VPN प्रमाणपत्राची फिंगरप्रिंट वेगळ्या चॅनेलने कशी पडताळावी

फिंगरप्रिंट तितकीच विश्वासार्ह आहे जितका तो चॅनेल ज्याने तुम्हाला काय अपेक्षा करायचे ते सांगितले। तुम्ही ज्या मूल्याशी तुलना करत आहात ते तुम्ही चाचणी करत असलेल्या त्याच जोडणीतून आले असेल, तर ती तुलना त्या जोडणीवर नियंत्रण ठेवणारा सुसंगत आहे एवढेच सिद्ध करते, त्यापलीकडे काही नाही। तपासणी ठरलेल्या क्रमानेच व्हायला हवी, आणि अपयशी पायरीने तुम्हाला पुढच्या पायरीकडे ढकलण्याऐवजी थांबवायला हवे। VPN क्लायंटने प्रमाणपत्र बदलले असे कळवल्यावर मी वापरतो तो क्रम हा आहे।

मूल्याला नाव देण्यापूर्वी वस्तूला नाव द्या

अपेक्षित मूल्य सर्व्हरच्या पान प्रमाणपत्राचे आहे, ते देणाऱ्या CA चे आहे, की पानातील सार्वजनिक की चे आहे हे ठरवा। या तीन वेगळ्या तपासण्या आहेत आणि त्या वेगळ्या पद्धतीने अपयशी होतात। जुळणारी CA फिंगरप्रिंट सर्व्हरला पिन करत नाही, आणि सार्वजनिक की चा हॅश तीच की टिकवणाऱ्या पुनर्प्रकाशनातून जाणीवपूर्वक टिकून राहतो।

अल्गोरिदमही लिहून ठेवा। SHA-256 आजची नेहमीची अपेक्षा आहे, पण जुन्या साधनांनी दुसरे काही न मागितल्यास SHA-1 छापले जायचे, आणि 40 अक्षरांचे हेक्स मूल्य म्हणजे तुम्ही दोन वेगळ्या गोष्टींची तुलना करणार आहात याचा संकेत।

अपेक्षित मूल्य दुसऱ्या चॅनेलने मिळवा

दुसरे चॅनेल असे असले पाहिजे की ज्या पक्षापासून तुम्ही संरक्षण करत आहात तो त्यात लिहू शकत नाही। ज्या प्रोव्हिजनिंग सिस्टीममध्ये तुम्ही आधीच प्रमाणीकरण करता, तिजोरीत ठेवलेला छापील नोंद, कॉन्फिगरेशन डेटाबेस, किंवा दुसऱ्या प्रक्रियेने पोहोचवलेला स्वाक्षरीत दस्तऐवज, हे सर्व योग्य आहेत। सहकाऱ्याचा चॅट संदेश, शोधनिकालातून मिळालेले सहाय्य पान, आणि तुम्ही आधीच ज्या टर्मिनलमध्ये डीबग करत आहात त्यात पेस्ट केलेली कोणतीही गोष्ट योग्य नाही।

पूर्ण मूल्य आणि अल्गोरिदम मागा, कधीही उपसर्ग नाही। कोलन आणि अक्षरांचे मोठेपण किंवा लहानपण महत्त्वाचे नाही, पण कापणीमुळे 256-बिट तपासणी अंदाजाचा खेळ बनते।

स्वतंत्र स्रोतातून कोणीही अपेक्षित मूल्य देऊ शकत नसेल, तर प्रामाणिक निष्कर्ष हा आहे की हे प्रमाणपत्र आज पडताळता येणार नाही। असे म्हणणे हे क्लायंटने नुकतेच दाखवलेले पिन करण्यापेक्षा बरे, कारण त्यामुळे इशारा सवय बनतो।

मूल्य तुमच्या बाजूला काढा

प्रमाणपत्र फाइलसाठी आदेश openssl x509 -in server.crt -noout -fingerprint -sha256 आहे। स्पष्ट डायजेस्ट महत्त्वाचा आहे: त्याशिवाय आउटपुट तुमच्या OpenSSL आवृत्तीवर अवलंबून असते। निकाल हा कोलनने वेगळा केलेला हेक्स स्ट्रिंग आहे, म्हणून तुलना करण्यापूर्वी कोलन काढून टाका आणि दोन्ही बाजू लहान अक्षरांत आणा।

