VPN ਸਰਟੀਫਿਕੇਟ ਨੂੰ ਕੁੰਜੀ ਦਿਖਾਏ ਬਿਨਾਂ ਜਾਂਚਣਾ

ਸਰਟੀਫਿਕੇਟ ਦੇ ਜਨਤਕ ਖੇਤਰ ਪੜ੍ਹਨ ਲਈ ਉਸ ਨਾਲ ਮਿਲਦੀ ਨਿੱਜੀ ਕੁੰਜੀ ਦਿਖਾਉਣ ਦੀ ਕਦੇ ਲੋੜ ਨਹੀਂ ਪੈਂਦੀ, ਅਤੇ ਇਸ ਲਈ ਲੋੜੀਂਦੇ ਸਾਧਨ ਹਰ ਉਸ ਸਿਸਟਮ ਵਿੱਚ ਆਉਂਦੇ ਹਨ ਜੋ VPN ਕਨੈਕਸ਼ਨ ਖ਼ਤਮ ਕਰਦਾ ਹੈ। ਖ਼ਤਰਾ ਇੱਕ ਕਦਮ ਪਹਿਲਾਂ ਹੈ: ਜੋ ਫਾਈਲ ਤੁਹਾਨੂੰ ਦਿੱਤੀ ਗਈ ਹੈ, ਉਹ ਸ਼ਾਇਦ ਸਰਟੀਫਿਕੇਟ ਹੀ ਨਾ ਹੋਵੇ। PEM ਸਰਟੀਫਿਕੇਟ, DER ਬਲੌਬ, PKCS#12 ਬੰਡਲ ਅਤੇ OpenVPN ਪ੍ਰੋਫਾਈਲ ਇੱਕੋ ਨਾਮ ਨਾਲ ਆ ਸਕਦੇ ਹਨ ਅਤੇ ਬਹੁਤ ਵੱਖਰੀ ਸਮੱਗਰੀ ਰੱਖ ਸਕਦੇ ਹਨ, ਇਸ ਲਈ ਕਮਾਂਡ ਚੁਣਨ ਤੋਂ ਪਹਿਲਾਂ ਕੰਟੇਨਰ ਦੀ ਪਛਾਣ ਕਰੋ।

ਤਿੰਨ ਤੱਥ ਤੈਅ ਕਰਦੇ ਹਨ ਕਿ ਕਿਹੜਾ ਕਮਾਂਡ ਸੁਰੱਖਿਅਤ ਹੈ: ਫਾਈਲ ਵਿੱਚ ਕੀ ਹੈ, ਤੁਹਾਨੂੰ ਉਸ ਵਿੱਚੋਂ ਕੀ ਪੜ੍ਹਨਾ ਹੈ, ਅਤੇ ਨਤੀਜਾ ਕਿਸ ਨੂੰ ਦਿਸੇਗਾ। ਇਹਨਾਂ ਵਿੱਚੋਂ ਕੋਈ ਇੱਕ ਵੀ ਗ਼ਲਤ ਹੋਵੇ ਤਾਂ ਜਾਂਚ ਆਪ ਹੀ ਘਟਨਾ ਬਣ ਜਾਂਦੀ ਹੈ।

