അതേ ca.crt ഫയൽ നാമം, വ്യത്യസ്ത സർട്ടിഫിക്കറ്റ്: എന്ത് താരതമ്യം ചെയ്യണം

രണ്ട് പ്രൊഫൈലുകളും ca.crt എന്ന പേരിലുള്ള ഫയൽ നൽകുന്നു, ഒരു ടണൽ ഉയരുന്നു, മറ്റൊന്ന് ചെയിൻ പിശകിനോടെ പരാജയപ്പെടുന്നു. രണ്ട് ഫയലുകളും വശത്തുവശം തുറക്കുന്നത് ഇത് അപൂർവ്വമായി മാത്രമേ പരിഹരിക്കുന്നുള്ളൂ, ഒപ്പം പരിശോധന ഓഫ് ചെയ്യുന്നത് അതിനെ തെറ്റായ ദിശയിൽ പരിഹരിക്കുന്നു. പിശക് യഥാർത്ഥത്തിൽ ചോദിക്കുന്ന ചോദ്യം കൂടുതൽ ചെറുതാണ്: ഓരോ പ്രോസസും ഏത് സർട്ടിഫിക്കറ്റാണ് തന്റെ വിശ്വാസ ആങ്കറായി ലോഡ് ചെയ്യുന്നത്, ഒപ്പം രണ്ടും ഒരേ വസ്തുവാണോ? ആദ്യം അതിന് ഉത്തരം നൽകൂ, ബാക്കി രോഗനിർണ്ണയത്തിന് ദിശ ലഭിക്കും. ഫയൽ നാമം ഒരു പാക്കേജിംഗ് ലേബലാണ്, പ്രൊഫൈലിൽ എഴുതിയിരിക്കുന്ന പാതയും അധികാരമുള്ളതല്ല, അതിനാൽ എല്ലാം പ്രോസസ് യഥാർത്ഥത്തിൽ എന്ത് വായിക്കുന്നു എന്നതിനെ ആശ്രയിച്ചിരിക്കുന്നു.

ക്ലയന്റ് യഥാർത്ഥത്തിൽ ലോഡ് ചെയ്യുന്ന സർട്ടിഫിക്കറ്റ് കണ്ടെത്തുക

OpenVPN അധികാരത്തെ രണ്ട് രൂപങ്ങളിൽ സ്വീകരിക്കുന്നു, ഏത് ബൈറ്റുകൾ പ്രധാനമാണെന്ന് രൂപം തീരുമാനിക്കുന്നു. ഒരു പ്രൊഫൈലിന് ca ഉപയോഗിച്ച് ബാഹ്യ ഫയലിലേക്ക് വിരൽ ചൂണ്ടാം, അല്ലെങ്കിൽ സർട്ടിഫിക്കറ്റ് പ്രൊഫൈലിന്റെ ഉള്ളിലെ <ca> ബ്ലോക്കിൽ ഉൾപ്പെടുത്താം. രണ്ടും ഉണ്ടെങ്കിൽ ഉൾപ്പെടുത്തിയ ബ്ലോക്ക് വിജയിക്കുന്നു, പ്രൊഫൈലിന് അരികിലുള്ള ഫയൽ ഒരിക്കലും തുറക്കപ്പെടുന്നില്ല.

പരാജയപ്പെടുന്ന പ്രൊഫൈൽ വായിച്ച് എന്തെങ്കിലും താരതമ്യം ചെയ്യുന്നതിന് മുമ്പ് അത് ഏത് രൂപമാണ് ഉപയോഗിക്കുന്നതെന്ന് കണ്ടെത്തുക. അടുത്തുള്ള ഡയറക്ടറിയിൽ നിന്നോ മറ്റേ പ്രൊഫൈൽ വന്ന പാക്കേജിൽ നിന്നോ എടുത്ത പകർപ്പ് ഈ പ്രോസസ് എന്തിൽ വിശ്വസിക്കുന്നു എന്നതിനെക്കുറിച്ച് നിങ്ങളോട് ഒന്നും പറയുന്നില്ല. കോൺഫിഗറേഷനിലെ പാതയ്ക്കും ഇത് ബാധകമാണ്: ക്ലയന്റ് ആരംഭിച്ച സ്ഥലത്തിന് ആപേക്ഷികമായി അത് പരിഹരിക്കപ്പെടുന്നു, അത് എപ്പോഴും നിങ്ങൾ നോക്കുന്ന ഡയറക്ടറിയല്ല. പ്രൊഫൈൽ വായിക്കുക, ഫോൾഡർ അല്ല.

