VPN sertifikāta pārbaude, neizdodot tā atslēgu

Sertifikāta publisko lauku lasīšana nekad neprasa parādīt tam atbilstošo privāto atslēgu, un rīks tam nāk kopā ar katru sistēmu, kas pabeidz VPN. Risks slēpjas vienu soli agrāk: fails, ko jums iedeva, var nemaz nebūt sertifikāts. PEM sertifikāts, DER blob, PKCS#12 pakotne un OpenVPN profils var atnākt ar to pašu nosaukumu un saturēt ļoti atšķirīgu materiālu, tāpēc pirms komandas izvēles nosakiet, kas ir konteiners.

Drošo komandu nosaka trīs fakti: ko fails satur, kas no tā jāizlasa un kas redzēs izvadi. Kļūdieties kaut vienā no tiem, un pati pārbaude kļūst par incidentu.

Kurš no trim failiem jums tika iedots

PEM sertifikāts ir teksts ar redzamiem BEGIN un END marķieriem, DER fails ir binārs un prasa ievades formāta karodziņu, un pakotne ir konteiners, kurā blakus sertifikātam var būt atslēga. file server.crt vienā sekundē atdala tekstu no binārā, un ieskats pirmajā rindā atdala tukšu sertifikātu no profila, kurā tas iegults. Minēšana šeit ir tas, kas pārbaudi pārvērš incidentā.

Ja fails ir profils, nevis sertifikāts, uzskatiet to par akreditācijas datiem, līdz pierādīts pretējais. Šis pieņēmums neko nemaksā un novērš visbiežāk sastopamo kļūdu šajā uzdevumā.

PEM sertifikāta publisko lauku lasīšana

Sertifikātam, kuru jums ir tiesības pārbaudīt, x509 apakškomanda ar -noout izdrukā tikai izvēlētos laukus un neko citu. Satura nomākšana izvadi padara par metadatiem, un tas arī padara to drošu ielīmēšanai pieteikumā. Zemāk esošie selektori ir publiskie, un openssl x509 dokumentācija uzskaita pārējos.

openssl x509 -in server.crt -noout -subject -issuer -dates -fingerprint -sha256

Lokāli ģenerētam testa sertifikātam šī komanda izdrukā subjekta un izdevēja rindu, notBefore un notAfter pāri un vienu SHA-256 pirkstu nospiedumu. Šie lauki identificē objektu; tie nenodrošina derīgu uzticēšanās ceļu, kas ir atsevišķs verifikācijas uzdevums ar savu komandu un savu atbildi. Ķēdes fails var izdrukāt tikai pirmo sertifikātu, ja vien jūs pats neizstaigājat failu. Šādi salīdzinot divus failus, pietiek ar vienu komandu, un kļūst skaidrs, kuru no tiem partneris patiešām uzrāda.

Pakotnes, kurās atslēga atrodas blakus sertifikātam

.p12 vai .pfx fails var saturēt privāto atslēgu, un parsēšanas komanda to izdrukā, ja vien jūs šo izvades daļu nenomācāt. Ar -nokeys tā pati komanda joprojām ziņo konteinera struktūru, tostarp apslēptu atslēgu maisu, neizlaižot nekādu atslēgas materiālu; noņemiet šo karodziņu, un atslēgas bloks parādīsies jūsu terminālī un komandu vēsturē.

openssl pkcs12 -in bundle.p12 -nokeys -info -passin env:P12PASS

OpenVPN profils iegulst to pašu materiālu kā tekstu, tāpēc robeža ir redzama, ja zināt, kur skatīties. Publiskais materiāls atrodas starp BEGIN CERTIFICATE un END CERTIFICATE, bet viss starp BEGIN PRIVATE KEY un atbilstošo END rindu ir atslēga un nedrīkst pamest hostu. Profila kopēšana visā garumā publicē abus.

Atsauces vērtības iegūšana citur

Pirkstu nospiedums, kas nolasīts no savienojuma, kuru mēģināt pārbaudīt, neko nepierāda, jo to piegādāja puse, kurai neuzticaties. Tas nav arguments pret pirkstu nospiedumiem; tas ir arguments par izcelsmi. Salīdziniet vērtību ar tādu, kas iegūta kanālā, kurā partneris nevar rakstīt, piemēram, ar sertifikātu, kas publicēts iekšējā repozitorijā, vai ar jaucējvērtību, kas izdrukāta parakstītā izmaiņu ierakstā.

Kur uzticēšanās krātuve veic validāciju, ļaujiet tai to darīt un lasiet tās radīto kļūdu, tā vietā lai aizstātu to ar savu salīdzinājumu. Būtiskā atšķirība ir tas, kas piegādāja atsauci, nevis tas, kura jaucējfunkcija tika izmantota.

Rezultāta kopīgošana un ko darīt pēc kļūdas

Sūtiet precīzu validācijas kļūdu, attiecīgos datumus un tikai tos identitātes datus, kas saņēmējam nepieciešami. Iekšējie resursdatoru nosaukumi un kontu identifikatori paliek sensitīvi arī tad, ja atslēgas nav, un publisks ielīmēšanas serviss ir nepareizā vieta jebkam no tā. Ielīmējiet pieteikumā, nevis melnraksta buferī, ko kāds cits kopīgo.

Ja atslēgas materiāls tomēr parādījās ekrānā vai failā, uzskatiet to par kompromitētu un rotējiet to, nevis ceriet, ka neviens neskatījās. Pēc tam pierakstiet, kurš fails tika pārbaudīts, kura komanda izmantota un kur nonāca izvade, jo šis ieraksts ir tas, kas izbīli pārvērš procedūrā. Rotācija ir lēta salīdzinājumā ar pieņēmuma, ka neviens neuzņēma ekrānuzņēmumu, izmaksām, un tas pats ieraksts pastāsta nākamajam inženierim, kuri faili vispār tika aiztikti. Dariet abus pirms pieteikuma aizvēršanas.