ਤੁਹਾਨੂੰ ਤਿੰਨਾਂ ਵਿੱਚੋਂ ਕਿਹੜੀ ਫਾਈਲ ਮਿਲੀ

PEM ਸਰਟੀਫਿਕੇਟ ਟੈਕਸਟ ਹੈ ਜਿਸ ਵਿੱਚ BEGIN ਅਤੇ END ਦੇ ਨਿਸ਼ਾਨ ਦਿਸਦੇ ਹਨ, DER ਫਾਈਲ ਬਾਈਨਰੀ ਹੈ ਜਿਸ ਲਈ ਇਨਪੁਟ ਫਾਰਮੈਟ ਫਲੈਗ ਲੋੜੀਂਦਾ ਹੈ, ਅਤੇ ਬੰਡਲ ਇੱਕ ਕੰਟੇਨਰ ਹੈ ਜਿਸ ਵਿੱਚ ਸਰਟੀਫਿਕੇਟ ਦੇ ਨਾਲ ਕੁੰਜੀ ਵੀ ਹੋ ਸਕਦੀ ਹੈ। file server.crt ਇੱਕ ਸਕਿੰਟ ਵਿੱਚ ਟੈਕਸਟ ਨੂੰ ਬਾਈਨਰੀ ਤੋਂ ਵੱਖ ਕਰਦਾ ਹੈ, ਅਤੇ ਪਹਿਲੀ ਲਾਈਨ 'ਤੇ ਇੱਕ ਨਜ਼ਰ ਸਾਧਾਰਨ ਸਰਟੀਫਿਕੇਟ ਨੂੰ ਉਸ ਪ੍ਰੋਫਾਈਲ ਤੋਂ ਵੱਖ ਕਰਦੀ ਹੈ ਜਿਸ ਵਿੱਚ ਇਹ ਸ਼ਾਮਲ ਹੈ। ਇੱਥੇ ਅੰਦਾਜ਼ਾ ਲਗਾਉਣਾ ਹੀ ਜਾਂਚ ਨੂੰ ਘਟਨਾ ਬਣਾ ਦਿੰਦਾ ਹੈ।

ਜੇ ਫਾਈਲ ਸਰਟੀਫਿਕੇਟ ਨਹੀਂ ਸਗੋਂ ਪ੍ਰੋਫਾਈਲ ਹੈ, ਤਾਂ ਉਲਟਾ ਸਾਬਤ ਹੋਣ ਤੱਕ ਇਸਨੂੰ ਪ੍ਰਮਾਣ-ਪੱਤਰ ਮੰਨੋ। ਇਹ ਧਾਰਨਾ ਕੁਝ ਵੀ ਨਹੀਂ ਗੁਆਂਦੀ ਅਤੇ ਇਸ ਪੂਰੇ ਕੰਮ ਵਿੱਚ ਸਭ ਤੋਂ ਆਮ ਗ਼ਲਤੀ ਰੋਕਦੀ ਹੈ।

PEM ਸਰਟੀਫਿਕੇਟ ਦੇ ਜਨਤਕ ਖੇਤਰ ਪੜ੍ਹਨਾ

ਜਿਸ ਸਰਟੀਫਿਕੇਟ ਦੀ ਜਾਂਚ ਦੀ ਤੁਹਾਨੂੰ ਇਜਾਜ਼ਤ ਹੈ, ਉਸ ਲਈ -noout ਵਾਲਾ x509 ਸਬ-ਕਮਾਂਡ ਸਿਰਫ਼ ਚੁਣੇ ਹੋਏ ਖੇਤਰ ਛਾਪਦਾ ਹੈ, ਹੋਰ ਕੁਝ ਨਹੀਂ। ਮੁੱਖ ਭਾਗ ਨੂੰ ਦਬਾਉਣ ਨਾਲ ਨਤੀਜਾ ਸਿਰਫ਼ ਮੈਟਾਡੇਟਾ ਰਹਿੰਦਾ ਹੈ, ਅਤੇ ਇਹੀ ਕਾਰਨ ਹੈ ਕਿ ਇਸਨੂੰ ਟਿਕਟ ਵਿੱਚ ਚਿਪਕਾਉਣਾ ਸੁਰੱਖਿਅਤ ਹੈ। ਹੇਠਾਂ ਦਿੱਤੇ ਚੋਣਕਾਰ ਜਨਤਕ ਹਨ, ਅਤੇ openssl x509 ਦਸਤਾਵੇਜ਼ ਬਾਕੀ ਦੀ ਸੂਚੀ ਦਿੰਦਾ ਹੈ।