സർട്ടിഫിക്കറ്റുകൾ അവയുടെ ഉള്ളടക്കത്താൽ തിരിച്ചറിയപ്പെടുന്നു: പൊതു കീ, വിഷയവും ഇഷ്യൂവറും, സാധുതാ കാലയളവ്, ഒപ്പം അവയെല്ലാത്തിനും മേലുള്ള ഒപ്പ്. ഒരേ ബൈറ്റുകളുള്ള രണ്ട് ഫയലുകൾ ഏത് പേരിൽ വിളിച്ചാലും ഒരേ സർട്ടിഫിക്കറ്റാണ്, ഒരേ പേരുള്ള രണ്ട് ഫയലുകൾ ബന്ധമില്ലാത്ത അധികാരികളാകാം. പേര് ഒരു പാക്കേജിംഗ് ലേബലാണ്, ഐഡന്റിറ്റിയല്ല.

openssl ഉപയോഗിച്ച് രണ്ട് പകർപ്പുകളുടെയും ഫിംഗർപ്രിന്റ് എടുക്കുക

ഫിംഗർപ്രിന്റ് എന്നത് സർട്ടിഫിക്കറ്റിന്റെ DER എൻകോഡിംഗിന് മേലുള്ള ഒരു ഹാഷാണ്, ഒപ്പ് ഉൾക്കൊള്ളുന്ന രൂപം, അതിനാൽ വരികളുടെ അവസാനവും ഹെഡർ ടെക്സ്റ്റും അതിനെ ബാധിക്കാൻ കഴിയില്ല. ഓരോ ഫയലിനും അത് കണക്കാക്കുക, കോളൺ കൊണ്ട് വേർതിരിച്ച രണ്ട് ഹെക്സ് സ്ട്രിംഗുകൾ ലഭിക്കും, അവ ഒത്തുപോകുന്നു അല്ലെങ്കിൽ ഇല്ല. താരതമ്യ ചോദ്യത്തിന് ഉത്തരം നൽകാൻ സർട്ടിഫിക്കറ്റിൽ മറ്റൊന്നും വായിക്കേണ്ടതില്ല.

openssl x509 -in /etc/openvpn/office/ca.crt -noout -fingerprint -sha256
openssl x509 -in ~/profiles/lab-ca.pem -noout -fingerprint -sha256

openssl പ്രൊഫൈലിലേക്ക് തന്നെ ചൂണ്ടിക്കാണിക്കാൻ പ്രലോഭനമുണ്ട്, പക്ഷേ അത് ഫയലിൽ ആദ്യം കാണുന്ന സർട്ടിഫിക്കറ്റ് ബ്ലോക്ക് വായിക്കുന്നു, ഒപ്പം ഒരു പ്രൊഫൈൽ സാധാരണയായി <ca> ന് മുമ്പ് <cert> വഹിക്കുന്നു. അധികാര ബ്ലോക്ക് വേർതിരിച്ചെടുത്ത്, പിന്നീട് വേർതിരിച്ചെടുത്ത ഫയലിന്റെ ഫിംഗർപ്രിന്റ് എടുക്കുക, കാരണം ക്ലയന്റ് യഥാർത്ഥത്തിൽ ഉപയോഗിക്കുന്ന പകർപ്പ് അതാണ്.

sed -n '/^<ca>$/,/^<\/ca>$/p' office.ovpn | sed '1d;$d' > /tmp/office-ca.pem
openssl x509 -in /tmp/office-ca.pem -noout -fingerprint -sha256

സമാനമായ ഫിംഗർപ്രിന്റുകൾ വിശ്വാസ വസ്തു ഒന്നുതന്നെയാണെന്നും ചെയിൻ പിശകിന് മറ്റൊരു കാരണമുണ്ടെന്നും അർത്ഥമാക്കുന്നു, അത് മറ്റൊരു അന്വേഷണമാണ്. വ്യത്യസ്ത ഫിംഗർപ്രിന്റുകൾ വ്യത്യസ്ത സർട്ടിഫിക്കറ്റുകളാണെന്ന് അർത്ഥമാക്കുന്നു, അടുത്ത വിഭാഗം അവിടെ നിന്നാണ് തുടങ്ങുന്നത്.

ആക്രമണം അനുമാനിക്കുന്നതിന് മുമ്പ് പൊരുത്തക്കേട് വായിക്കുക

വ്യത്യസ്ത ഫിംഗർപ്രിന്റുകൾ വ്യത്യസ്ത സർട്ടിഫിക്കറ്റുകൾ മാത്രമാണ് അർത്ഥമാക്കുന്നത്. പുനർനൽകൽ, റൊട്ടേഷൻ, പേരുമാറ്റിയ അധികാരി, അല്ലെങ്കിൽ പഴയ ബണ്ടിൽ എല്ലാം പൂർണ്ണമായും നിയമാനുസൃതമായ ചരിത്രങ്ങളുള്ള വ്യത്യസ്ത ഫയലുകൾ സൃഷ്ടിക്കുന്നു. ഏതാണ് വിന്യാസത്തിൽ ഉൾപ്പെടുന്നതെന്നത് ഓപ്പറേറ്ററിനോ വിന്യാസ രേഖയ്ക്കോ ഉള്ള ചോദ്യമാണ്, ഫയലിന്റെ മാറ്റ സമയത്തിനല്ല. ആർക്കൈവുകൾ ടൈംസ്റ്റാമ്പുകൾ പകർത്തുന്നു, അതിനാൽ പുതിയ ഫയൽ സ്വയമേവ ശരിയായ ആങ്കർ അല്ല.

