VPN സർട്ടിഫിക്കറ്റ് അതിന്റെ കീ വെളിപ്പെടുത്താതെ പരിശോധിക്കൽ

ഒരു സർട്ടിഫിക്കറ്റിന്റെ പൊതു ഫീൽഡുകൾ വായിക്കാൻ അതിനോട് ചേരുന്ന സ്വകാര്യ കീ പ്രദർശിപ്പിക്കേണ്ടതില്ല, അതിനുള്ള ഉപകരണം VPN അവസാനിപ്പിക്കുന്ന എല്ലാ സിസ്റ്റത്തിലും ഉണ്ട്. അപകടം ഒരു ഘട്ടം മുൻപാണ്: നിങ്ങൾക്ക് നൽകിയ ഫയൽ സർട്ടിഫിക്കറ്റ് ആയിരിക്കണമെന്നില്ല. PEM സർട്ടിഫിക്കറ്റ്, DER ബ്ലോബ്, PKCS#12 ബണ്ടിൽ, ഒരു OpenVPN പ്രൊഫൈൽ എന്നിവ ഒരേ പേരിൽ വന്ന് വ്യത്യസ്ത വസ്തുക്കൾ വഹിച്ചേക്കാം, അതിനാൽ കമാൻഡ് തിരഞ്ഞെടുക്കുന്നതിന് മുൻപ് കണ്ടെയ്നർ ഏതെന്ന് തിരിച്ചറിയുക.

ഏത് കമാൻഡ് സുരക്ഷിതമെന്ന് മൂന്ന് വസ്തുതകൾ തീരുമാനിക്കുന്നു: ഫയലിൽ എന്തുണ്ട്, അതിൽ നിന്ന് എന്താണ് വായിക്കേണ്ടത്, ഔട്ട്പുട്ട് ആരു കാണും. ഇവയിൽ ഏതെങ്കിലും ഒന്ന് തെറ്റായാൽ പരിശോധന തന്നെ സംഭവമായി മാറും.

മൂന്ന് ഫയലുകളിൽ ഏതാണ് നിങ്ങൾക്ക് നൽകിയത്

PEM സർട്ടിഫിക്കറ്റ് കാണാവുന്ന BEGIN, END മാർക്കറുകളുള്ള ടെക്സ്റ്റാണ്, DER ഫയൽ ഇൻപുട്ട് ഫോർമാറ്റ് ഫ്ലാഗ് ആവശ്യപ്പെടുന്ന ബൈനറിയാണ്, ഒപ്പം ബണ്ടിൽ സർട്ടിഫിക്കറ്റിനൊപ്പം ഒരു കീ വഹിച്ചേക്കാവുന്ന കണ്ടെയ്നറാണ്. file server.crt ഒരു നിമിഷത്തിൽ ടെക്സ്റ്റിനെ ബൈനറിയിൽ നിന്ന് വേർതിരിക്കുന്നു, ആദ്യ വരിയിലെ ഒരു നോട്ടം വെറും സർട്ടിഫിക്കറ്റിനെ അത് ഉൾക്കൊള്ളുന്ന പ്രൊഫൈലിൽ നിന്ന് വേർതിരിക്കുന്നു. ഇവിടെ ഊഹിക്കുന്നതാണ് പരിശോധനയെ സംഭവമാക്കി മാറ്റുന്നത്.

ഫയൽ സർട്ടിഫിക്കറ്റല്ല, പ്രൊഫൈൽ ആണെങ്കിൽ, വിപരീതം തെളിയുന്നതുവരെ അതിനെ ഒരു ക്രെഡൻഷ്യലായി കണക്കാക്കുക. ആ അനുമാനത്തിന് ഒന്നും ചെലവില്ല, അത് ഈ ജോലിയിലെ ഏറ്റവും സാധാരണ തെറ്റ് തടയുന്നു.

