VPN ਸਰਟੀਫਿਕੇਟ ਦੀ ਫਿੰਗਰਪ੍ਰਿੰਟ ਨੂੰ ਵੱਖਰੇ ਚੈਨਲ ਰਾਹੀਂ ਕਿਵੇਂ ਜਾਂਚੀਏ

ਫਿੰਗਰਪ੍ਰਿੰਟ ਓਨੀ ਹੀ ਭਰੋਸੇਯੋਗ ਹੈ ਜਿੰਨਾ ਉਹ ਚੈਨਲ ਜਿਸਨੇ ਤੁਹਾਨੂੰ ਦੱਸਿਆ ਕਿ ਕੀ ਉਮੀਦ ਕਰਨੀ ਹੈ। ਜੇ ਤੁਸੀਂ ਜਿਸ ਮੁੱਲ ਨਾਲ ਤੁਲਨਾ ਕਰ ਰਹੇ ਹੋ ਉਹ ਉਸੇ ਕਨੈਕਸ਼ਨ ਰਾਹੀਂ ਆਇਆ ਹੈ ਜਿਸਦੀ ਤੁਸੀਂ ਜਾਂਚ ਕਰ ਰਹੇ ਹੋ, ਤਾਂ ਉਹ ਤੁਲਨਾ ਇਸ ਤੋਂ ਵੱਧ ਕੁਝ ਸਾਬਤ ਨਹੀਂ ਕਰਦੀ ਕਿ ਉਸ ਕਨੈਕਸ਼ਨ ਨੂੰ ਨਿਯੰਤਰਿਤ ਕਰਨ ਵਾਲਾ ਧਿਰ ਸਥਿਰ ਹੈ। ਜਾਂਚ ਇੱਕ ਨਿਸ਼ਚਿਤ ਕ੍ਰਮ ਵਿੱਚ ਚੱਲਣੀ ਚਾਹੀਦੀ ਹੈ, ਅਤੇ ਅਸਫਲ ਕਦਮ ਨੂੰ ਤੁਹਾਨੂੰ ਅਗਲੇ ਵੱਲ ਧੱਕਣ ਦੀ ਬਜਾਏ ਰੋਕਣਾ ਚਾਹੀਦਾ ਹੈ। ਜਦੋਂ VPN ਕਲਾਇੰਟ ਦੱਸਦਾ ਹੈ ਕਿ ਸਰਟੀਫਿਕੇਟ ਬਦਲ ਗਿਆ ਹੈ, ਤਦੋਂ ਮੈਂ ਇਹੀ ਕ੍ਰਮ ਵਰਤਦਾ ਹਾਂ।

ਮੁੱਲ ਦਾ ਨਾਮ ਲੈਣ ਤੋਂ ਪਹਿਲਾਂ ਵਸਤੂ ਦਾ ਨਾਮ ਲਵੋ

ਤੈਅ ਕਰੋ ਕਿ ਉਮੀਦ ਕੀਤਾ ਮੁੱਲ ਸਰਵਰ ਦੇ ਪੱਤਾ ਸਰਟੀਫਿਕੇਟ ਦਾ ਹੈ, ਜਾਰੀ ਕਰਨ ਵਾਲੇ CA ਦਾ ਹੈ, ਜਾਂ ਪੱਤੇ ਦੇ ਅੰਦਰਲੀ ਜਨਤਕ ਕੁੰਜੀ ਦਾ ਹੈ। ਇਹ ਤਿੰਨ ਵੱਖਰੀਆਂ ਜਾਂਚਾਂ ਹਨ ਅਤੇ ਇਹ ਵੱਖਰੇ ਢੰਗਾਂ ਨਾਲ ਅਸਫਲ ਹੁੰਦੀਆਂ ਹਨ। ਮੇਲ ਖਾਂਦੀ CA ਫਿੰਗਰਪ੍ਰਿੰਟ ਸਰਵਰ ਨੂੰ ਪਿੰਨ ਨਹੀਂ ਕਰਦੀ, ਅਤੇ ਜਨਤਕ ਕੁੰਜੀ ਦਾ ਹੈਸ਼ ਜਾਣਬੁੱਝ ਕੇ ਉਸ ਮੁੜ-ਜਾਰੀ ਤੋਂ ਬਚਦਾ ਹੈ ਜੋ ਉਹੀ ਕੁੰਜੀ ਰੱਖਦੀ ਹੈ।

