VPN प्रमाणपत्र त्याची की उघड न करता तपासणे

प्रमाणपत्राची सार्वजनिक क्षेत्रे वाचण्यासाठी त्याच्याशी जुळणारी खाजगी की दाखवण्याची कधीही आवश्यकता नसते, आणि ते करण्याची साधने VPN संपवणाऱ्या प्रत्येक प्रणालीसोबत येतात। धोका एक पाऊल आधीच आहे: तुम्हाला दिलेली फाइल प्रमाणपत्रच नसू शकते। PEM प्रमाणपत्र, DER ब्लॉब, PKCS#12 बंडल आणि OpenVPN प्रोफाइल एकाच नावाने येऊ शकतात आणि खूप वेगळी सामग्री ठेवू शकतात, म्हणून आज्ञा निवडण्यापूर्वी कंटेनर ओळखा।

तीन तथ्ये कोणती आज्ञा सुरक्षित आहे हे ठरवतात: फाइलमध्ये काय आहे, तुम्हाला त्यातून काय वाचायचे आहे, आणि आउटपुट कोण पाहील। यापैकी एकही चुकल्यास तपासणी स्वतःच घटना बनते।

तुम्हाला तीनपैकी कोणती फाइल दिली

PEM प्रमाणपत्र म्हणजे दिसणारे BEGIN आणि END चिन्ह असलेला मजकूर, DER फाइल म्हणजे इनपुट-स्वरूप फ्लॅग लागणारी बायनरी, आणि बंडल म्हणजे प्रमाणपत्राच्या शेजारी की ठेवू शकणारा कंटेनर। file server.crt मजकूर आणि बायनरी एका सेकंदात वेगळे करते, आणि पहिल्या ओळीवर एक नजर टाकल्यास साधे प्रमाणपत्र आणि प्रमाणपत्र गुंफलेले प्रोफाइल वेगळे होते। इथे अंदाज लावणे हेच तपासणीचे घटनेत रूपांतर करते।

फाइल प्रमाणपत्र नसून प्रोफाइल असल्यास, उलट सिद्ध होईपर्यंत तिला क्रेडेन्शियल माना। या गृहीतकाचा काही खर्च नाही, आणि ते या संपूर्ण कामातील सर्वात सामान्य चूक टाळते।

PEM प्रमाणपत्राची सार्वजनिक क्षेत्रे वाचणे

तुम्हाला तपासण्याचा अधिकार असलेल्या प्रमाणपत्रासाठी, -noout सह x509 उपआज्ञा तुम्ही निवडलेली क्षेत्रे आणि दुसरे काहीही छापत नाही। मुख्य भाग दाबणे हेच आउटपुट मेटाडेटापुरते ठेवते, आणि तेच ते तिकिटात पेस्ट करण्यास सुरक्षित बनवते। खालील निवडक सार्वजनिक आहेत, आणि openssl x509 चे दस्तऐवज उर्वरित सूची देतात।

openssl x509 -in server.crt -noout -subject -issuer -dates -fingerprint -sha256

स्थानिक पातळीवर तयार केलेल्या चाचणी प्रमाणपत्रावर ती आज्ञा विषय आणि जारीकर्ता ओळ, notBefore आणि notAfter जोडी, आणि एक SHA-256 फिंगरप्रिंट छापते। ती क्षेत्रे वस्तू ओळखतात; ती वैध विश्वास मार्ग स्थापित करत नाहीत, जे स्वतःच्या आज्ञेसह आणि स्वतःच्या उत्तरासह वेगळे पडताळणी कार्य आहे। साखळी फाइल तुम्ही स्वतः फाइलवर फिरल्याशिवाय फक्त पहिले प्रमाणपत्रही छापू शकते। अशा प्रकारे दोन फाइलींची तुलना करण्यास एक आज्ञा लागते आणि त्यांपैकी कोणती समोरचा पक्ष खरोखर सादर करतो हे ठरते।

