VPN സർട്ടിഫിക്കറ്റിന്റെ ഫിംഗർപ്രിന്റ് വേറിട്ട ചാനലിലൂടെ എങ്ങനെ പരിശോധിക്കാം

ഏതെല്ലാം പ്രതീക്ഷിക്കണമെന്ന് പറഞ്ഞ ചാനലിന് എത്ര വിശ്വാസ്യതയുണ്ടോ, ഫിംഗർപ്രിന്റിനും അത്രതന്നെ മാത്രം. നിങ്ങൾ പരിശോധിക്കുന്ന അതേ കണക്ഷനിലൂടെയാണ് താരതമ്യം ചെയ്യുന്ന മൂല്യം വന്നതെങ്കിൽ, ആ കണക്ഷൻ നിയന്ത്രിക്കുന്ന കക്ഷി സ്ഥിരതയുള്ളതാണ് എന്നതല്ലാതെ മറ്റൊന്നും ആ താരതമ്യം തെളിയിക്കുന്നില്ല. പരിശോധന ഒരു നിശ്ചിത ക്രമത്തിൽ നടക്കണം, പരാജയപ്പെട്ട ഘട്ടം അടുത്തതിലേക്ക് തള്ളുന്നതിനുപകരം നിങ്ങളെ നിർത്തണം. VPN ക്ലയന്റ് ഒരു സർട്ടിഫിക്കറ്റ് മാറിയതായി അറിയിക്കുമ്പോൾ ഞാൻ ഉപയോഗിക്കുന്ന ക്രമം ഇതാണ്.

മൂല്യത്തിന് പേരിടുന്നതിന് മുൻപ് വസ്തുവിന് പേരിടുക

പ്രതീക്ഷിത മൂല്യം സെർവറിന്റെ ഇല സർട്ടിഫിക്കറ്റിന്റേതാണോ, അത് പുറപ്പെടുവിച്ച CAയുടേതാണോ, അതല്ല ഇലയ്ക്കുള്ളിലെ പൊതു കീയുടേതാണോ എന്ന് തീരുമാനിക്കുക. ഇവ മൂന്ന് വ്യത്യസ്ത പരിശോധനകളാണ്, അവ വ്യത്യസ്ത രീതികളിൽ പരാജയപ്പെടുന്നു. പൊരുത്തപ്പെടുന്ന CA ഫിംഗർപ്രിന്റ് സെർവറിനെ പിൻ ചെയ്യുന്നില്ല, കൂടാതെ പൊതു കീയുടെ ഹാഷ് അതേ കീ നിലനിർത്തുന്ന പുനർപ്രകാശനത്തെ ബോധപൂർവം അതിജീവിക്കുന്നു.

അൽഗോരിതവും എഴുതിവയ്ക്കുക. SHA-256 ഇന്ന് സാധാരണ പ്രതീക്ഷയാണ്, പക്ഷേ പഴയ ഉപകരണങ്ങൾ മറ്റൊന്ന് ആവശ്യപ്പെട്ടില്ലെങ്കിൽ SHA-1 അച്ചടിച്ചിരുന്നു, കൂടാതെ 40 അക്ഷരമുള്ള ഹെക്സ് മൂല്യം രണ്ട് വ്യത്യസ്ത കാര്യങ്ങൾ താരതമ്യം ചെയ്യാൻ പോകുന്നു എന്നതിന്റെ സൂചനയാണ്.

പ്രതീക്ഷിത മൂല്യം രണ്ടാം ചാനലിലൂടെ നേടുക

നിങ്ങൾ സൂക്ഷിക്കുന്ന കക്ഷിക്ക് എഴുതാൻ കഴിയാത്ത ഒരു ചാനലായിരിക്കണം രണ്ടാമത്തേത്. നിങ്ങൾ ഇതിനകം പ്രാമാണീകരിക്കുന്ന പ്രൊവിഷനിംഗ് സംവിധാനം, ലോക്കറിൽ സൂക്ഷിച്ച അച്ചടിച്ച രേഖ, കോൺഫിഗറേഷൻ ഡാറ്റാബേസ്, അല്ലെങ്കിൽ മറ്റൊരു പ്രോസസ് എത്തിക്കുന്ന ഒപ്പിട്ട രേഖ എന്നിവയെല്ലാം അനുയോജ്യമാണ്. സഹപ്രവർത്തകന്റെ ചാറ്റ് സന്ദേശം, തിരച്ചിൽ ഫലത്തിലൂടെ എത്തിയ പിന്തുണാ പേജ്, നിങ്ങൾ ഇതിനകം ഡീബഗ് ചെയ്യുന്ന ടെർമിനലിൽ ഒട്ടിച്ച ഏതും അനുയോജ്യമല്ല.