ਐਲਗੋਰਿਦਮ ਵੀ ਲਿਖ ਲਵੋ। SHA-256 ਅੱਜ ਆਮ ਉਮੀਦ ਹੈ, ਪਰ ਪੁਰਾਣੇ ਸਾਧਨ ਕੁਝ ਹੋਰ ਨਾ ਮੰਗਣ ’ਤੇ SHA-1 ਛਾਪਦੇ ਸਨ, ਅਤੇ 40 ਅੱਖਰਾਂ ਦਾ ਹੈਕਸ ਮੁੱਲ ਇਸ ਗੱਲ ਦਾ ਸੰਕੇਤ ਹੈ ਕਿ ਤੁਸੀਂ ਦੋ ਵੱਖਰੀਆਂ ਚੀਜ਼ਾਂ ਦੀ ਤੁਲਨਾ ਕਰਨ ਵਾਲੇ ਹੋ।

ਉਮੀਦ ਕੀਤਾ ਮੁੱਲ ਦੂਜੇ ਚੈਨਲ ਰਾਹੀਂ ਲਵੋ

ਦੂਜਾ ਚੈਨਲ ਐਸਾ ਹੋਣਾ ਚਾਹੀਦਾ ਹੈ ਜਿਸ ਵਿੱਚ ਉਹ ਧਿਰ ਲਿਖ ਨਾ ਸਕੇ ਜਿਸਤੋਂ ਤੁਸੀਂ ਬਚਾ ਕਰ ਰਹੇ ਹੋ। ਜਿਸ ਪ੍ਰੋਵੀਜ਼ਨਿੰਗ ਸਿਸਟਮ ਵਿੱਚ ਤੁਸੀਂ ਪਹਿਲਾਂ ਹੀ ਪ੍ਰਮਾਣਿਤ ਹੁੰਦੇ ਹੋ, ਤਿਜੋਰੀ ਵਿੱਚ ਰੱਖਿਆ ਛਾਪਿਆ ਰਿਕਾਰਡ, ਸੰਰਚਨਾ ਡੇਟਾਬੇਸ, ਜਾਂ ਕਿਸੇ ਹੋਰ ਪ੍ਰਕਿਰਿਆ ਵੱਲੋਂ ਪਹੁੰਚਾਇਆ ਦਸਤਖਤ ਵਾਲਾ ਦਸਤਾਵੇਜ਼, ਸਾਰੇ ਢੁੱਕਵੇਂ ਹਨ। ਸਹਿਕਰਮੀ ਦਾ ਚੈਟ ਸੁਨੇਹਾ, ਖੋਜ ਨਤੀਜੇ ਰਾਹੀਂ ਪਹੁੰਚਿਆ ਸਹਾਇਤਾ ਪੰਨਾ, ਅਤੇ ਜਿਸ ਟਰਮੀਨਲ ਵਿੱਚ ਤੁਸੀਂ ਪਹਿਲਾਂ ਹੀ ਡੀਬੱਗ ਕਰ ਰਹੇ ਹੋ ਉਸ ਵਿੱਚ ਪੇਸਟ ਕੀਤੀ ਕੋਈ ਵੀ ਚੀਜ਼, ਢੁੱਕਵੀਂ ਨਹੀਂ ਹੈ।

ਪੂਰਾ ਮੁੱਲ ਅਤੇ ਐਲਗੋਰਿਦਮ ਮੰਗੋ, ਕਦੇ ਵੀ ਅਗੇਤਰ ਨਹੀਂ। ਕੋਲਨ ਅਤੇ ਵੱਡੇ ਜਾਂ ਛੋਟੇ ਅੱਖਰ ਮਾਇਨੇ ਨਹੀਂ ਰੱਖਦੇ, ਪਰ ਕੱਟਣਾ 256-ਬਿੱਟ ਜਾਂਚ ਨੂੰ ਅੰਦਾਜ਼ੇ ਦਾ ਖੇਡ ਬਣਾ ਦਿੰਦਾ ਹੈ।