openssl x509 -in server.crt -noout -subject -issuer -dates -fingerprint -sha256

ਲੋਕਲ ਤੌਰ 'ਤੇ ਬਣਾਏ ਟੈਸਟ ਸਰਟੀਫਿਕੇਟ 'ਤੇ ਇਹ ਕਮਾਂਡ subject ਅਤੇ issuer ਦੀ ਲਾਈਨ, notBefore ਅਤੇ notAfter ਦੀ ਜੋੜੀ, ਅਤੇ ਇੱਕ SHA-256 ਫਿੰਗਰਪ੍ਰਿੰਟ ਛਾਪਦੀ ਹੈ। ਇਹ ਖੇਤਰ ਵਸਤੂ ਦੀ ਪਛਾਣ ਕਰਦੇ ਹਨ; ਇਹ ਕੋਈ ਵੈਧ ਭਰੋਸਾ-ਮਾਰਗ ਨਹੀਂ ਬਣਾਉਂਦੇ, ਜੋ ਆਪਣੀ ਕਮਾਂਡ ਅਤੇ ਆਪਣੇ ਜਵਾਬ ਵਾਲਾ ਵੱਖਰਾ ਪੜਤਾਲ ਕੰਮ ਹੈ। ਚੇਨ ਫਾਈਲ ਸਿਰਫ਼ ਪਹਿਲਾ ਸਰਟੀਫਿਕੇਟ ਵੀ ਛਾਪ ਸਕਦੀ ਹੈ, ਜਦ ਤੱਕ ਤੁਸੀਂ ਖ਼ੁਦ ਪੂਰੀ ਫਾਈਲ ਵਿੱਚੋਂ ਨਾ ਲੰਘੋ। ਇਸ ਤਰ੍ਹਾਂ ਦੋ ਫਾਈਲਾਂ ਦੀ ਤੁਲਨਾ ਇੱਕ ਕਮਾਂਡ ਦਾ ਖ਼ਰਚਾ ਹੈ ਅਤੇ ਤੈਅ ਕਰਦੀ ਹੈ ਕਿ ਦੂਜਾ ਧਿਰ ਅਸਲ ਵਿੱਚ ਕਿਹੜੀ ਪੇਸ਼ ਕਰਦੀ ਹੈ।

ਸਰਟੀਫਿਕੇਟ ਦੇ ਨਾਲ ਕੁੰਜੀ ਰੱਖਣ ਵਾਲੇ ਬੰਡਲ

.p12 ਜਾਂ .pfx ਫਾਈਲ ਵਿੱਚ ਨਿੱਜੀ ਕੁੰਜੀ ਹੋ ਸਕਦੀ ਹੈ, ਅਤੇ ਪਾਰਸ ਕਰਨ ਵਾਲਾ ਕਮਾਂਡ ਉਸਨੂੰ ਛਾਪ ਦਿੰਦਾ ਹੈ ਜਦ ਤੱਕ ਤੁਸੀਂ ਨਤੀਜੇ ਦਾ ਉਹ ਹਿੱਸਾ ਨਾ ਦਬਾਓ। -nokeys ਨਾਲ ਉਹੀ ਕਮਾਂਡ ਕੁੰਜੀ ਦੀ ਸਮੱਗਰੀ ਬਿਨਾਂ ਛਾਪੇ ਕੰਟੇਨਰ ਦੀ ਬਣਾਵਟ ਦੱਸਦੀ ਰਹਿੰਦੀ ਹੈ, ਜਿਸ ਵਿੱਚ ਢਕਿਆ ਹੋਇਆ ਕੁੰਜੀ-ਬੈਗ ਵੀ ਸ਼ਾਮਲ ਹੈ; ਇਹ ਫਲੈਗ ਹਟਾਓ ਤਾਂ ਟਰਮੀਨਲ ਅਤੇ ਸ਼ੈੱਲ ਇਤਿਹਾਸ ਵਿੱਚ ਕੁੰਜੀ ਦਾ ਬਲਾਕ ਦਿਸਣ ਲੱਗਦਾ ਹੈ।

