VPN гэрчилгээний хурууны хээг тусдаа сувгаар хэрхэн шалгах вэ

Хурууны хээ нь танд юу хүлээхээ хэлсэн сувагтай адил л найдвартай. Хэрэв таны харьцуулж буй утга таны шалгаж буй тэр холболтоор ирсэн бол, харьцуулалт нь тухайн холболтыг удирдаж буй тал нийцтэй байна гэдгээс өөр юуг ч нотлохгүй. Шалгалт тогтмол дарааллаар явах ёстой бөгөөд бүтэлгүйтсэн алхам таныг дараагийнх руу түлхэхийн оронд зогсоох ёстой. VPN клиент гэрчилгээ өөрчлөгдсөн гэж мэдээлэх үед би ашигладаг дараалал энэ.

Утгыг нэрлэхээс өмнө объектыг нэрлэ

Хүлээгдэж буй утга нь серверийн навч гэрчилгээнд, түүнийг олгосон CA-д эсвэл навч доторх нийтийн түлхүүрт хамаарах эсэхийг шийд. Эдгээр нь гурван өөр шалгалт бөгөөд тэд өөр өөрөөр бүтэлгүйтдэг. Тохирсон CA хурууны хээ серверийг бэхлэхгүй бөгөөд нийтийн түлхүүрийн хэш нь ижил түлхүүрийг хадгалсан дахин олголтыг санаатайгаар даван туулдаг.

Алгоритмыг ч бичиж ав. SHA-256 нь одоогийн хэвийн хүлээлт, гэхдээ хуучин хэрэгслүүд өөр зүйл шагаагүй бол SHA-1 хэвлэдэг байсан, харин 40 тэмдэгтийн hex утга нь та хоёр өөр зүйлийг харьцуулах гэж байгаагийн шинж.

Хүлээгдэж буй утгыг хоёр дахь сувгаар ав

Хоёр дахь суваг нь танаас сэргийлж буй тал бичиж чадахгүй суваг байх ёстой. Та аль хэдийн баталгаажуулдаг хангамжийн систем, сейфэд хадгалсан хэвлэмэл бүртгэл, тохиргооны өгөгдлийн сан эсвэл өөр процесс хүргэсэн гарын үсэгтэй баримт бичиг бүгд тохиромжтой. Хамт олны чат мессеж, хайлтын үр дүнгээр хүрсэн тусламжийн хуудас, мөн та аль хэдийн алдаа засаж буй терминалд наасан бүхэн тохиромжгүй.

Бүтэн утга болон алгоритмыг асуу, хэзээ ч угтвар биш. Цэг таслал, том жижиг үсэг хамаагүй, гэхдээ таслах нь 256 битийн шалгалтыг таамаглах тоглоом болгоно.

Хэрэв хэн ч бие даасан эх сурвалжаас хүлээгдэж буй утгыг гаргаж чадахгүй бол шударга үр дүн нь энэ гэрчилгээг өнөөдөр шалгах боломжгүй гэсэн үг. Ингэж хэлэх нь клиентийн дөнгөж харуулсан зүйлийг бэхлэхээс дээр, учир нь тэр нь анхааруулгыг зуршил болгоно.

Утгыг өөрийн талд гаргаж ав

Гэрчилгээний файлын хувьд команд нь openssl x509 -in server.crt -noout -fingerprint -sha256. Тодорхой дижест чухал: түүнгүйгээр гаралт таны OpenSSL хувилбараас хамаарна. Үр дүн нь цэгээр тусгаарлагдсан hex мөр, тиймээс цэгүүдийг арилгаж, харьцуулахаас өмнө хоёр талыг жижиг үсэгт шилжүүл.

TLS-ийг шууд ярьдаг төгсгөлийн цэгийн хувьд холбогдож, гэрчилгээг хоолойгоор гаргаж ав: openssl s_client -connect vpn.example.com:443 -servername vpn.example.com < /dev/null | openssl x509 -noout -fingerprint -sha256. Энэ нь вэб админ панел эсвэл TLS сонсогчид ажиллана, удирдлагын суваг нь туннелийн дотор байдаг OpenVPN-д ажиллахгүй. OpenVPN-ийн хувьд сокетоос барих гэж оролдохын оронд диск дээрх профайлаас гэрчилгээг унш.

Харьцуулалт механик байх ёстой. Хоёр утгыг tr -d ':' болон үсгийн нэгдмэл байдлаар хэвийн болгоод, дараа нь бүх мөрийг харьцуул. Нүдээр харьцуулах нь тохирсон угтвар сүүлийн байт дахь зөрүүг нуух арга юм. Хэрэв мөрүүд ялгаатай бол тайлбар хайхаас өмнө ялгааг бодит гэж үз.

Зогсоох нөхцөл

Объект ялгаатай бол зогсоо, учир нь CA хурууны хээ навч гэрчилгээг цагаатгаж чадахгүй, навч нь CA-г цагаатгаж чадахгүй. Алгоритм ялгаатай бол зогсоо, учир нь SHA-1 утгыг SHA-256 утгатай харьцуулах нь танд юу ч хэлэхгүй. Хурууны хээ тохирсон ч гэрчилгээ хугацаа дууссан, хүчингүй болсон эсвэл өөр нэрээр олгогдсон бол зогсоо; тохирсон хэш нь хүчинтэй байдлын шалгалт биш бөгөөд тасарсан гинжийг засдаггүй. Мөн серийн дугаар таны тулгаж буй бүртгэл дэх серийн дугаартай тохирохгүй бол зогсоо, учир нь сольсон гэрчилгээг анзаарах хамгийн хямд арга энэ.

Шинэ утга таны шалгаж байсан сувгаар ирсэн бол зогсоо. Эргэлт нь хурууны хээг хууль ёсоор өөрчилж болох ч, орлуулах утга нь асуулт үүсгэсэн анхааруулгын цонхноос биш, итгэмжлэгдсэн процессоос ирэх ёстой.

Санал болгож буй засвар нь хостын нэр эсвэл гинжийн шалгалтыг унтраах бол зогсоо. Хурууны хээ нь ердийн шалгалтад нэг хязгаарлалт нэмдэг; хэрэв байршуулалт санаатайгаар зөвхөн-пин загварыг сонгоогүй бол тэр нь тэдгээрийг орлохгүй, мөн тэр сонголт өөрийн үйл ажиллагааны зардалтай.

Харьцуулалтын дараа

Юуг харьцуулсан, хүлээгдэж буй утга хаанаас ирсэн, хэзээ болсон зэргийг тэмдэглэ. Гэрчилгээ дахин олгогдсон бол хадгалсан хүлээлтийг мөн итгэмжлэгдсэн сувгаар шинэчилж, шинэ серийн дугаарыг тэмдэглэ, учир нь дараагийн эргэлтийг аудитлах боломжтой болгодог нь яг тэр серийн дугаар.

Дараа нь хязгаарын талаар тодорхой бай. Хурууны хээ нь таны гарт байгаа гэрчилгээ нь хэн нэгэн танд хүлээхийг хэлсэн гэрчилгээ мөн гэдгийг батална. Энэ нь хост эвдрээгүй гэх талаар юу ч хэлэхгүй, мөн үйлчилгээ энэ гэрчилгээ хаа хүрч чадахыг бүртгэдэг эсвэл хязгаарладаг эсэх талаар ч юу ч хэлэхгүй.