സ്വയം ഒപ്പിടുന്ന റൂട്ട് സാധാരണമാണ്, അതിനാൽ ഒന്ന് കണ്ടെത്തുന്നത് ഒരു പ്രശ്നത്തിന്റെ തെളിവല്ല. പരിശോധകന്റെ ജോലി സർവർ സർട്ടിഫിക്കറ്റിൽ നിന്ന് തനിക്ക് നൽകിയ ആങ്കർ വരെ ഒരു പാത നിർമ്മിക്കുകയാണ്, ചെയിൻ പിശക് സാധാരണയായി ആ പാത പൂർത്തിയാക്കാൻ കഴിഞ്ഞില്ല എന്നാണ് അർത്ഥമാക്കുന്നത്.

പരാജയപ്പെടുന്ന പ്രൊഫൈലിന്റെ ആങ്കർ വിന്യാസം ഇപ്പോഴും നൽകുന്ന ഒരു അധികാരിയാണോ എന്ന് പരിശോധിക്കുക. ഫിംഗർപ്രിന്റ് വിന്യാസ രേഖയിലെ ഒന്നുമായും പൊരുത്തപ്പെടുന്നില്ലെങ്കിൽ, പ്രൊഫൈൽ വെറും കാലഹരണപ്പെട്ടതാണ്, ക്ലയന്റ് ഭാഗത്തുള്ള ഒരു ട്യൂണിംഗും അത് ശരിയാക്കില്ല.

പരിശോധന ഓഫ് ചെയ്യാതെ വിശ്വാസം പുനഃസ്ഥാപിക്കുക

ഹ്രസ്വകാല പരിഹാരം പരിശോധന ഓഫ് ചെയ്യുകയോ ചെയിനിലെ ഓരോ സർട്ടിഫിക്കറ്റും ആങ്കറായി ചേർക്കുകയോ ചെയ്യുകയാണ്. രണ്ടും സന്ദേശം അപ്രത്യക്ഷമാക്കുന്നു, രണ്ടും ഇനിമുതൽ ക്ലയന്റ് ഏത് സർവറുകൾ സ്വീകരിക്കുമെന്ന് മാറ്റുന്നു. പരിശോധന വീണ്ടും ഓൺ ചെയ്ത്, ഉദ്ദേശിച്ച ആങ്കർ ഇൻസ്റ്റാൾ ചെയ്ത് വീണ്ടും പരീക്ഷിക്കുക.

ചെയിൻ ഇപ്പോൾ നിർമ്മിക്കപ്പെടുന്നുവെങ്കിലും മറ്റൊരു പിശക് പ്രത്യക്ഷപ്പെട്ടാൽ, അത് പുരോഗതിയാണ്: നാമ പരിശോധന, സാധുതാ തീയതികൾ, റദ്ദാക്കൽ എന്നിവ വെവ്വേറെ സന്ദേശങ്ങളുള്ള വെവ്വേറെ പരിശോധനകളാണ്. ഫിംഗർപ്രിന്റ് ജോടിയും യഥാർത്ഥ പിശക് ടെക്സ്റ്റും ടിക്കറ്റിൽ ഒരുമിച്ച് സൂക്ഷിക്കുക, അടുത്ത വ്യക്തിക്ക് ഏത് ആങ്കർ ലോഡ് ചെയ്തു, ഏതാണ് പ്രതീക്ഷിച്ചത് എന്ന് കാണാം. ഒരു ജോടി ഫിംഗർപ്രിന്റ് കൈമാറ്റ കുറിപ്പിൽ ഒട്ടിക്കാൻ മതിയായത്ര ചെറുതാണ്, അടുത്ത സംഭവം അപ്പോൾ ഒരു ഉച്ചയ്ക്ക് പകരം അഞ്ച് മിനിറ്റ് എടുക്കും.

പ്രൊഫൈൽ എത്തിച്ച അതേ പ്രാമാണീകരിച്ച ചാനലിലൂടെ ശരിയായ അധികാരി നേടുക. അതിന്റെ വിഷയം പരിചിതമായി തോന്നുന്നതിനാൽ സർവറിൽ നിന്ന് ഒരു സർട്ടിഫിക്കറ്റ് വലിച്ചെടുക്കുന്നത് മറ്റൊരു പ്രവൃത്തിയാണ്, അത് ക്ലയന്റ് വിശ്വസിക്കുന്നതിന്റെ പരിധി നിശബ്ദമായി വിശാലമാക്കുന്നു.