ਉਹੀ ca.crt ਫਾਈਲ ਨਾਮ, ਵੱਖਰਾ ਸਰਟੀਫਿਕੇਟ: ਕੀ ਤੁਲਨਾ ਕਰੀਏ

ਦੋਵੇਂ ਪ੍ਰੋਫਾਈਲ ca.crt ਨਾਮ ਦੀ ਫਾਈਲ ਲਿਆਉਂਦੇ ਹਨ, ਇੱਕ ਟਨਲ ਉੱਪਰ ਆਉਂਦੀ ਹੈ ਅਤੇ ਦੂਜੀ ਚੇਨ ਗਲਤੀ ਨਾਲ ਫੇਲ੍ਹ ਹੁੰਦੀ ਹੈ। ਦੋਵੇਂ ਫਾਈਲਾਂ ਨੂੰ ਨਾਲ-ਨਾਲ ਖੋਲ੍ਹਣਾ ਇਸਨੂੰ ਘੱਟ ਹੀ ਸੁਲਝਾਉਂਦਾ ਹੈ, ਅਤੇ ਤਸਦੀਕ ਬੰਦ ਕਰਨਾ ਇਸਨੂੰ ਗਲਤ ਦਿਸ਼ਾ ਵਿੱਚ ਸੁਲਝਾਉਂਦਾ ਹੈ। ਗਲਤੀ ਅਸਲ ਵਿੱਚ ਜੋ ਸਵਾਲ ਪੁੱਛਦੀ ਹੈ ਉਹ ਵਧੇਰੇ ਤੰਗ ਹੈ: ਹਰ ਪ੍ਰਕਿਰਿਆ ਕਿਹੜਾ ਸਰਟੀਫਿਕੇਟ ਆਪਣੇ ਭਰੋਸਾ ਐਂਕਰ ਵਜੋਂ ਲੋਡ ਕਰਦੀ ਹੈ, ਅਤੇ ਕੀ ਦੋਵੇਂ ਇੱਕੋ ਵਸਤੂ ਹਨ? ਪਹਿਲਾਂ ਇਸ ਦਾ ਜਵਾਬ ਦਿਓ ਅਤੇ ਬਾਕੀ ਨਿਦਾਨ ਨੂੰ ਦਿਸ਼ਾ ਮਿਲੇਗੀ। ਫਾਈਲ ਨਾਮ ਪੈਕੇਜਿੰਗ ਲੇਬਲ ਹੈ, ਅਤੇ ਪ੍ਰੋਫਾਈਲ ਵਿੱਚ ਲਿਖਿਆ ਰਾਹ ਵੀ ਅਧਿਕਾਰਤ ਨਹੀਂ ਹੈ, ਇਸ ਲਈ ਸਭ ਕੁਝ ਇਸ ਗੱਲ 'ਤੇ ਨਿਰਭਰ ਕਰਦਾ ਹੈ ਕਿ ਪ੍ਰਕਿਰਿਆ ਅਸਲ ਵਿੱਚ ਕੀ ਪੜ੍ਹਦੀ ਹੈ।

ਕਲਾਇੰਟ ਅਸਲ ਵਿੱਚ ਜੋ ਸਰਟੀਫਿਕੇਟ ਲੋਡ ਕਰਦਾ ਹੈ ਉਹ ਲੱਭੋ

OpenVPN ਅਧਿਕਾਰ ਨੂੰ ਦੋ ਰੂਪਾਂ ਵਿੱਚ ਸਵੀਕਾਰ ਕਰਦਾ ਹੈ, ਅਤੇ ਰੂਪ ਤੈਅ ਕਰਦਾ ਹੈ ਕਿ ਕਿਹੜੇ ਬਾਈਟ ਮਹੱਤਵਪੂਰਨ ਹਨ। ਪ੍ਰੋਫਾਈਲ ca ਨਾਲ ਬਾਹਰੀ ਫਾਈਲ ਵੱਲ ਇਸ਼ਾਰਾ ਕਰ ਸਕਦਾ ਹੈ, ਜਾਂ ਸਰਟੀਫਿਕੇਟ ਨੂੰ ਪ੍ਰੋਫਾਈਲ ਦੇ ਅੰਦਰ ਹੀ <ca> ਬਲਾਕ ਵਿੱਚ ਏਮਬੈਡ ਕਰ ਸਕਦਾ ਹੈ। ਜਦੋਂ ਦੋਵੇਂ ਹੋਣ, ਏਮਬੈਡ ਕੀਤਾ ਬਲਾਕ ਜਿੱਤਦਾ ਹੈ ਅਤੇ ਪ੍ਰੋਫਾਈਲ ਦੇ ਕੋਲ ਵਾਲੀ ਫਾਈਲ ਕਦੇ ਨਹੀਂ ਖੁੱਲ੍ਹਦੀ।