ਜੇ ਕੋਈ ਸੁਤੰਤਰ ਸਰੋਤ ਤੋਂ ਉਮੀਦ ਕੀਤਾ ਮੁੱਲ ਨਹੀਂ ਦੇ ਸਕਦਾ, ਤਾਂ ਇਮਾਨਦਾਰ ਨਤੀਜਾ ਇਹੀ ਹੈ ਕਿ ਇਹ ਸਰਟੀਫਿਕੇਟ ਅੱਜ ਜਾਂਚਿਆ ਨਹੀਂ ਜਾ ਸਕਦਾ। ਇਹ ਕਹਿਣਾ ਕਲਾਇੰਟ ਵੱਲੋਂ ਹੁਣੇ ਦਿਖਾਈ ਗਈ ਚੀਜ਼ ਨੂੰ ਪਿੰਨ ਕਰਨ ਤੋਂ ਬਿਹਤਰ ਹੈ, ਕਿਉਂਕਿ ਇਸ ਨਾਲ ਚੇਤਾਵਨੀ ਆਦਤ ਬਣ ਜਾਂਦੀ ਹੈ।

ਮੁੱਲ ਆਪਣੇ ਪਾਸਿਓਂ ਕੱਢੋ

ਸਰਟੀਫਿਕੇਟ ਫਾਈਲ ਲਈ ਹੁਕਮ openssl x509 -in server.crt -noout -fingerprint -sha256 ਹੈ। ਸਪਸ਼ਟ ਡਾਇਜੈਸਟ ਜ਼ਰੂਰੀ ਹੈ: ਇਸ ਤੋਂ ਬਿਨਾਂ ਆਉਟਪੁੱਟ ਤੁਹਾਡੇ OpenSSL ਸੰਸਕਰਣ ’ਤੇ ਨਿਰਭਰ ਕਰਦੀ ਹੈ। ਨਤੀਜਾ ਕੋਲਨ ਨਾਲ ਵੱਖ ਕੀਤੀ ਹੈਕਸ ਸਤਰ ਹੈ, ਇਸ ਲਈ ਤੁਲਨਾ ਤੋਂ ਪਹਿਲਾਂ ਕੋਲਨ ਹਟਾਓ ਅਤੇ ਦੋਵੇਂ ਪਾਸੇ ਛੋਟੇ ਅੱਖਰਾਂ ਵਿੱਚ ਲਿਆਓ।

ਸਿੱਧਾ TLS ਬੋਲਣ ਵਾਲੇ ਐਂਡਪੁਆਇੰਟ ਲਈ, ਜੁੜੋ ਅਤੇ ਸਰਟੀਫਿਕੇਟ ਨੂੰ ਪਾਈਪ ਰਾਹੀਂ ਬਾਹਰ ਕੱਢੋ: openssl s_client -connect vpn.example.com:443 -servername vpn.example.com < /dev/null | openssl x509 -noout -fingerprint -sha256। ਇਹ ਵੈੱਬ ਐਡਮਿਨ ਪੈਨਲ ਜਾਂ TLS ਸਰੋਤੇ ਲਈ ਕੰਮ ਕਰਦਾ ਹੈ, ਉਸ OpenVPN ਲਈ ਨਹੀਂ ਜਿਸਦਾ ਨਿਯੰਤਰਣ ਚੈਨਲ ਸੁਰੰਗ ਦੇ ਅੰਦਰ ਹੁੰਦਾ ਹੈ। OpenVPN ਲਈ, ਸਾਕਟ ਤੋਂ ਫੜਨ ਦੀ ਕੋਸ਼ਿਸ਼ ਕਰਨ ਦੀ ਬਜਾਏ ਡਿਸਕ ’ਤੇ ਪ੍ਰੋਫਾਈਲ ਤੋਂ ਸਰਟੀਫਿਕੇਟ ਪੜ੍ਹੋ।

