Kā pārbaudīt VPN sertifikāta pirksta nospiedumu citā kanālā

Pirksta nospiedums ir tik uzticams, cik uzticams ir kanāls, kas jums pateica, ko gaidīt. Ja vērtība, ar ko salīdzināt, ir atnākusi pa to pašu savienojumu, kuru jūs pārbaudāt, salīdzinājums nepierāda neko vairāk kā to, ka šo savienojumu kontrolējošā puse ir konsekventa. Pārbaudei jānotiek noteiktā secībā, un neizdevušamies solim jūs jāaptur, nevis jāpastumj uz nākamo. Lūk, secība, ko izmantoju, kad VPN klients ziņo, ka sertifikāts ir mainījies.

Nosaucie objektu pirms vērtības nosaukšanas

Izlemiet, vai gaidītā vērtība pieder servera lapas sertifikātam, to izdevušajai CA vai lapas iekšienē esošajai publiskajai atslēgai. Tās ir trīs dažādas pārbaudes, un tās neizdodas dažādos veidos. Atbilstošs CA pirksta nospiedums serveri nenostiprina, un publiskās atslēgas jaucējvērtība apzināti pārdzīvo atkārtotu izsniegšanu, kas saglabā to pašu atslēgu.

Pierakstiet arī algoritmu. SHA-256 mūsdienās ir ierastā gaidīšana, bet vecāki rīki izdrukāja SHA-1, ja vien neprasījāt ko citu, un 40 rakstzīmju heksadecimālā vērtība ir zīme, ka tūlīt salīdzināsiet divas dažādas lietas.

Iegūstiet gaidīto vērtību pa otru kanālu

Otrajam kanālam jābūt tādam, kurā puse, no kuras jūs sargājaties, nevar rakstīt. Nodrošināšanas sistēma, kurā jūs jau autentificējaties, seifā glabāts drukāts ieraksts, konfigurācijas datubāze vai citas procesa piegādāts parakstīts dokuments, visi ir piemēroti. Kolektīva tērzēšanas ziņa, caur meklēšanas rezultātu sasniegta atbalsta lapa un viss, kas ielīmēts terminālī, kurā jūs jau atkļūdojat, nav piemēroti.

Pieprasiet pilnu vērtību un algoritmu, nekad prefiksu. Koliņas un lielie vai mazie burti nav svarīgi, bet saīsināšana 256 bitu pārbaudi pārvērš minēšanas spēlē.

Ja neviens nevar sniegt gaidīto vērtību no neatkarīga avota, godīgais rezultāts ir tāds, ka šo sertifikātu šodien pārbaudīt nevar. To pateikt ir labāk nekā nostiprināt to, ko klients tikko parādīja, jo tas brīdinājumu pārvērš ieradumā.

Izgūstiet vērtību savā pusē

Sertifikāta failam komanda ir openssl x509 -in server.crt -noout -fingerprint -sha256. Skaidrais kopsavilkums ir svarīgs: bez tā izvade ir atkarīga no jūsu OpenSSL versijas. Rezultāts ir ar koliņām atdalīta heksadecimālā virkne, tāpēc noņemiet koliņas un pirms salīdzināšanas abas puses pārvērsiet mazajos burtos.

Galapunktam, kas runā TLS tieši, pievienojieties un izvadiet sertifikātu caur cauruli: openssl s_client -connect vpn.example.com:443 -servername vpn.example.com < /dev/null | openssl x509 -noout -fingerprint -sha256. Tas darbojas tīmekļa administrēšanas panelim vai TLS klausītājam, nevis OpenVPN, kura vadības kanāls atrodas tuneļa iekšienē. OpenVPN gadījumā lasiet sertifikātu no profila diskā, nevis mēģiniet to pārtvert no ligzdas.

Salīdzinājumam jābūt mehāniskam. Normalizējiet abas vērtības ar tr -d ':' un burtu vienādošanu, pēc tam salīdziniet visu virkni. Salīdzināt ar aci ir tas veids, kā atbilstošs prefikss paslēpj atšķirību pēdējā baitā. Ja virknes atšķiras, izturieties pret atšķirību kā pret īstu, pirms meklējat izskaidrojumu.

Apstāšanās nosacījumi

Apstājieties, ja objekts atšķiras, jo CA pirksta nospiedums nevar attaisnot lapas sertifikātu, un lapa nevar attaisnot CA. Apstājieties, ja algoritms atšķiras, jo SHA-1 vērtība pret SHA-256 vērtību jums neko nepasaka. Apstājieties, ja pirksta nospiedums sakrīt, bet sertifikāts ir beidzies, atsaukts vai izsniegts citam nosaukumam; atbilstoša jaucējvērtība nav derīguma pārbaude un nelabo salauztu ķēdi. Apstājieties arī tad, ja sērijas numurs nesakrīt ar sērijas numuru ierakstā, pret kuru pārbaudāt, jo tas ir lētākais veids, kā pamanīt aizvietotu sertifikātu.

Apstājieties, ja jaunā vērtība atnāca pa kanālu, kuru pārbaudījāt. Rotācija var likumīgi mainīt pirksta nospiedumu, bet aizvietojuma vērtībai tomēr jānāk no uzticamā procesa, nevis no brīdinājuma dialoga, kas izraisīja jautājumu.

Apstājieties, ja ieteiktais labojums ir izslēgt resursdatora nosaukuma vai ķēdes pārbaudi. Pirksta nospiedums pievieno ierobežojumu parastajām pārbaudēm; tas tās neaizstāj, ja vien izvietošana apzināti nav izvēlējusies modeli tikai ar pin, un šai izvēlei ir savas ekspluatācijas izmaksas.

Pēc salīdzināšanas

Pierakstiet, ko salīdzinājāt, no kurienes nāca gaidītā vērtība un kad. Ja sertifikāts tika izsniegts atkārtoti, atjauniniet saglabāto gaidīšanu pa to pašu uzticamo kanālu un pierakstiet jauno sērijas numuru, jo tieši sērijas numurs padara nākamo rotāciju auditējamu.

Pēc tam esiet skaidri par robežām. Pirksta nospiedums apstiprina, ka jums piederošais sertifikāts ir tas, kuru kāds jums lika gaidīt. Tas neko nesaka par to, vai resursdators nav kompromitēts, un neko par to, vai pakalpojums reģistrē vai ierobežo to, ko šis sertifikāts var sasniegt.