Nispezzjona Ċertifikat VPN Mingħajr Ma Noħroġ Iċ-Ċavetta Tiegħu

Il-qari tal-oqsma pubbliċi taċ-ċertifikat qatt ma jeħtieġ li turi ċ-ċavetta privata li taqbel miegħu, u l-għodda biex tagħmel dan tiġi installata ma' kull sistema li ttemm VPN. Ir-riskju jinsab pass qabel: il-fajl li ngħatajt jista' lanqas ikun ċertifikat. Ċertifikat PEM, blok DER, pakkett PKCS#12 u profil OpenVPN jistgħu jaslu bl-istess isem u jżommu materjal differenti ħafna, għalhekk identifika l-kontenitur qabel ma tagħżel kmand.

Tliet fatti jiddeċiedu liema kmand huwa sigur: x'jżomm il-fajl, x'għandek taqra minnu, u min se jara l-output. Jekk xi wieħed minnhom ikun ħażin, l-ispezzjoni nnifisha ssir l-inċident.

Liema minn tliet fajls ingħatajt

Ċertifikat PEM huwa test b'markaturi BEGIN u END viżibbli, fajl DER huwa binarju li jeħtieġ bandiera tal-format tal-input, u pakkett huwa kontenitur li jista' jżomm ċavetta ħdejn iċ-ċertifikat. file server.crt jifred it-test mill-binarju f'sekonda, u ħarsa lejn l-ewwel linja tifred ċertifikat għarwien minn profil li jinkorpora wieħed. L-istima ħażina hawn hija dik li tbiddel spezzjoni f'inċident.

Jekk il-fajl huwa profil u mhux ċertifikat, ittrattah bħala kredenzjali sakemm jiġi ppruvat mod ieħor. Din is-suppożizzjoni ma tiswiex xejn, u tipprevjeni l-iżball l-aktar komuni f'dan ix-xogħol kollu.

Il-qari tal-oqsma pubbliċi ta' ċertifikat PEM

Għal ċertifikat li inti awtorizzat tispjezzjona, il-kmand x509 bil--noout jistampa l-oqsma li tagħżel u xejn aktar. L-issoprim tal-korp huwa dak li jżomm l-output għall-metadata, li huwa wkoll dak li jagħmilu sigur biex tpasteh fit-ticket. Is-seletturi hawn taħt huma dawk pubbliċi, u d-dokumentazzjoni ta' openssl x509 telenka l-bqija.

openssl x509 -in server.crt -noout -subject -issuer -dates -fingerprint -sha256

Fuq ċertifikat tat-test iġġenerat lokalment dak il-kmand jistampa linja tas-suġġett u tal-emittent, il-par notBefore u notAfter, u marka waħda tas-swaba SHA-256. Dawk l-oqsma jidentifikaw l-oġġett; ma jistabbilixxux passaġġ ta' fiduċja validu, li huwa kompitu ta' verifika separat bil-kmand tiegħu u t-tweġiba tiegħu. Fajl tal-katina jista' wkoll jistampa biss l-ewwel ċertifikat sakemm ma tirrepetix il-fajl inti stess. Li tqabbel żewġ fajls b'dan il-mod jiswa kmand wieħed u jsolvi liema minnhom fil-fatt tippreżenta l-parti l-oħra.

Pakketti li jżommu ċavetta ħdejn iċ-ċertifikat

Fajl .p12 jew .pfx jista' jġorr ċavetta privata, u l-kmand tal-parsing jistampaha sakemm ma tissoprimx dik il-parti tal-output. B'-nokeys l-istess kmand xorta jirrapporta l-istruttura tal-kontenitur, inkluż borża taċ-ċwievet mgħottija, mingħajr ma joħroġ ebda materjal taċ-ċavetta; neħħi dik il-bandiera u blok taċ-ċavetta jidher fit-terminal tiegħek u fl-istorja tas-shell tiegħek.

openssl pkcs12 -in bundle.p12 -nokeys -info -passin env:P12PASS

Profil OpenVPN jinkorpora l-istess materjal bħala test, għalhekk il-konfini jidher jekk taf fejn tħares. Il-materjal pubbliku jinsab bejn BEGIN CERTIFICATE u END CERTIFICATE, filwaqt li kull ma jinsab bejn BEGIN PRIVATE KEY u l-linja END li taqbel miegħu hija ċ-ċavetta u m'għandhiex titlaq mill-host. Li tikkopja l-profil kollu jippubblika t-tnejn.

Kif tikseb il-valur ta' referenza minn band'oħra

Marka tas-swaba moqrija mill-konnessjoni li qed tipprova tivverifika ma tipprova xejn, għax il-parti li ma tafdax ipprovdiet lilha. Dan mhuwiex argument kontra l-marki tas-swaba; huwa argument dwar il-provenjenza. Qabbel il-valur ma' wieħed miksub permezz ta' kanal li l-parti l-oħra ma tistax tikteb fih, bħaċ-ċertifikat ippubblikat f'repożitorju intern jew il-hash stampat f'rekord ta' bidla iffirmat.

Fejn maħżen ta' fiduċja jwettaq validazzjoni, ħallih jagħmel dan, u aqra l-iżball li joħroġ minflok ma tissostitwixxi tqabbil tiegħek stess. Id-differenza li timporta hija min ipprovda r-referenza, mhux liema funzjoni hash intużat.

Kif taqsam ir-riżultat, u x'għandek tagħmel wara żball

Ibgħat l-iżball eżatt tal-validazzjoni, id-dati rilevanti u biss id-dettalji tal-identità li l-korp riċeventi jeħtieġ. L-ismijiet tal-host interni u l-identifikaturi tal-kont jibqgħu sensittivi anke meta ma jkunx hemm ċavetta, u servizz ta' paste pubbliku huwa d-destinazzjoni ħażina għal kollox minnhom. Paste fit-ticket, mhux f'buffer temporanju li jaqsam xi ħadd ieħor.

Jekk materjal taċ-ċavetta deher tabilħaqq fuq l-iskrin jew f'fajl, ittrattah bħala kompromess u dawwaru minflok ma tittama li ħadd ma ħares. Imbagħad ikteb il-fajl li ġie spezzjonat, il-kmand użat u fejn mar l-output, għax dak ir-rekord huwa dak li jbiddel biża' fi proċedura. It-tidwir irħis meta mqabbel mal-ispiża li tassumi li ħadd ma żamm screenshot, u l-istess rekord jgħid lill-inġinier li jmiss liema fajls tmissu bl-inqas. Agħmel it-tnejn qabel ma jingħalaq it-ticket.