Преглед на VPN сертификат без откривање на неговиот клуч

Читањето на јавните полиња на сертификатот никогаш не бара прикажување на соодветниот приватен клуч, а алатката за тоа доаѓа со секој систем што завршува VPN. Ризикот лежи еден чекор порано: датотеката што ви ја дале може воопшто да не е сертификат. PEM сертификат, DER blob, PKCS#12 пакет и OpenVPN профил можат да пристигнат со исто име и да содржат многу различен материјал, затоа утврдете го контејнерот пред да изберете команда.

Три факти одлучуваат која команда е безбедна: што содржи датотеката, што треба да прочитате од неа и кој ќе ја види излезната информација. Погрешете во било кој од нив и самата проверка станува инцидент.

Која од трите датотеки ви е дадена

PEM сертификатот е текст со видливи BEGIN и END ознаки, DER датотеката е бинарна и бара знаменце за влезен формат, а пакетот е контејнер што може да содржи клуч покрај сертификатот. file server.crt го одделува текстот од бинарното за секунда, а погледот на првата линија одделува гол сертификат од профил што го вградува. Погодувањето тука е она што проверката ја претвора во инцидент.

Ако датотеката е профил, а не сертификат, третирајте ја како акредитив додека не се докаже спротивното. Таа претпоставка не чини ништо и ја спречува најчестата грешка во целата задача.

Читање на јавните полиња на PEM сертификат

За сертификат што имате овластување да го прегледате, x509 поткомандата со -noout ги печати само избраните полиња и ништо друго. Потиснувањето на телото ја сведува излезната информација на метаподатоци, што е и она што ја прави безбедна за вметнување во тикет. Селекторите подолу се јавните, а документацијата за openssl x509 ги наведува останатите.

openssl x509 -in server.crt -noout -subject -issuer -dates -fingerprint -sha256

На локално генериран тест сертификат таа команда печати ред за субјект и издавач, парот notBefore и notAfter и еден SHA-256 отпечаток. Тие полиња го идентификуваат објектот; тие не воспоставуваат валидна патека на доверба, што е одделна задача за верификација со своја команда и свој одговор. Датотеката со синџир исто така може да го испечати само првиот сертификат, освен ако самите не ја поминете низ неа. Вака споредени две датотеки чинат една команда и разјаснуваат која од нив партнерот навистина ја претставува.

Пакети што кријат клуч покрај сертификатот

.p12 или .pfx датотека може да носи приватен клуч, а командата за парсирање го печати освен ако не го потиснете тој дел од излезната информација. Со -nokeys истата команда сѐ уште ја известува структурата на контејнерот, вклучително и завиткан клуч-кес, без да испушти клучен материјал; отстранете го тоа знаменце и блокот со клуч се појавува во вашиот терминал и во историјата на команди.

openssl pkcs12 -in bundle.p12 -nokeys -info -passin env:P12PASS

OpenVPN профилот го вградува истиот материјал како текст, така што границата е видлива ако знаете каде да гледате. Јавниот материјал стои помеѓу BEGIN CERTIFICATE и END CERTIFICATE, а сѐ што е помеѓу BEGIN PRIVATE KEY и соодветниот END ред е клуч и не смее да го напушти домаќинот. Копирањето на профилот во целост ги објавува двете.

Добивање на референтната вредност од друго место

Отпечаток прочитан од врската што се обидувате да ја верифицирате не докажува ништо, бидејќи го доставила страната на која не и верувате. Тоа не е аргумент против отпечатоците; тоа е аргумент за потеклото. Споредете ја вредноста со онаа добиена преку канал во кој партнерот не може да пишува, како сертификат објавен во внатрешно складиште или хеш отпечатен во потпишан запис за промена.

Таму каде што складиштето на доверба врши валидација, оставете го тоа да го прави и прочитајте ја грешката што ја дава, наместо да ја замените со сопствена споредба. Разликата што е важна е кој ја доставил референцата, а не која хеш функција е користена.

Споделување на резултатот и што да се прави по грешка

Испратете ја точната грешка од валидацијата, релевантните датуми и само оние податоци за идентитетот што му се потребни на примачот. Внатрешните имиња на домаќини и идентификаторите на сметки остануваат чувствителни дури и кога нема клуч, а јавната услуга за вметнување е погрешна дестинација за било што од тоа. Вметнете во тикетот, а не во работен тампон што некој друг го споделува.

Ако клучниот материјал сепак се појавил на екранот или во датотека, третирајте го како компромитиран и ротирајте го, наместо да се надевате дека никој не погледнал. Потоа запишете која датотека е прегледана, која команда е користена и каде отишла излезната информација, бидејќи токму тој запис ја претвора паниката во постапка. Ротацијата е евтина наспроти цената на претпоставката дека никој не зачувал слика од екранот, а истиот запис му кажува на следниот инженер кои датотеки воопшто биле допрени. Направете го и двете пред тикетот да се затвори.