PEM സർട്ടിഫിക്കറ്റിന്റെ പൊതു ഫീൽഡുകൾ വായിക്കൽ

പരിശോധിക്കാൻ അധികാരമുള്ള സർട്ടിഫിക്കറ്റിന്, -noout ഉള്ള x509 ഉപകമാൻഡ് നിങ്ങൾ തിരഞ്ഞെടുത്ത ഫീൽഡുകൾ മാത്രം അച്ചടിക്കുന്നു, മറ്റൊന്നുമല്ല. ബോഡി ഒഴിവാക്കുന്നത് ഔട്ട്പുട്ടിനെ മെറ്റാഡാറ്റയായി നിലനിർത്തുന്നു, അതാണ് അതിനെ ഒരു ടിക്കറ്റിൽ ഒട്ടിക്കാൻ സുരക്ഷിതമാക്കുന്നത്. താഴെയുള്ള സെലക്ടറുകൾ പൊതുവായവയാണ്, ഒപ്പം openssl x509 ഡോക്യുമെന്റേഷൻ ബാക്കിയുള്ളവ ലിസ്റ്റ് ചെയ്യുന്നു.

openssl x509 -in server.crt -noout -subject -issuer -dates -fingerprint -sha256

പ്രാദേശികമായി സൃഷ്ടിച്ച ഒരു പരീക്ഷണ സർട്ടിഫിക്കറ്റിൽ ആ കമാൻഡ് ഒരു വിഷയ-ഇഷ്യൂവർ വരി, notBefore, notAfter ജോടി, ഒരു SHA-256 ഫിംഗർപ്രിന്റ് എന്നിവ അച്ചടിക്കുന്നു. ആ ഫീൽഡുകൾ ഒബ്ജക്റ്റിനെ തിരിച്ചറിയുന്നു; അവ സാധുവായ ഒരു ട്രസ്റ്റ് പാത്ത് സ്ഥാപിക്കുന്നില്ല, അത് സ്വന്തം കമാൻഡും സ്വന്തം ഉത്തരവുമുള്ള വേറിട്ട പരിശോധനയാണ്. ചെയിൻ ഫയൽ ആദ്യ സർട്ടിഫിക്കറ്റ് മാത്രം അച്ചടിച്ചേക്കാം, നിങ്ങൾ തന്നെ ഫയലിലൂടെ കടന്നുപോകുന്നില്ലെങ്കിൽ. ഇങ്ങനെ രണ്ട് ഫയലുകൾ താരതമ്യം ചെയ്യാൻ ഒരു കമാൻഡ് മതി, അവയിൽ ഏതാണ് പങ്കാളി യഥാർത്ഥത്തിൽ അവതരിപ്പിക്കുന്നതെന്ന് വ്യക്തമാക്കുന്നു.

സർട്ടിഫിക്കറ്റിനൊപ്പം കീ വഹിക്കുന്ന ബണ്ടിലുകൾ

.p12 അല്ലെങ്കിൽ .pfx ഫയലിന് സ്വകാര്യ കീ വഹിക്കാം, ഔട്ട്പുട്ടിന്റെ ആ ഭാഗം ഒഴിവാക്കുന്നില്ലെങ്കിൽ പാഴ്സിംഗ് കമാൻഡ് അത് അച്ചടിക്കുന്നു. -nokeys ഉപയോഗിച്ചാൽ അതേ കമാൻഡ് കീ മെറ്റീരിയൽ പുറപ്പെടുവിക്കാതെ കണ്ടെയ്നറിന്റെ ഘടന, ഒരു മറഞ്ഞ കീ ബാഗ് ഉൾപ്പെടെ, റിപ്പോർട്ട് ചെയ്യുന്നു; ആ ഫ്ലാഗ് ഒഴിവാക്കിയാൽ നിങ്ങളുടെ ടെർമിനലിലും ഷെൽ ചരിത്രത്തിലും ഒരു കീ ബ്ലോക്ക് പ്രത്യക്ഷപ്പെടും.

openssl pkcs12 -in bundle.p12 -nokeys -info -passin env:P12PASS

OpenVPN പ്രൊഫൈൽ അതേ വസ്തുക്കൾ ടെക്സ്റ്റായി ഉൾക്കൊള്ളുന്നു, അതിനാൽ എവിടെ നോക്കണമെന്ന് അറിയാമെങ്കിൽ അതിർത്തി കാണാം. പൊതു വസ്തുക്കൾ BEGIN CERTIFICATE, END CERTIFICATE എന്നിവയ്ക്കിടയിലാണ്, BEGIN PRIVATE KEY-യ്ക്കും അതിനോട് ചേരുന്ന END വരിയ്ക്കും ഇടയിലുള്ളത് കീയാണ്, അത് ഹോസ്റ്റ് വിടരുത്. പ്രൊഫൈൽ മുഴുവനായി പകർത്തുന്നത് രണ്ടും പ്രസിദ്ധീകരിക്കുന്നു.