പൂർണ്ണ മൂല്യവും അൽഗോരിതവും ആവശ്യപ്പെടുക, ഒരിക്കലും പ്രിഫിക്സ് അല്ല. കോളനുകളും വലിയ-ചെറിയ അക്ഷരങ്ങളും പ്രശ്നമല്ല, പക്ഷേ വെട്ടിച്ചുരുക്കൽ 256-ബിറ്റ് പരിശോധനയെ ഊഹക്കച്ചവടമാക്കി മാറ്റുന്നു.

സ്വതന്ത്രമായ ഒരു സ്രോതസ്സിൽ നിന്ന് ആർക്കും പ്രതീക്ഷിത മൂല്യം നൽകാൻ കഴിയില്ലെങ്കിൽ, സത്യസന്ധമായ ഫലം ഇതാണ്: ഈ സർട്ടിഫിക്കറ്റ് ഇന്ന് പരിശോധിക്കാനാവില്ല. അങ്ങനെ പറയുന്നത് ക്ലയന്റ് ഇപ്പോൾ കാണിച്ചത് പിൻ ചെയ്യുന്നതിനേക്കാൾ നല്ലതാണ്, കാരണം അത് മുന്നറിയിപ്പിനെ ഒരു ശീലമാക്കി മാറ്റുന്നു.

മൂല്യം നിങ്ങളുടെ ഭാഗത്ത് വേർതിരിച്ചെടുക്കുക

സർട്ടിഫിക്കറ്റ് ഫയലിന് കമാൻഡ് openssl x509 -in server.crt -noout -fingerprint -sha256 ആണ്. വ്യക്തമായ ഡൈജസ്റ്റ് പ്രധാനമാണ്: അതില്ലാതെ ഔട്ട്പുട്ട് നിങ്ങളുടെ OpenSSL പതിപ്പിനെ ആശ്രയിച്ചിരിക്കും. ഫലം കോളനുകൾ കൊണ്ട് വേർതിരിച്ച ഹെക്സ് സ്ട്രിംഗ് ആണ്, അതിനാൽ കോളനുകൾ നീക്കി താരതമ്യത്തിന് മുൻപ് ഇരുവശങ്ങളും ചെറിയ അക്ഷരങ്ങളാക്കുക.

TLS നേരിട്ട് സംസാരിക്കുന്ന എൻഡ്പോയിന്റിന്, കണക്ട് ചെയ്ത് സർട്ടിഫിക്കറ്റ് പൈപ്പിലൂടെ പുറത്തെടുക്കുക: openssl s_client -connect vpn.example.com:443 -servername vpn.example.com < /dev/null | openssl x509 -noout -fingerprint -sha256. ഇത് വെബ് അഡ്മിൻ പാനലിനോ TLS ലിസണറിനോ പ്രവർത്തിക്കും, നിയന്ത്രണ ചാനൽ ടണലിനുള്ളിൽ ഉള്ള OpenVPN എന്നതിന് പ്രവർത്തിക്കില്ല. OpenVPN എന്നതിന്, സോക്കറ്റിൽ നിന്ന് പിടിച്ചെടുക്കാൻ ശ്രമിക്കുന്നതിനുപകരം ഡിസ്കിലെ പ്രൊഫൈലിൽ നിന്ന് സർട്ടിഫിക്കറ്റ് വായിക്കുക.

താരതമ്യം യാന്ത്രികമായിരിക്കണം. tr -d ':' ഉം അക്ഷര ഏകീകരണവും ഉപയോഗിച്ച് ഇരു മൂല്യങ്ങളും സാധാരണവൽക്കരിച്ച്, പിന്നീട് മുഴുവൻ സ്ട്രിംഗും താരതമ്യം ചെയ്യുക. കണ്ണുകൊണ്ട് താരതമ്യം ചെയ്യുക എന്നത്, പൊരുത്തപ്പെടുന്ന പ്രിഫിക്സ് അവസാന ബൈറ്റിലെ വ്യത്യാസം മറയ്ക്കുന്ന വഴിയാണ്. സ്ട്രിംഗുകൾ വ്യത്യസ്തമാണെങ്കിൽ, വിശദീകരണം തിരയുന്നതിന് മുൻപ് വ്യത്യാസം യാഥാർത്ഥ്യമായി കണക്കാക്കുക.