openssl pkcs12 -in bundle.p12 -nokeys -info -passin env:P12PASS

OpenVPN ਪ੍ਰੋਫਾਈਲ ਉਹੀ ਸਮੱਗਰੀ ਟੈਕਸਟ ਵਜੋਂ ਰੱਖਦਾ ਹੈ, ਇਸ ਲਈ ਜੇ ਤੁਸੀਂ ਜਾਣਦੇ ਹੋ ਕਿ ਕਿੱਥੇ ਵੇਖਣਾ ਹੈ ਤਾਂ ਹੱਦ ਦਿਸਦੀ ਹੈ। ਜਨਤਕ ਸਮੱਗਰੀ BEGIN CERTIFICATE ਅਤੇ END CERTIFICATE ਵਿਚਕਾਰ ਹੁੰਦੀ ਹੈ, ਜਦ ਕਿ BEGIN PRIVATE KEY ਅਤੇ ਉਸ ਨਾਲ ਮਿਲਦੀ END ਲਾਈਨ ਵਿਚਕਾਰ ਹਰ ਚੀਜ਼ ਕੁੰਜੀ ਹੈ ਅਤੇ ਉਹ ਹੋਸਟ ਤੋਂ ਬਾਹਰ ਨਹੀਂ ਜਾਣੀ ਚਾਹੀਦੀ। ਪ੍ਰੋਫਾਈਲ ਨੂੰ ਪੂਰਾ ਕਾਪੀ ਕਰਨਾ ਦੋਵੇਂ ਪ੍ਰਕਾਸ਼ਿਤ ਕਰ ਦਿੰਦਾ ਹੈ।

ਹਵਾਲਾ ਮੁੱਲ ਕਿਤੇ ਹੋਰ ਤੋਂ ਲੈਣਾ

ਜਿਸ ਕਨੈਕਸ਼ਨ ਦੀ ਤੁਸੀਂ ਜਾਂਚ ਕਰ ਰਹੇ ਹੋ, ਉਸ ਤੋਂ ਪੜ੍ਹਿਆ ਫਿੰਗਰਪ੍ਰਿੰਟ ਕੁਝ ਸਾਬਤ ਨਹੀਂ ਕਰਦਾ, ਕਿਉਂਕਿ ਉਹ ਧਿਰ ਨੇ ਦਿੱਤਾ ਹੈ ਜਿਸ 'ਤੇ ਤੁਸੀਂ ਭਰੋਸਾ ਨਹੀਂ ਕਰਦੇ। ਇਹ ਫਿੰਗਰਪ੍ਰਿੰਟਾਂ ਖ਼ਿਲਾਫ਼ ਦਲੀਲ ਨਹੀਂ ਹੈ; ਇਹ ਮੂਲ ਸਰੋਤ ਬਾਰੇ ਦਲੀਲ ਹੈ। ਮੁੱਲ ਦੀ ਤੁਲਨਾ ਉਸ ਮੁੱਲ ਨਾਲ ਕਰੋ ਜੋ ਅਜਿਹੇ ਰਾਹ ਰਾਹੀਂ ਮਿਲਿਆ ਹੋਵੇ ਜਿਸ ਵਿੱਚ ਦੂਜੀ ਧਿਰ ਲਿਖ ਨਹੀਂ ਸਕਦੀ, ਜਿਵੇਂ ਅੰਦਰੂਨੀ ਰਿਪੋਜ਼ਟਰੀ ਵਿੱਚ ਪ੍ਰਕਾਸ਼ਿਤ ਸਰਟੀਫਿਕੇਟ ਜਾਂ ਦਸਤਖ਼ਤ ਕੀਤੇ ਤਬਦੀਲੀ ਰਿਕਾਰਡ ਵਿੱਚ ਛਾਪਿਆ ਹੈਸ਼।

ਜਿੱਥੇ ਭਰੋਸਾ-ਸਟੋਰ ਜਾਂਚ ਕਰਦਾ ਹੈ, ਉਸਨੂੰ ਕਰਨ ਦਿਓ ਅਤੇ ਉਸ ਵੱਲੋਂ ਦਿੱਤੀ ਗ਼ਲਤੀ ਪੜ੍ਹੋ, ਆਪਣੀ ਤੁਲਨਾ ਨਾਲ ਬਦਲਣ ਦੀ ਥਾਂ। ਮਹੱਤਵਪੂਰਨ ਗੱਲ ਇਹ ਹੈ ਕਿ ਹਵਾਲਾ ਕਿਸ ਨੇ ਦਿੱਤਾ, ਨਾ ਕਿ ਕਿਹੜਾ ਹੈਸ਼ ਫੰਕਸ਼ਨ ਵਰਤਿਆ ਗਿਆ।

