de Client vun do un akzeptéiert. Schalt d’Verifikatioun erëm an, installéiert dee beabsichtigten Anker a testt nach emol.

Wann d’Kette elo opgebaut gëtt, awer en anere Fehler erschéngt, ass dat Fortschrëtt: Nummverifikatioun, Gëltegkeetsdatumen an Antraag sinn getrennt Kontrollen mat getrennte Messagen. Hält d’Fangerofdruckspaar an den urspréngleche Fehlertext an der Tickete beienee, sou datt déi nächst Persoun gesäit, wéi en Anker gelueden gouf a wéi enen erwaart gouf. E Fangerofdruckspaar ass kleng genuch, fir an eng Iwwergabnotiz ze pechen, an déi nächst Fäll dauert dann fënnef Minutten amplaz engem Nomëtteg.

Kritt déi richteg Autoritéit iwwer dee selwechten authentifizéierte Kanal, deen de Profil geliwwert huet. En Zertifikat vum Server ze zéien, well säi Sujet bekannt ausgesäit, ass eng aner Handlung, an et erweidert stëll, wat de Client vertraue wäert.