TLS थेट बोलणाऱ्या एंडपॉइंटसाठी, जोडा आणि प्रमाणपत्र पाइपने बाहेर काढा: openssl s_client -connect vpn.example.com:443 -servername vpn.example.com < /dev/null | openssl x509 -noout -fingerprint -sha256। हे वेब अ‍ॅडमिन पॅनेल किंवा TLS श्रोत्यासाठी चालते, ज्याचे नियंत्रण चॅनेल बोगद्याच्या आत असते त्या OpenVPN साठी नाही। OpenVPN साठी, सॉकेटमधून पकडण्याचा प्रयत्न करण्याऐवजी डिस्कवरील प्रोफाइलमधून प्रमाणपत्र वाचा।

तुलना यांत्रिक असायला हवी। tr -d ':' आणि अक्षरांचे एकसमानीकरण वापरून दोन्ही मूल्ये सामान्यीकृत करा, मग संपूर्ण स्ट्रिंगची तुलना करा। डोळ्यांनी तुलना करणे म्हणजे जुळणारा उपसर्ग शेवटच्या बाइटमधील फरक लपवण्याचा मार्ग। स्ट्रिंग वेगळ्या असतील, तर स्पष्टीकरण शोधण्यापूर्वी फरक खरा माना।

थांबण्याच्या अटी

वस्तू वेगळी असेल तर थांबा, कारण CA फिंगरप्रिंट पान प्रमाणपत्र निर्दोष ठरवू शकत नाही आणि पान CA ला निर्दोष ठरवू शकत नाही। अल्गोरिदम वेगळा असेल तर थांबा, कारण SHA-1 मूल्याची SHA-256 मूल्याशी तुलना तुम्हाला काहीच सांगत नाही। फिंगरप्रिंट जुळली तरी प्रमाणपत्र कालबाह्य, रद्द केलेले किंवा दुसऱ्या नावासाठी दिलेले असेल तर थांबा; जुळणारा हॅश वैधतेची तपासणी नाही आणि तुटलेली साखळी दुरुस्त करत नाही। ज्या नोंदीशी तुम्ही पडताळणी करत आहात त्यातील अनुक्रमांकाशी अनुक्रमांक जुळत नसेल तरही थांबा, कारण बदललेले प्रमाणपत्र हेरायचा हा सर्वात स्वस्त मार्ग आहे।

नवे मूल्य तुम्ही चाचणी करत असलेल्या चॅनेलमधून आले असेल तर थांबा। फिरतीमुळे फिंगरप्रिंट कायदेशीरपणे बदलू शकते, पण बदली मूल्य तरीही विश्वासार्ह प्रक्रियेतूनच आले पाहिजे, प्रश्न उपस्थित करणाऱ्या इशारा संवादातून नाही।

सुचवलेला उपाय होस्टनाव किंवा साखळी पडताळणी बंद करणे असेल तर थांबा। फिंगरप्रिंट नेहमीच्या तपासण्यांना एक बंधन जोडते; तैनातीने जाणीवपूर्वक फक्त-पिन मॉडेल निवडले नसेल तर ते त्यांना बदलत नाही, आणि त्या निवडीचा स्वतःचा कार्यचालन खर्च असतो।

तुलनेनंतर

तुम्ही कशाची तुलना केली, अपेक्षित मूल्य कुठून आले आणि कधी, हे नोंदवा। प्रमाणपत्र पुनर्प्रकाशित झाले असेल, तर साठवलेली अपेक्षा त्याच विश्वासार्ह चॅनेलमधून अद्ययावत करा आणि नवा अनुक्रमांक नोंदवा, कारण पुढील फिरतीची तपासणी शक्य करणारा तोच अनुक्रमांक आहे।

मग मर्यादांबद्दल स्पष्ट राहा। फिंगरप्रिंट पुष्टी करते की तुमच्याकडील प्रमाणपत्र हेच जे कोणीतरी तुम्हाला अपेक्षा करायला सांगितले होते। होस्ट अपरिवर्तित आहे याबद्दल ते काहीच सांगत नाही, आणि हे प्रमाणपत्र कुठपर्यंत पोहोचू शकते हे सेवा नोंदवते की मर्यादित करते याबद्दलही काहीच सांगत नाही।