VPN प्रमाणपत्रको कुञ्जी निकाल्न नदिई निरीक्षण गर्ने

प्रमाणपत्रका सार्वजनिक क्षेत्र पढ्न त्यससँग मिल्ने निजी कुञ्जी देखाउनु कहिल्यै आवश्यक पर्दैन, र त्यसो गर्ने उपकरण VPN अन्त्य गर्ने हरेक प्रणालीसँगै आउँछ। जोखिम एक कदम अगाडि छ: तपाईंलाई दिइएको फाइल प्रमाणपत्र नै नहुन पनि सक्छ। PEM प्रमाणपत्र, DER ब्लब, PKCS#12 बन्डल र OpenVPN प्रोफाइल एउटै नाममा आउन सक्छन् र धेरै फरक सामग्री राख्न सक्छन्, त्यसैले आदेश छान्नुअघि कन्टेनर पहिचान गर्नुहोस्।

तीन तथ्यले कुन आदेश सुरक्षित छ भन्ने निर्धारण गर्छन्: फाइलमा के छ, तपाईंले त्यसबाट के पढ्नु छ, र आउटपुट कसले देख्छ। यीमध्ये एउटा पनि गलत भयो भने निरीक्षण आफैं घटना बन्छ।

तपाईंलाई तीनमध्ये कुन फाइल दिइयो

PEM प्रमाणपत्र देखिने BEGIN र END चिन्ह भएको पाठ हो, DER फाइल इनपुट-ढाँचा झन्डा चाहिने बाइनरी हो, र बन्डल प्रमाणपत्रको छेउमा कुञ्जी राख्न सक्ने कन्टेनर हो। file server.crt ले पाठ र बाइनरी एक सेकेन्डमा छुट्याउँछ, र पहिलो हेर्दा साधारण प्रमाणपत्र र प्रमाणपत्र भित्र राखिएको प्रोफाइल छुट्टिन्छ। यहाँ अनुमान गर्नु नै निरीक्षणलाई घटनामा बदल्ने कुरा हो।

फाइल प्रमाणपत्र नभई प्रोफाइल हो भने, विपरीत प्रमाणित नभएसम्म त्यसलाई प्रमाणको रूपमा मान्नुहोस्। त्यो अनुमान सित्तैंमा आउँछ, र यसले यो सम्पूर्ण कामको सबैभन्दा सामान्य गल्ती रोक्छ।

PEM प्रमाणपत्रका सार्वजनिक क्षेत्र पढ्ने

तपाईंलाई निरीक्षण गर्न अधिकार भएको प्रमाणपत्रका लागि, -noout सहितको x509 उपादेशले तपाईंले छान्नुभएका क्षेत्र मात्र छाप्छ, अरू केही होइन। मुख्य भाग दबाउनु नै आउटपुटलाई मेटाडाटामा सीमित राख्छ, र त्यही कुराले यसलाई टिकटमा टाँस्न सुरक्षित बनाउँछ। तलका चयनकर्ता सार्वजनिक हुन्, र openssl x509 को कागजात ले बाँकी सूची दिन्छ।

openssl x509 -in server.crt -noout -subject -issuer -dates -fingerprint -sha256

स्थानीय रूपमा बनाइएको परीक्षण प्रमाणपत्रमा त्यो आदेशले विषय र जारीकर्ता लाइन, notBefore र notAfter जोडी, र एउटा SHA-256 फिंगरप्रिन्ट छाप्छ। ती क्षेत्रले वस्तु पहिचान गर्छन्; तिनले वैध विश्वास मार्ग स्थापित गर्दैनन्, जो आफ्नै आदेश र आफ्नै उत्तर भएको छुट्टै प्रमाणीकरण कार्य हो। चेन फाइलले तपाईं आफैं फाइलमा दोहोरिनुभएन भने पहिलो प्रमाणपत्र मात्र छाप्न सक्छ। यसरी दुई फाइल तुलना गर्न एउटा आदेश लाग्छ र तीमध्ये कुनचाहिँ सामु पक्षले साँच्चै प्रस्तुत गर्छ भन्ने टुंगो लाग्छ।