ਫੇਲ੍ਹ ਹੋ ਰਹੀ ਪ੍ਰੋਫਾਈਲ ਪੜ੍ਹੋ ਅਤੇ ਕੁਝ ਵੀ ਤੁਲਨਾ ਕਰਨ ਤੋਂ ਪਹਿਲਾਂ ਪਤਾ ਕਰੋ ਕਿ ਇਹ ਕਿਹੜਾ ਰੂਪ ਵਰਤਦੀ ਹੈ। ਗੁਆਂਢੀ ਡਾਇਰੈਕਟਰੀ ਤੋਂ ਜਾਂ ਦੂਜੀ ਪ੍ਰੋਫਾਈਲ ਜਿਸ ਪੈਕੇਜ ਤੋਂ ਆਈ ਉਸ ਤੋਂ ਲਈ ਕਾਪੀ ਤੁਹਾਨੂੰ ਇਸ ਬਾਰੇ ਕੁਝ ਨਹੀਂ ਦੱਸਦੀ ਕਿ ਇਹ ਪ੍ਰਕਿਰਿਆ ਕਿਸ 'ਤੇ ਭਰੋਸਾ ਕਰਦੀ ਹੈ। ਇਹੀ ਕਨਫਿਗਰੇਸ਼ਨ ਦੇ ਰਾਹ 'ਤੇ ਵੀ ਲਾਗੂ ਹੈ: ਇਹ ਉਸ ਥਾਂ ਦੇ ਸਾਪੇਖ ਸੁਲਝਦਾ ਹੈ ਜਿੱਥੇ ਕਲਾਇੰਟ ਸ਼ੁਰੂ ਹੋਇਆ ਸੀ, ਜੋ ਹਮੇਸ਼ਾ ਤੁਹਾਡੇ ਦੇਖ ਰਹੇ ਡਾਇਰੈਕਟਰੀ ਨਹੀਂ ਹੁੰਦਾ। ਪ੍ਰੋਫਾਈਲ ਪੜ੍ਹੋ, ਫੋਲਡਰ ਨਹੀਂ।

ਸਰਟੀਫਿਕੇਟ ਆਪਣੀ ਸਮੱਗਰੀ ਨਾਲ ਪਛਾਣੇ ਜਾਂਦੇ ਹਨ: ਜਨਤਕ ਕੁੰਜੀ, ਵਿਸ਼ਾ ਅਤੇ ਜਾਰੀਕਰਤਾ, ਵੈਧਤਾ ਦੀ ਮਿਆਦ ਅਤੇ ਇਨ੍ਹਾਂ ਸਭ 'ਤੇ ਦਸਤਖਤ। ਇੱਕੋ ਜਿਹੇ ਬਾਈਟ ਵਾਲੀਆਂ ਦੋ ਫਾਈਲਾਂ ਭਾਵੇਂ ਕੋਈ ਵੀ ਨਾਮ ਹੋਵੇ ਇੱਕੋ ਸਰਟੀਫਿਕੇਟ ਹੁੰਦੀਆਂ ਹਨ, ਅਤੇ ਇੱਕੋ ਨਾਮ ਵਾਲੀਆਂ ਦੋ ਫਾਈਲਾਂ ਗੈਰ-ਸੰਬੰਧਿਤ ਅਧਿਕਾਰ ਹੋ ਸਕਦੀਆਂ ਹਨ। ਨਾਮ ਪੈਕੇਜਿੰਗ ਲੇਬਲ ਹੈ, ਪਛਾਣ ਨਹੀਂ।