प्रमाणपत्राच्या शेजारी की ठेवणारी बंडले

.p12 किंवा .pfx फाइल खाजगी की घेऊन जाऊ शकते, आणि आउटपुटचा तो भाग दाबल्याशिवाय पार्सिंग आज्ञा ती छापते। -nokeys सह तीच आज्ञा कोणतीही की सामग्री न काढता, झाकलेल्या की-बॅगसह कंटेनरची रचना अजूनही नोंदवते; तो फ्लॅग काढल्यास तुमच्या टर्मिनलमध्ये आणि shell इतिहासात की ब्लॉक दिसतो।

openssl pkcs12 -in bundle.p12 -nokeys -info -passin env:P12PASS

OpenVPN प्रोफाइल तीच सामग्री मजकुराने गुंफते, म्हणून कुठे पाहायचे हे माहीत असल्यास सीमा दिसते। सार्वजनिक सामग्री BEGIN CERTIFICATE आणि END CERTIFICATE दरम्यान असते, तर BEGIN PRIVATE KEY आणि त्याशी जुळणाऱ्या END ओळीदरम्यानचे काहीही की असते आणि ते होस्ट सोडू नये। प्रोफाइल संपूर्णपणे कॉपी करणे दोन्ही प्रकाशित करते।

संदर्भ मूल्य दुसरीकडून मिळवणे

तुम्ही पडताळू पाहत असलेल्या कनेक्शनवरून वाचलेले फिंगरप्रिंट काहीच सिद्ध करत नाही, कारण तुम्ही ज्यावर विश्वास ठेवत नाही त्या पक्षाने ते दिले आहे। हा फिंगरप्रिंटविरुद्धचा युक्तिवाद नाही; हा उगमाबद्दलचा युक्तिवाद आहे। मूल्याची तुलना समोरचा पक्ष जिथे लिहू शकत नाही अशा माध्यमातून मिळवलेल्या मूल्याशी करा, जसे की अंतर्गत रेपॉझिटरीत प्रकाशित प्रमाणपत्र किंवा स्वाक्षरी केलेल्या बदल नोंदीत छापलेला हॅश।

जिथे ट्रस्ट स्टोअर पडताळणी करते, तिथे तिला करू द्या, आणि तुमच्या स्वतःच्या तुलनेने बदलण्याऐवजी ती निर्माण करणारी त्रुटी वाचा। महत्त्वाचा फरक म्हणजे संदर्भ कोणी दिला, कोणते हॅश फंक्शन वापरले गेले हे नाही।

निकाल सामायिक करणे, आणि चूक झाल्यावर काय करावे

तंतोतंत पडताळणी त्रुटी, संबंधित तारखा आणि प्राप्तकर्त्याला आवश्यक असलेले फक्त ओळखीचे तपशील पाठवा। अंतर्गत होस्टनावे आणि खाते ओळखकर्ते की नसतानाही संवेदनशील राहतात, आणि सार्वजनिक पेस्ट सेवा यापैकी कशासाठीही योग्य ठिकाण नाही। तिकिटात पेस्ट करा, दुसरे कोणी सामायिक करत असलेल्या तात्पुरत्या बफरमध्ये नाही।

जर की सामग्री खरोखर स्क्रीनवर किंवा फाइलमध्ये दिसली, तर ती तडजोड झाली आहे असे माना आणि कोणी पाहिले नाही अशी आशा करण्याऐवजी ती फिरवा। नंतर तपासलेली फाइल, वापरलेली आज्ञा आणि आउटपुट कुठे गेले हे लिहून ठेवा, कारण ती नोंदच घाबरगुंडीचे प्रक्रियेत रूपांतर करते। कोणीही स्क्रीनशॉट ठेवला नाही असे गृहीत धरण्याच्या खर्चाच्या तुलनेत फिरवणे स्वस्त आहे, आणि तीच नोंद पुढील अभियंत्याला कोणत्या फाइल्सना अजिबात हात लागला हे सांगते। तिकीट बंद होण्यापूर्वी दोन्ही करा।