Kif tivverifika marka tas-swaba’ ta’ ċertifikat VPN fuq kanal separat

Marka tas-swaba’ hija biss b’saħħitha daqs il-kanal li qallek x’għandek tistenna. Jekk il-valur li qed tqabbel miegħu wasal fuq l-istess konnessjoni li qed tittestja, it-tqabbil ma jipprova xejn għajr li min jikkontrolla dik il-konnessjoni huwa konsistenti. Il-verifika trid issir f’ordni fiss, u pass li jfalli għandu jwaqqfek minflok ma jimbukkek għall-passa li jmiss. Dan huwa l-ordni li nuża meta klijent VPN jirrapporta li ċertifikat inbidel.

Semmi l-oġġett qabel ma semmi l-valur

Iddeċiedi jekk il-valur mistenni huwiex tal-ċertifikat tal-folja tas-server, tal-CA li ħarġu, jew tal-muftieħ pubbliku ġewwa l-folja. Dawn huma tliet verifiki differenti, u jfallu b’modi differenti. Marka tas-swaba’ tal-CA li taqbel ma tiffsax is-server, u hash tal-muftieħ pubbliku apposta jgħaddi minn ħruġ mill-ġdid li jżomm l-istess muftieħ.

Ikteb ukoll l-algoritmu. SHA-256 huwa l-aspettattiva normali llum, iżda għodod eqdem kienu jistampaw SHA-1 sakemm ma titlobx mod ieħor, u valur hex ta’ 40 karattru huwa sinjal li inti se tqabbel żewġ affarijiet differenti.

Ġib il-valur mistenni fuq it-tieni kanal

It-tieni kanal irid ikun wieħed li l-parti li qed tipproteġi ruħek minnha ma tistax tikteb fih. Sistema ta’ provvista li diġà tawtentika ruħek magħha, rekord stampat f’kaxxafiorti, bażi tad-dejta tal-konfigurazzjoni jew dokument iffirmat li jwassal proċess ieħor kollha huma xierqa. Messaġġ taċ-chat minn kollega, paġna ta’ appoġġ li tasal għaliha permezz ta’ riżultat ta’ tfittxija, u kull ma jitwaħħal fit-terminal li diġà qed tiddebogja fih mhumiex xierqa.

Talab il-valur sħiħ u l-algoritmu, qatt preffiss. Il-punti u l-kapitali jew ż-żgħar mhumiex importanti, iżda t-tqassir ibiddel verifika ta’ 256 bit fi logħba ta’ tbassir.

Jekk ħadd ma jista’ jipproduċi l-valur mistenni minn sors indipendenti, ir-riżultat onest huwa li dan iċ-ċertifikat illum ma jistax jiġi vverifikat. Li tgħid hekk huwa aħjar milli tiffissa dak li l-klijent għadu kif wera, li jbiddel twissija f’drawwa.

Estratta l-valur fuq naħa tiegħek

Għal fajl ta’ ċertifikat, il-kmand huwa openssl x509 -in server.crt -noout -fingerprint -sha256. Id-dijest espliċitu huwa importanti: mingħajru, l-output jiddependi mill-verżjoni ta’ OpenSSL tiegħek. Ir-riżultat huwa string hex separata bil-punti, għalhekk neħħi l-punti u dawwar iż-żewġ naħat għall-ittri żgħar qabel ma tqabbel.

Għal punt tat-tarf li jitkellem TLS direttament, qabbad u ppipja ċ-ċertifikat barra: openssl s_client -connect vpn.example.com:443 -servername vpn.example.com < /dev/null | openssl x509 -noout -fingerprint -sha256. Dan jaħdem għal panel amministrattiv tal-web jew semmiegħ TLS, mhux għal OpenVPN, li l-kanal ta’ kontroll tiegħu jinsab ġewwa t-tunnel. Għal OpenVPN, aqra ċ-ċertifikat mill-profil fuq id-diska minflok ma tipprova taqbadha mis-sokit.

It-tqabbil għandu jkun mekkaniku. Normaliżża ż-żewġ valuri b’tr -d ':' u b’bidla għall-ittri żgħar, imbagħad qabbel l-istring kollha. Li tagħmilha bl-għajn hija l-mod kif preffiss li jaqbel jaħbi differenza fl-aħħar byte. Jekk l-istrings huma differenti, ittratta d-differenza bħala waħda reali qabel ma tfittex spjegazzjoni.

Kundizzjonijiet ta’ waqfien

Ieqaf jekk l-oġġett huwa differenti, għax marka tas-swaba’ tal-CA ma tistax teħles ċertifikat tal-folja u folja ma tistax teħles il-CA. Ieqaf jekk l-algoritmu huwa differenti, għax valur SHA-1 imqabbel ma’ valur SHA-256 ma jgħidlek xejn. Ieqaf jekk il-marka tas-swaba’ taqbel iżda ċ-ċertifikat skada, ġie revokat jew inħareġ għal isem ieħor; hash li jaqbel mhuwiex verifika tal-validità u ma jsewwix katina maqtugħa. Ieqaf ukoll jekk in-numru tas-serje ma jaqbilx man-numru tas-serje fir-rekord li qed tivverifika miegħu, għax dik hija l-irħas triq biex tara ċertifikat mibdul.

Ieqaf jekk il-valur il-ġdid wasal fuq il-kanal li kont qed tittestja. Rotazzjoni tista’ tibdel marka tas-swaba’ b’mod leġittimu, iżda l-valur sostitut xorta irid jiġi mill-proċess affidabbli, mhux mid-djalogu ta’ twissija li qajjem il-mistoqsija.

Ieqaf jekk is-soluzzjoni proposta hija li tintefa l-verifika tal-isem tal-host jew tal-katina. Marka tas-swaba’ żżid restrizzjoni mal-verifiki normali; ma tissostitwixxihom sakemm l-iskjerament ma għażilx apposta mudell ta’ pin biss, u dik l-għażla ġġorr l-ispejjeż operattivi tagħha.

Wara t-tqabbil

Irreġistra x’qabbel, minn fejn ġie l-valur mistenni u meta. Jekk iċ-ċertifikat reġa’ nħareġ, aġġorna l-aspettattiva maħżuna permezz tal-istess kanal affidabbli u noti n-numru tas-serje l-ġdid, għax in-numru tas-serje huwa dak li jagħmel ir-rotazzjoni li jmiss verifikabbli.

Imbagħad kun ċar dwar il-limiti. Marka tas-swaba’ tikkonferma li ċ-ċertifikat li għandek huwa dak li xi ħadd qallek tistenna. Ma tgħid xejn dwar jekk il-host huwiex mhux kompromess, u ma tgħid xejn dwar jekk is-servizz jirreġistrax jew jillimitax x’jista’ jilħaq dak iċ-ċertifikat.