ਤੁਲਨਾ ਮਸ਼ੀਨੀ ਹੋਣੀ ਚਾਹੀਦੀ ਹੈ। tr -d ':' ਅਤੇ ਅੱਖਰ ਇਕਸਾਰਤਾ ਨਾਲ ਦੋਵੇਂ ਮੁੱਲ ਸਧਾਰਨ ਕਰੋ, ਫਿਰ ਪੂਰੀ ਸਤਰ ਦੀ ਤੁਲਨਾ ਕਰੋ। ਅੱਖ ਨਾਲ ਤੁਲਨਾ ਕਰਨਾ ਹੀ ਉਹ ਢੰਗ ਹੈ ਜਿਸ ਵਿੱਚ ਮੇਲ ਖਾਂਦਾ ਅਗੇਤਰ ਆਖਰੀ ਬਾਈਟ ਦਾ ਅੰਤਰ ਲੁਕਾ ਦਿੰਦਾ ਹੈ। ਜੇ ਸਤਰਾਂ ਵੱਖਰੀਆਂ ਹਨ, ਤਾਂ ਵਿਆਖਿਆ ਲੱਭਣ ਤੋਂ ਪਹਿਲਾਂ ਅੰਤਰ ਨੂੰ ਅਸਲੀ ਮੰਨੋ।

ਰੁਕਣ ਦੀਆਂ ਸ਼ਰਤਾਂ

ਜੇ ਵਸਤੂ ਵੱਖਰੀ ਹੈ ਤਾਂ ਰੁਕੋ, ਕਿਉਂਕਿ CA ਫਿੰਗਰਪ੍ਰਿੰਟ ਪੱਤਾ ਸਰਟੀਫਿਕੇਟ ਨੂੰ ਨਿਰਦੋਸ਼ ਨਹੀਂ ਠਹਿਰਾ ਸਕਦੀ ਅਤੇ ਪੱਤਾ CA ਨੂੰ ਨਹੀਂ ਠਹਿਰਾ ਸਕਦਾ। ਜੇ ਐਲਗੋਰਿਦਮ ਵੱਖਰਾ ਹੈ ਤਾਂ ਰੁਕੋ, ਕਿਉਂਕਿ SHA-1 ਮੁੱਲ ਦੀ SHA-256 ਮੁੱਲ ਨਾਲ ਤੁਲਨਾ ਤੁਹਾਨੂੰ ਕੁਝ ਨਹੀਂ ਦੱਸਦੀ। ਜੇ ਫਿੰਗਰਪ੍ਰਿੰਟ ਮੇਲ ਖਾਂਦੀ ਹੈ ਪਰ ਸਰਟੀਫਿਕੇਟ ਦੀ ਮਿਆਦ ਖਤਮ, ਰੱਦ ਜਾਂ ਕਿਸੇ ਹੋਰ ਨਾਮ ਲਈ ਜਾਰੀ ਹੈ ਤਾਂ ਰੁਕੋ; ਮੇਲ ਖਾਂਦਾ ਹੈਸ਼ ਜਾਇਜ਼ਤਾ ਦੀ ਜਾਂਚ ਨਹੀਂ ਹੈ ਅਤੇ ਟੁੱਟੀ ਲੜੀ ਸੁਧਾਰਦਾ ਨਹੀਂ। ਜੇ ਕ੍ਰਮ ਸੰਖਿਆ ਉਸ ਰਿਕਾਰਡ ਦੀ ਕ੍ਰਮ ਸੰਖਿਆ ਨਾਲ ਮੇਲ ਨਹੀਂ ਖਾਂਦੀ ਜਿਸਦੇ ਵਿਰੁੱਧ ਤੁਸੀਂ ਜਾਂਚ ਕਰ ਰਹੇ ਹੋ ਤਾਂ ਵੀ ਰੁਕੋ, ਕਿਉਂਕਿ ਬਦਲਿਆ ਹੋਇਆ ਸਰਟੀਫਿਕੇਟ ਫੜਨ ਦਾ ਇਹ ਸਭ ਤੋਂ ਸਸਤਾ ਤਰੀਕਾ ਹੈ।

ਜੇ ਨਵਾਂ ਮੁੱਲ ਉਸੇ ਚੈਨਲ ਰਾਹੀਂ ਆਇਆ ਹੈ ਜਿਸਦੀ ਤੁਸੀਂ ਜਾਂਚ ਕਰ ਰਹੇ ਸੀ ਤਾਂ ਰੁਕੋ। ਰੋਟੇਸ਼ਨ ਫਿੰਗਰਪ੍ਰਿੰਟ ਨੂੰ ਕਾਨੂੰਨੀ ਤੌਰ ’ਤੇ ਬਦਲ ਸਕਦੀ ਹੈ, ਪਰ ਬਦਲਵਾਂ ਮੁੱਲ ਫਿਰ ਵੀ ਭਰੋਸੇਯੋਗ ਪ੍ਰਕਿਰਿਆ ਤੋਂ ਹੀ ਆਉਣਾ ਚਾਹੀਦਾ ਹੈ, ਸਵਾਲ ਖੜ੍ਹਾ ਕਰਨ ਵਾਲੇ ਚੇਤਾਵਨੀ ਸੰਵਾਦ ਤੋਂ ਨਹੀਂ।