ਨਤੀਜਾ ਸਾਂਝਾ ਕਰਨਾ, ਅਤੇ ਗ਼ਲਤੀ ਤੋਂ ਬਾਅਦ ਕੀ ਕਰਨਾ

ਜਾਂਚ ਦੀ ਸਹੀ ਗ਼ਲਤੀ, ਸੰਬੰਧਿਤ ਤਾਰੀਖਾਂ ਅਤੇ ਸਿਰਫ਼ ਉਹੀ ਪਛਾਣ ਵੇਰਵੇ ਭੇਜੋ ਜੋ ਪ੍ਰਾਪਤਕਰਤਾ ਨੂੰ ਲੋੜੀਂਦੇ ਹਨ। ਅੰਦਰੂਨੀ ਹੋਸਟਨਾਮ ਅਤੇ ਖਾਤਾ ਪਛਾਣਕਰਤਾ ਕੁੰਜੀ ਨਾ ਹੋਣ 'ਤੇ ਵੀ ਸੰਵੇਦਨਸ਼ੀਲ ਰਹਿੰਦੇ ਹਨ, ਅਤੇ ਜਨਤਕ ਪੇਸਟ ਸੇਵਾ ਇਹਨਾਂ ਵਿੱਚੋਂ ਕਿਸੇ ਲਈ ਵੀ ਗ਼ਲਤ ਮੰਜ਼ਿਲ ਹੈ। ਟਿਕਟ ਵਿੱਚ ਚਿਪਕਾਓ, ਕਿਸੇ ਹੋਰ ਦੇ ਸਾਂਝੇ ਸਕ੍ਰੈਚ ਬਫ਼ਰ ਵਿੱਚ ਨਹੀਂ।

ਜੇ ਕੁੰਜੀ ਦੀ ਸਮੱਗਰੀ ਸਕਰੀਨ 'ਤੇ ਜਾਂ ਫਾਈਲ ਵਿੱਚ ਆ ਹੀ ਗਈ, ਤਾਂ ਇਸਨੂੰ ਸਮਝੌਤਾ-ਸ਼ੁਦਾ ਮੰਨੋ ਅਤੇ ਇਹ ਆਸ ਰੱਖਣ ਦੀ ਥਾਂ ਕਿ ਕਿਸੇ ਨੇ ਨਹੀਂ ਵੇਖਿਆ, ਇਸਨੂੰ ਬਦਲੋ। ਫਿਰ ਲਿਖੋ ਕਿ ਕਿਹੜੀ ਫਾਈਲ ਜਾਂਚੀ ਗਈ, ਕਿਹੜਾ ਕਮਾਂਡ ਵਰਤਿਆ ਗਿਆ ਅਤੇ ਨਤੀਜਾ ਕਿੱਥੇ ਗਿਆ, ਕਿਉਂਕਿ ਇਹ ਰਿਕਾਰਡ ਹੀ ਡਰ ਨੂੰ ਪ੍ਰਕਿਰਿਆ ਵਿੱਚ ਬਦਲਦਾ ਹੈ। ਕੁੰਜੀ ਬਦਲਣਾ ਇਸ ਧਾਰਨਾ ਦੀ ਕੀਮਤ ਨਾਲੋਂ ਸਸਤਾ ਹੈ ਕਿ ਕਿਸੇ ਨੇ ਸਕਰੀਨਸ਼ਾਟ ਨਹੀਂ ਰੱਖਿਆ, ਅਤੇ ਉਹੀ ਰਿਕਾਰਡ ਅਗਲੇ ਇੰਜੀਨੀਅਰ ਨੂੰ ਦੱਸਦਾ ਹੈ ਕਿ ਕਿਹੜੀਆਂ ਫਾਈਲਾਂ ਨੂੰ ਛੋਹਿਆ ਗਿਆ। ਟਿਕਟ ਬੰਦ ਹੋਣ ਤੋਂ ਪਹਿਲਾਂ ਦੋਵੇਂ ਕਰੋ।