L-istess isem tal-fajl ca.crt, ċertifikat differenti: x'għandu jiġi mqabbel

Żewġ profili t-tnejn iġibu fajl bl-isem ca.crt, tunell wieħed jogħla u l-ieħor jonqos bi żball fil-katina. Il-ftuħ taż-żewġ fajls spalla ma' spalla rari jsolviha, u t-tifi tal-verifika jsolviha fid-direzzjoni l-ħażina. Il-mistoqsija li ż-żball fil-fatt jistaqsi hija dejqa aktar: liema ċertifikat jgħabbi kull proċess bħala l-ankra tal-fiduċja tiegħu, u humiex it-tnejn l-istess oġġett? Wieġeb dan l-ewwel u l-bqija tad-dijanjosi tieħu direzzjoni. L-isem tal-fajl huwa tikketta tal-ippakkjar, u l-passaġġ miktub fil-profil lanqas mhu awtorevoli, għalhekk kollox jiddependi minn dak li l-proċess fil-fatt jaqra.

Sib iċ-ċertifikat li l-klijent fil-fatt jgħabbi

OpenVPN jaċċetta l-awtorità f'żewġ forom, u l-forma tiddetermina liema bytes huma importanti. Profil jista' jindika fajl estern b'ca, jew inkella jintegra ċ-ċertifikat f'blokk <ca> fil-profil innifsu. Meta jkun hemm it-tnejn, il-blokk integrat jirbaħ u l-fajl ħdejn il-profil qatt ma jinfetaħ.

Aqra l-profil li qed jonqos u sib liema forma juża qabel ma tqabbel xejn. Kopja meħuda minn direttorju ġar, jew mill-pakkett li minnu ġie l-profil l-ieħor, ma tgħidlek xejn dwar dak li jafda dan il-proċess. L-istess jgħodd għall-passaġġ fil-konfigurazzjoni: jiġi riżolt relattiv għall-post fejn inbeda l-klijent, li mhux dejjem id-direttorju li qed tħares lejh. Aqra l-profil, mhux il-folder.

Iċ-ċertifikati jiġu identifikati mill-kontenut tagħhom: iċ-ċavetta pubblika, is-suġġett u l-ħruġ, il-perjodu tal-validità, u l-firma fuq dan kollu. Żewġ fajls b'bytes identiċi huma l-istess ċertifikat x'jissejħu, u żewġ fajls bl-istess isem jistgħu jkunu awtoritajiet mhux relatati. L-isem huwa tikketta tal-ippakkjar, mhux identità.

Ħu marka tas-swaba' taż-żewġ kopji b'openssl

Marka tas-swaba' hija hash fuq l-inkodar DER taċ-ċertifikat, il-forma li tkopri l-firma, għalhekk tmiem il-linji u t-test tal-intestatura ma jistgħux jaffettwawha. Ikkalkulaha għal kull fajl u jkollok żewġ string hexadeċimali separati b'punt u virgola li jew jaqblu jew le. M'hemm bżonn jinqara xejn ieħor fiċ-ċertifikat biex tiġi mwieġba l-mistoqsija tal-paragun.

openssl x509 -in /etc/openvpn/office/ca.crt -noout -fingerprint -sha256
openssl x509 -in ~/profiles/lab-ca.pem -noout -fingerprint -sha256

Huwa tentattiv li tindika openssl lejn il-profil innifsu, imma dan jaqra l-ewwel blokk taċ-ċertifikat li jidher fil-fajl, u profil normalment iġorr <cert> qabel <ca>. Iġbed il-blokk tal-awtorità, imbagħad ħu marka tas-swaba' tal-fajl estratt, għax dik hija l-kopja li l-klijent fil-fatt se juża.

sed -n '/^<ca>$/,/^<\/ca>$/p' office.ovpn | sed '1d;$d' > /tmp/office-ca.pem
openssl x509 -in /tmp/office-ca.pem -noout -fingerprint -sha256

Marki tas-swaba' identiċi jfissru li l-materjal tal-fiduċja huwa l-istess u li ż-żball fil-katina għandu kawża oħra, li hija investigazzjoni differenti. Marki tas-swaba' differenti jfissru ċertifikati differenti, u hemmhekk tibda s-sezzjoni li jmiss.

Aqra nuqqas ta' qbil qabel ma tassumi attakk

Marki tas-swaba' differenti jfissru ċertifikati differenti u xejn aktar. Ħruġ mill-ġdid, rotazzjoni, awtorità mibdula isimha, jew pakkett skadut kollha jipproduċu fajls differenti b'istorji kompletament leġittimi. Liema waħda tappartjeni lill-iskjerament hija mistoqsija għall-operatur jew għar-rekord tal-iskjerament, mhux għall-ħin tal-modifika tal-fajl. L-arkivji jikkupjaw it-timbri tal-ħin, għalhekk fajl aktar ġdid mhux awtomatikament l-ankra korretta.

Għerq li jiffirma lilu nnifsu huwa normali, għalhekk li ssib wieħed mhix prova ta' problema. Ix-xogħol tal-verifikatur huwa li jibni passaġġ miċ-ċertifikat tas-server sal-ankra li ngħatatlu, u żball fil-katina normalment ifisser li dak il-passaġġ ma setax jitlesta.

Iċċekkja jekk l-ankra tal-profil li qed jonqos hijiex awtorità li l-iskjerament għadha toħroġ minnha. Jekk il-marka tas-swaba' ma taqbel ma' xejn fir-rekord tal-iskjerament, il-profil huwa sempliċement skadut, u l-ebda aġġustament fuq in-naħa tal-klijent mhux se jsewwi dan.

Sejjaħ il-fiduċja mingħajr ma titfi l-verifika

Is-sewwa għal żmien qasir huwa li titfi l-verifika jew li żżid kull ċertifikat fil-katina bħala ankra. It-tnejn iġegħlu l-messaġġ jisparixxi, u t-tnejn ibiddlu liema servers il-klijent se jaċċetta minn dakinhar 'il quddiem. Erġa' ixgħel il-verifika, installa l-ankra maħsuba u erġa' ittestja.

Jekk il-katina issa tinbena imma jidher żball differenti, dan huwa progress: verifika tal-isem, dati tal-validità u revoka huma kontrolli separati b'messaġġi separati. Żomm il-par tal-marki tas-swaba' u t-test oriġinali taż-żball flimkien fit-ticket, sabiex il-persuna li jmiss tara liema ankra ġiet mgħobbija u liema kienet mistennija. Par ta' marki tas-swaba' huwa żgħir biżżejjed biex jiġi pejstjat f'nota ta' trasferiment, u l-okkorrenza li jmiss imbagħad tieħu ħames minuti minflok wara nofsinhar.

Ikseb l-awtorità korretta permezz tal-istess kanal awtentikat li wassal il-profil. Il-ġbid ta' ċertifikat mis-server għax is-suġġett tiegħu jidher familjari huwa att ieħor, u jwessa' bil-kwiet dak li l-klijent se jafda.