openssl ਨਾਲ ਦੋਵੇਂ ਕਾਪੀਆਂ ਦੀ ਫਿੰਗਰਪ੍ਰਿੰਟ ਲਓ

ਫਿੰਗਰਪ੍ਰਿੰਟ ਸਰਟੀਫਿਕੇਟ ਦੀ DER ਐਨਕੋਡਿੰਗ 'ਤੇ ਹੈਸ਼ ਹੈ, ਜੋ ਰੂਪ ਦਸਤਖਤ ਕਵਰ ਕਰਦੇ ਹਨ, ਇਸ ਲਈ ਲਾਈਨ ਅੰਤ ਅਤੇ ਹੈਡਰ ਟੈਕਸਟ ਇਸ 'ਤੇ ਅਸਰ ਨਹੀਂ ਪਾ ਸਕਦੇ। ਹਰ ਫਾਈਲ ਲਈ ਇਸ ਦੀ ਗਣਨਾ ਕਰੋ ਅਤੇ ਤੁਹਾਡੇ ਕੋਲ ਕੋਲਨ ਨਾਲ ਵੱਖ ਕੀਤੀਆਂ ਦੋ ਹੈਕਸ ਸਟ੍ਰਿੰਗਾਂ ਹੋਣਗੀਆਂ ਜੋ ਜਾਂ ਤਾਂ ਮਿਲਦੀਆਂ ਹਨ ਜਾਂ ਨਹੀਂ। ਤੁਲਨਾ ਦੇ ਸਵਾਲ ਦਾ ਜਵਾਬ ਦੇਣ ਲਈ ਸਰਟੀਫਿਕੇਟ ਵਿੱਚ ਹੋਰ ਕੁਝ ਪੜ੍ਹਨ ਦੀ ਲੋੜ ਨਹੀਂ।

openssl x509 -in /etc/openvpn/office/ca.crt -noout -fingerprint -sha256
openssl x509 -in ~/profiles/lab-ca.pem -noout -fingerprint -sha256

openssl ਨੂੰ ਪ੍ਰੋਫਾਈਲ ਵੱਲ ਹੀ ਇਸ਼ਾਰਾ ਕਰਨਾ ਲਾਲਚੀ ਹੈ, ਪਰ ਇਹ ਫਾਈਲ ਵਿੱਚ ਪਹਿਲਾਂ ਆਉਣ ਵਾਲਾ ਸਰਟੀਫਿਕੇਟ ਬਲਾਕ ਪੜ੍ਹਦਾ ਹੈ, ਅਤੇ ਪ੍ਰੋਫਾਈਲ ਆਮ ਤੌਰ 'ਤੇ <ca> ਤੋਂ ਪਹਿਲਾਂ <cert> ਰੱਖਦੀ ਹੈ। ਅਧਿਕਾਰ ਦਾ ਬਲਾਕ ਕੱਢੋ, ਫਿਰ ਕੱਢੀ ਗਈ ਫਾਈਲ ਦੀ ਫਿੰਗਰਪ੍ਰਿੰਟ ਲਓ, ਕਿਉਂਕਿ ਇਹੀ ਉਹ ਕਾਪੀ ਹੈ ਜੋ ਕਲਾਇੰਟ ਅਸਲ ਵਿੱਚ ਵਰਤੇਗਾ।

sed -n '/^<ca>$/,/^<\/ca>$/p' office.ovpn | sed '1d;$d' > /tmp/office-ca.pem
openssl x509 -in /tmp/office-ca.pem -noout -fingerprint -sha256

ਇੱਕੋ ਜਿਹੀਆਂ ਫਿੰਗਰਪ੍ਰਿੰਟ ਦਾ ਮਤਲਬ ਹੈ ਕਿ ਭਰੋਸਾ ਸਮੱਗਰੀ ਇੱਕੋ ਹੈ ਅਤੇ ਚੇਨ ਗਲਤੀ ਦਾ ਕੋਈ ਹੋਰ ਕਾਰਨ ਹੈ, ਜੋ ਵੱਖਰੀ ਜਾਂਚ ਹੈ। ਵੱਖਰੀਆਂ ਫਿੰਗਰਪ੍ਰਿੰਟ ਦਾ ਮਤਲਬ ਹੈ ਵੱਖਰੇ ਸਰਟੀਫਿਕੇਟ, ਅਤੇ ਅਗਲਾ ਭਾਗ ਉੱਥੋਂ ਹੀ ਸ਼ੁਰੂ ਹੁੰਦਾ ਹੈ।