प्रमाणपत्रको छेउमा कुञ्जी राख्ने बन्डलहरू

.p12 वा .pfx फाइलले निजी कुञ्जी बोक्न सक्छ, र आउटपुटको त्यो भाग दबाउनुभएन भने पार्सिङ आदेशले त्यो छाप्छ। -nokeys सहित त्यही आदेशले कुनै पनि कुञ्जी सामग्री ननिकाली, ढाकिएको कुञ्जी-ब्याग सहित कन्टेनरको संरचना अझै जनाउँछ; त्यो झन्डा हटाउनुभयो भने तपाईंको टर्मिनल र shell इतिहासमा कुञ्जी ब्लक देखिन्छ।

openssl pkcs12 -in bundle.p12 -nokeys -info -passin env:P12PASS

OpenVPN प्रोफाइलले त्यही सामग्री पाठका रूपमा भित्र राख्छ, त्यसैले कहाँ हेर्ने भन्ने थाहा भए सीमा देखिन्छ। सार्वजनिक सामग्री BEGIN CERTIFICATE र END CERTIFICATE बीच हुन्छ, जबकि BEGIN PRIVATE KEY र त्यससँग मिल्ने END लाइनबीचको जुनसुकै कुरा कुञ्जी हो र होस्ट छोड्नु हुँदैन। प्रोफाइल जस्ताको तस्तै प्रतिलिपि गर्दा दुवै प्रकाशित हुन्छन्।

सन्दर्भ मान अन्यत्रबाट लिने

तपाईंले प्रमाणित गर्न खोज्नुभएको जडानबाट पढिएको फिंगरप्रिन्टले केही प्रमाणित गर्दैन, किनभने तपाईंले विश्वास नगर्ने पक्षले त्यो दिएको हो। यो फिंगरप्रिन्टविरुद्धको तर्क होइन; यो उत्पत्तिको तर्क हो। मानलाई सामु पक्षले लेख्न नसक्ने माध्यमबाट प्राप्त मानसँग तुलना गर्नुहोस्, जस्तै आन्तरिक भण्डारमा प्रकाशित प्रमाणपत्र वा हस्ताक्षरित परिवर्तन अभिलेखमा छापिएको ह्यास।

जहाँ ट्रस्ट स्टोरले प्रमाणीकरण गर्छ, त्यसलाई गर्न दिनुहोस्, र आफ्नै तुलनाले प्रतिस्थापन गर्नुको सट्टा त्यसले उत्पन्न गर्ने त्रुटि पढ्नुहोस्। महत्त्वपूर्ण भिन्नता भनेको सन्दर्भ कसले दियो भन्ने हो, कुन ह्यास फंक्शन प्रयोग भयो भन्ने होइन।

नतिजा साझा गर्ने, र गल्ती भएपछि के गर्ने

ठ्याक्कै प्रमाणीकरण त्रुटि, सम्बन्धित मिति र प्राप्तकर्तालाई आवश्यक पर्ने पहिचान विवरण मात्र पठाउनुहोस्। आन्तरिक होस्टनाम र खाता पहिचानकर्ता कुञ्जी नभए पनि संवेदनशील रहन्छन्, र सार्वजनिक पेस्ट सेवा यीमध्ये कुनैका लागि पनि उपयुक्त गन्तव्य होइन। टिकटमा टाँस्नुहोस्, अरू कसैले साझा गर्ने अस्थायी बफरमा होइन।

यदि कुञ्जी सामग्री साँच्चै स्क्रिन वा फाइलमा देखियो भने, त्यसलाई सम्झौता भएको मान्नुहोस् र कसैले देखेन भन्ने आशा गर्नुको सट्टा घुमाउनुहोस्। त्यसपछि निरीक्षण गरिएको फाइल, प्रयोग गरिएको आदेश र आउटपुट कहाँ गयो लेख्नुहोस्, किनभने त्यही अभिलेखले डरलाई प्रक्रियामा बदल्छ। कसैले स्क्रिनसट राखेन भन्ने अनुमानको लागतको तुलनामा घुमाउनु सस्तो छ, र त्यही अभिलेखले अर्को इन्जिनियरलाई कुन फाइलमा बिल्कुलै हात लाग्यो भन्ने बताउँछ। टिकट बन्द हुनुअघि दुवै गर्नुहोस्।