ਜੇ ਸੁਝਾਇਆ ਸੁਧਾਰ ਹੋਸਟਨਾਮ ਜਾਂ ਲੜੀ ਜਾਂਚ ਬੰਦ ਕਰਨਾ ਹੈ ਤਾਂ ਰੁਕੋ। ਫਿੰਗਰਪ੍ਰਿੰਟ ਆਮ ਜਾਂਚਾਂ ਵਿੱਚ ਇੱਕ ਬੰਦਿਸ਼ ਜੋੜਦੀ ਹੈ; ਜੇ ਤੈਨਾਤੀ ਨੇ ਜਾਣਬੁੱਝ ਕੇ ਸਿਰਫ-ਪਿੰਨ ਮਾਡਲ ਨਹੀਂ ਚੁਣਿਆ ਤਾਂ ਇਹ ਉਹਨਾਂ ਦੀ ਥਾਂ ਨਹੀਂ ਲੈਂਦੀ, ਅਤੇ ਉਸ ਚੋਣ ਦੇ ਆਪਣੇ ਸੰਚਾਲਨ ਖਰਚੇ ਹਨ।

ਤੁਲਨਾ ਤੋਂ ਬਾਅਦ

ਤੁਸੀਂ ਕੀ ਤੁਲਨਾ ਕੀਤੀ, ਉਮੀਦ ਕੀਤਾ ਮੁੱਲ ਕਿੱਥੋਂ ਆਇਆ ਅਤੇ ਕਦੋਂ, ਇਹ ਦਰਜ ਕਰੋ। ਜੇ ਸਰਟੀਫਿਕੇਟ ਮੁੜ ਜਾਰੀ ਹੋਇਆ ਹੈ, ਤਾਂ ਸੰਭਾਲੀ ਉਮੀਦ ਉਸੇ ਭਰੋਸੇਯੋਗ ਚੈਨਲ ਰਾਹੀਂ ਅਪਡੇਟ ਕਰੋ ਅਤੇ ਨਵੀਂ ਕ੍ਰਮ ਸੰਖਿਆ ਲਿਖੋ, ਕਿਉਂਕਿ ਅਗਲੀ ਰੋਟੇਸ਼ਨ ਨੂੰ ਆਡਿਟਯੋਗ ਬਣਾਉਣ ਵਾਲੀ ਉਹੀ ਕ੍ਰਮ ਸੰਖਿਆ ਹੈ।

ਫਿਰ ਸੀਮਾਵਾਂ ਬਾਰੇ ਸਪਸ਼ਟ ਰਹੋ। ਫਿੰਗਰਪ੍ਰਿੰਟ ਪੁਸ਼ਟੀ ਕਰਦੀ ਹੈ ਕਿ ਤੁਹਾਡੇ ਕੋਲ ਮੌਜੂਦ ਸਰਟੀਫਿਕੇਟ ਉਹੀ ਹੈ ਜਿਸਦੀ ਉਮੀਦ ਕਰਨ ਲਈ ਕਿਸੇ ਨੇ ਤੁਹਾਨੂੰ ਕਿਹਾ ਸੀ। ਇਹ ਹੋਸਟ ਦੇ ਅਣ-ਸਮਝੌਤਾਬੱਧ ਹੋਣ ਬਾਰੇ ਕੁਝ ਨਹੀਂ ਕਹਿੰਦੀ, ਅਤੇ ਇਸ ਬਾਰੇ ਵੀ ਕੁਝ ਨਹੀਂ ਕਹਿੰਦੀ ਕਿ ਸੇਵਾ ਇਸ ਸਰਟੀਫਿਕੇਟ ਦੀ ਪਹੁੰਚ ਨੂੰ ਦਰਜ ਕਰਦੀ ਹੈ ਜਾਂ ਸੀਮਿਤ ਕਰਦੀ ਹੈ।