ਹਮਲਾ ਮੰਨਣ ਤੋਂ ਪਹਿਲਾਂ ਬੇਮੇਲ ਪੜ੍ਹੋ

ਵੱਖਰੀਆਂ ਫਿੰਗਰਪ੍ਰਿੰਟ ਦਾ ਮਤਲਬ ਹੈ ਵੱਖਰੇ ਸਰਟੀਫਿਕੇਟ ਅਤੇ ਇਸ ਤੋਂ ਵੱਧ ਕੁਝ ਨਹੀਂ। ਮੁੜ ਜਾਰੀ ਕਰਨਾ, ਰੋਟੇਸ਼ਨ, ਨਾਮ ਬਦਲਿਆ ਅਧਿਕਾਰ ਜਾਂ ਪੁਰਾਣਾ ਬੰਡਲ ਸਾਰੇ ਪੂਰੀ ਤਰ੍ਹਾਂ ਜਾਇਜ਼ ਇਤਿਹਾਸ ਵਾਲੀਆਂ ਵੱਖਰੀਆਂ ਫਾਈਲਾਂ ਬਣਾਉਂਦੇ ਹਨ। ਕਿਹੜਾ ਤੈਨਾਤੀ ਦਾ ਹੈ ਇਹ ਆਪਰੇਟਰ ਜਾਂ ਤੈਨਾਤੀ ਰਿਕਾਰਡ ਲਈ ਸਵਾਲ ਹੈ, ਫਾਈਲ ਦੇ ਬਦਲਾਅ ਦੇ ਸਮੇਂ ਲਈ ਨਹੀਂ। ਆਰਕਾਈਵ ਟਾਈਮਸਟੈਂਪ ਕਾਪੀ ਕਰਦੇ ਹਨ, ਇਸ ਲਈ ਨਵੀਂ ਫਾਈਲ ਆਪਣੇ ਆਪ ਸਹੀ ਐਂਕਰ ਨਹੀਂ ਹੁੰਦੀ।

ਆਪਣੇ ਆਪ 'ਤੇ ਦਸਤਖਤ ਕਰਨ ਵਾਲੀ ਰੂਟ ਆਮ ਹੈ, ਇਸ ਲਈ ਇੱਕ ਲੱਭਣਾ ਸਮੱਸਿਆ ਦਾ ਸਬੂਤ ਨਹੀਂ ਹੈ। ਜਾਂਚਕਰਤਾ ਦਾ ਕੰਮ ਸਰਵਰ ਸਰਟੀਫਿਕੇਟ ਤੋਂ ਉਸ ਨੂੰ ਦਿੱਤੇ ਐਂਕਰ ਤੱਕ ਰਾਹ ਬਣਾਉਣਾ ਹੈ, ਅਤੇ ਚੇਨ ਗਲਤੀ ਦਾ ਮਤਲਬ ਆਮ ਤੌਰ 'ਤੇ ਇਹ ਹੈ ਕਿ ਉਹ ਰਾਹ ਪੂਰਾ ਨਹੀਂ ਹੋ ਸਕਿਆ।

ਜਾਂਚੋ ਕਿ ਫੇਲ੍ਹ ਪ੍ਰੋਫਾਈਲ ਦਾ ਐਂਕਰ ਉਹ ਅਧਿਕਾਰ ਹੈ ਜਿਸ ਤੋਂ ਤੈਨਾਤੀ ਹਾਲੇ ਵੀ ਜਾਰੀ ਕਰਦੀ ਹੈ। ਜੇ ਫਿੰਗਰਪ੍ਰਿੰਟ ਤੈਨਾਤੀ ਰਿਕਾਰਡ ਵਿੱਚ ਕਿਸੇ ਨਾਲ ਨਹੀਂ ਮਿਲਦੀ, ਤਾਂ ਪ੍ਰੋਫਾਈਲ ਸਿਰਫ਼ ਪੁਰਾਣੀ ਹੈ, ਅਤੇ ਕਲਾਇੰਟ ਪਾਸੇ ਦੀ ਕੋਈ ਟਿਊਨਿੰਗ ਇਸਨੂੰ ਠੀਕ ਨਹੀਂ ਕਰੇਗੀ।