റഫറൻസ് മൂല്യം മറ്റൊരിടത്തുനിന്ന് നേടൽ

നിങ്ങൾ പരിശോധിക്കാൻ ശ്രമിക്കുന്ന കണക്ഷനിൽ നിന്ന് വായിച്ച ഫിംഗർപ്രിന്റ് ഒന്നും തെളിയിക്കുന്നില്ല, കാരണം അത് നൽകിയത് നിങ്ങൾ വിശ്വസിക്കാത്ത കക്ഷിയാണ്. അത് ഫിംഗർപ്രിന്റുകൾക്കെതിരായ വാദമല്ല; അത് ഉത്ഭവത്തെക്കുറിച്ചുള്ള വാദമാണ്. പങ്കാളിക്ക് എഴുതാൻ കഴിയാത്ത ഒരു ചാനലിലൂടെ ലഭിച്ച മൂല്യവുമായി താരതമ്യം ചെയ്യുക, ഉദാഹരണത്തിന് ആന്തരിക റിപ്പോസിറ്ററിയിൽ പ്രസിദ്ധീകരിച്ച സർട്ടിഫിക്കറ്റ് അല്ലെങ്കിൽ ഒപ്പിട്ട മാറ്റ രേഖയിൽ അച്ചടിച്ച ഹാഷ്.

ട്രസ്റ്റ് സ്റ്റോർ സാധൂകരണം നടത്തുന്നിടത്ത് അതിനെ അത് ചെയ്യാൻ അനുവദിക്കുക, സ്വന്തം താരതമ്യം കൊണ്ട് അതിനെ മാറ്റിസ്ഥാപിക്കുന്നതിനുപകരം അത് ഉണ്ടാക്കുന്ന പിശക് വായിക്കുക. പ്രധാനമായ വ്യത്യാസം റഫറൻസ് ആരു നൽകി എന്നതാണ്, ഏത് ഹാഷ് ഫംഗ്ഷൻ ഉപയോഗിച്ചു എന്നതല്ല.

ഫലം പങ്കുവയ്ക്കൽ, വീഴ്ചയ്ക്ക് ശേഷം എന്ത് ചെയ്യണം

കൃത്യമായ സാധൂകരണ പിശക്, പ്രസക്തമായ തീയതികൾ, സ്വീകർത്താവിന് ആവശ്യമുള്ള ഐഡന്റിറ്റി വിശദാംശങ്ങൾ മാത്രം അയയ്ക്കുക. കീ ഇല്ലാതിരുന്നാലും ആന്തരിക ഹോസ്റ്റ് നാമങ്ങളും അക്കൗണ്ട് ഐഡന്റിഫയറുകളും സംവേദനക്ഷമമായി തുടരുന്നു, അതിൽ ഏതിനും പൊതു പേസ്റ്റ് സേവനം തെറ്റായ ലക്ഷ്യമാണ്. ടിക്കറ്റിൽ ഒട്ടിക്കുക, മറ്റൊരാൾ പങ്കുവയ്ക്കുന്ന സ്ക്രാച്ച് ബഫറിൽ അല്ല.

കീ മെറ്റീരിയൽ സ്ക്രീനിലോ ഫയലിലോ പ്രത്യക്ഷപ്പെട്ടിട്ടുണ്ടെങ്കിൽ, അത് വിട്ടുപോയതായി കണക്കാക്കി ആരും നോക്കിയില്ലെന്ന് പ്രതീക്ഷിക്കുന്നതിനുപകരം അത് റൊട്ടേറ്റ് ചെയ്യുക. തുടർന്ന് പരിശോധിച്ച ഫയൽ, ഉപയോഗിച്ച കമാൻഡ്, ഔട്ട്പുട്ട് എവിടെ പോയി എന്നിവ എഴുതിവയ്ക്കുക, കാരണം ആ രേഖയാണ് ഒരു പേടിയെ ഒരു നടപടിക്രമമാക്കി മാറ്റുന്നത്. ആരും സ്ക്രീൻഷോട്ട് സൂക്ഷിച്ചിട്ടില്ലെന്ന അനുമാനത്തിന്റെ ചെലവിനെക്കാൾ റൊട്ടേഷൻ വിലകുറഞ്ഞതാണ്, അതേ രേഖ തന്നെ അടുത്ത എൻജിനീയറോട് ഏതൊക്കെ ഫയലുകൾ തൊട്ടുവെന്ന് പറയുന്നു. ടിക്കറ്റ് അടയ്ക്കുന്നതിന് മുൻപ് രണ്ടും ചെയ്യുക.