നിർത്താനുള്ള വ്യവസ്ഥകൾ

വസ്തു വ്യത്യസ്തമാണെങ്കിൽ നിർത്തുക, കാരണം CA ഫിംഗർപ്രിന്റിന് ഇല സർട്ടിഫിക്കറ്റിനെ കുറ്റവിമുക്തമാക്കാനാവില്ല, ഇലയ്ക്ക് CAയെയും കഴിയില്ല. അൽഗോരിതം വ്യത്യസ്തമാണെങ്കിൽ നിർത്തുക, കാരണം SHA-1 മൂല്യത്തെ SHA-256 മൂല്യവുമായി താരതമ്യം ചെയ്യുന്നത് ഒന്നും പറയുന്നില്ല. ഫിംഗർപ്രിന്റ് പൊരുത്തപ്പെടുന്നുവെങ്കിലും സർട്ടിഫിക്കറ്റ് കാലഹരണപ്പെട്ടതോ റദ്ദാക്കിയതോ മറ്റൊരു പേരിന് നൽകിയതോ ആണെങ്കിൽ നിർത്തുക; പൊരുത്തപ്പെടുന്ന ഹാഷ് സാധുതയുടെ പരിശോധനയല്ല, തകർന്ന ശൃംഖല നന്നാക്കുന്നതുമില്ല. സീരിയൽ നമ്പർ നിങ്ങൾ പരിശോധിക്കുന്ന രേഖയിലെ സീരിയൽ നമ്പറുമായി പൊരുത്തപ്പെടുന്നില്ലെങ്കിലും നിർത്തുക, കാരണം മാറ്റിവച്ച സർട്ടിഫിക്കറ്റ് കണ്ടെത്താനുള്ള ഏറ്റവും വിലകുറഞ്ഞ വഴി അതാണ്.

പുതിയ മൂല്യം നിങ്ങൾ പരിശോധിച്ചുകൊണ്ടിരുന്ന ചാനലിലൂടെ വന്നെങ്കിൽ നിർത്തുക. റൊട്ടേഷന് ഒരു ഫിംഗർപ്രിന്റ് നിയമാനുസൃതമായി മാറ്റാം, പക്ഷേ പകരം മൂല്യം ഇപ്പോഴും വിശ്വസ്തമായ പ്രോസസ്സിൽ നിന്ന് വരണം, ചോദ്യം ഉയർത്തിയ മുന്നറിയിപ്പ് സംവാദത്തിൽ നിന്നല്ല.

നിർദ്ദേശിച്ച പരിഹാരം ഹോസ്റ്റ്നെയിം അല്ലെങ്കിൽ ശൃംഖല പരിശോധന ഓഫാക്കുകയാണെങ്കിൽ നിർത്തുക. ഫിംഗർപ്രിന്റ് സാധാരണ പരിശോധനകൾക്ക് ഒരു നിയന്ത്രണം കൂട്ടിച്ചേർക്കുന്നു; വിന്യാസം ബോധപൂർവം പിൻ-മാത്ര മാതൃക തിരഞ്ഞെടുക്കാത്ത പക്ഷം അത് അവയെ മാറ്റിസ്ഥാപിക്കുന്നില്ല, ആ തിരഞ്ഞെടുപ്പിന് അതിന്റേതായ പ്രവർത്തന ചെലവുകളുണ്ട്.

താരതമ്യത്തിന് ശേഷം

എന്താണ് താരതമ്യം ചെയ്തത്, പ്രതീക്ഷിത മൂല്യം എവിടെ നിന്ന് വന്നു, എപ്പോൾ എന്നിവ രേഖപ്പെടുത്തുക. സർട്ടിഫിക്കറ്റ് പുനഃപ്രകാശിപ്പിച്ചിട്ടുണ്ടെങ്കിൽ, സൂക്ഷിച്ച പ്രതീക്ഷ അതേ വിശ്വസ്ത ചാനലിലൂടെ പുതുക്കി, അടുത്ത റൊട്ടേഷൻ ഓഡിറ്റ് ചെയ്യാനാകുന്നതാക്കുന്ന പുതിയ സീരിയൽ നമ്പർ കുറിച്ചുവയ്ക്കുക.

പിന്നീട് പരിധികളെക്കുറിച്ച് വ്യക്തമാകുക. നിങ്ങളുടെ കൈവശമുള്ള സർട്ടിഫിക്കറ്റ്, ആരോ നിങ്ങളോട് പ്രതീക്ഷിക്കാൻ പറഞ്ഞതു തന്നെയാണെന്ന് ഫിംഗർപ്രിന്റ് സ്ഥിരീകരിക്കുന്നു. ഹോസ്റ്റ് വിട്ടുപോകാത്തതാണെന്നതിനെക്കുറിച്ച് അത് ഒന്നും പറയുന്നില്ല, ഈ സർട്ടിഫിക്കറ്റിന് എവിടെവരെ എത്താമെന്ന് സേവനം രേഖപ്പെടുത്തുന്നുണ്ടോ പരിമിതപ്പെടുത്തുന്നുണ്ടോ എന്നതിനെക്കുറിച്ചും ഒന്നും പറയുന്നില്ല.