ਤਸਦੀਕ ਬੰਦ ਕੀਤੇ ਬਿਨਾਂ ਭਰੋਸਾ ਠੀਕ ਕਰੋ

ਥੋੜ੍ਹੇ ਸਮੇਂ ਦਾ ਹੱਲ ਤਸਦੀਕ ਬੰਦ ਕਰਨਾ ਜਾਂ ਚੇਨ ਦੇ ਹਰ ਸਰਟੀਫਿਕੇਟ ਨੂੰ ਐਂਕਰ ਵਜੋਂ ਜੋੜਨਾ ਹੈ। ਦੋਵੇਂ ਸੁਨੇਹਾ ਗਾਇਬ ਕਰ ਦਿੰਦੇ ਹਨ, ਅਤੇ ਦੋਵੇਂ ਬਦਲ ਦਿੰਦੇ ਹਨ ਕਿ ਕਲਾਇੰਟ ਹੁਣ ਤੋਂ ਕਿਹੜੇ ਸਰਵਰ ਸਵੀਕਾਰ ਕਰੇਗਾ। ਤਸਦੀਕ ਦੁਬਾਰਾ ਚਾਲੂ ਕਰੋ, ਲੋੜੀਂਦਾ ਐਂਕਰ ਸਥਾਪਿਤ ਕਰੋ ਅਤੇ ਦੁਬਾਰਾ ਪਰਖੋ।

ਜੇ ਚੇਨ ਹੁਣ ਬਣਦੀ ਹੈ ਪਰ ਵੱਖਰੀ ਗਲਤੀ ਦਿਸਦੀ ਹੈ, ਤਾਂ ਇਹ ਤਰੱਕੀ ਹੈ: ਨਾਮ ਤਸਦੀਕ, ਵੈਧਤਾ ਤਾਰੀਖਾਂ ਅਤੇ ਰੱਦ ਕਰਨਾ ਵੱਖਰੇ ਸੁਨੇਹਿਆਂ ਵਾਲੀਆਂ ਵੱਖਰੀਆਂ ਜਾਂਚਾਂ ਹਨ। ਫਿੰਗਰਪ੍ਰਿੰਟ ਜੋੜੀ ਅਤੇ ਮੂਲ ਗਲਤੀ ਟੈਕਸਟ ਨੂੰ ਟਿਕਟ ਵਿੱਚ ਇਕੱਠੇ ਰੱਖੋ, ਤਾਂ ਜੋ ਅਗਲਾ ਵਿਅਕਤੀ ਦੇਖ ਸਕੇ ਕਿ ਕਿਹੜਾ ਐਂਕਰ ਲੋਡ ਹੋਇਆ ਅਤੇ ਕਿਸ ਦੀ ਉਮੀਦ ਸੀ। ਫਿੰਗਰਪ੍ਰਿੰਟ ਦੀ ਜੋੜੀ ਹੈਂਡਓਵਰ ਨੋਟ ਵਿੱਚ ਚਿਪਕਾਉਣ ਜਿੰਨੀ ਛੋਟੀ ਹੈ, ਅਤੇ ਅਗਲੀ ਘਟਨਾ ਤਦ ਦੁਪਹਿਰ ਦੀ ਥਾਂ ਪੰਜ ਮਿੰਟ ਲੈਂਦੀ ਹੈ।

ਸਹੀ ਅਧਿਕਾਰ ਉਸੇ ਪ੍ਰਮਾਣਿਤ ਚੈਨਲ ਰਾਹੀਂ ਲਓ ਜਿਸ ਨੇ ਪ੍ਰੋਫਾਈਲ ਦਿੱਤੀ। ਸਰਵਰ ਤੋਂ ਸਰਟੀਫਿਕੇਟ ਖਿੱਚਣਾ ਕਿਉਂਕਿ ਇਸ ਦਾ ਵਿਸ਼ਾ ਜਾਣਿਆ-ਪਛਾਣਿਆ ਲੱਗਦਾ ਹੈ ਇੱਕ ਵੱਖਰਾ ਕੰਮ ਹੈ, ਅਤੇ ਇਹ ਚੁੱਪਚਾਪ ਵਧਾ ਦਿੰਦਾ ਹੈ ਕਿ ਕਲਾਇੰਟ ਕਿਸ 'ਤੇ ਭਰੋਸਾ ਕਰੇਗਾ।