د VPN سند معاینه کول پرته له دې چې کیلي ښکاره شي

د سند عامې برخې لوستل هېڅکله د هغه سره اړوندې خصوصي کیلي ښودلو ته اړتیا نه لري، او د دې لپاره وسایل په هر هغه سیستم کې شامل دي چې VPN اړیکه پای ته رسوي۔ خطر یو ګام مخکې دی: هغه فایل چې تاسو ته درکړل شو، کېدای شي سند نه وي۔ د PEM سند، DER بلاپ، PKCS#12 بنډل او OpenVPN پروفایل کېدای شي په یو شان نوم سره راشي او ډېر بېلابېل توکي ولري، نو د کمانډ غوره کولو مخکې کنټینر وپېژنئ۔

درې حقایق ټاکي چې کومه کمانډ خوندي ده: فایل کې څه دي، له هغې څه لوستل غواړئ، او پایله به څوک وویني۔ په دې کې هر یو ناسم وي، نو معاینه پخپله پېښه کېږي۔

له درېیو فایلونو کوم یو درکړل شو

د PEM سند هغه متن دی چې د BEGIN او END نښې پکې ښکاره دي، DER فایل باینري دی او د انپټ فارمټ فلګ ته اړتیا لري، او بنډل یو کنټینر دی چې کېدای شي د سند ترڅنګ کیلي ولري۔ file server.crt په یوه ثانیه کې متن له باینري توکو بېلوي، او لومړي کرښې ته یوه کتنه ساده سند له هغه پروفایل څخه بېلوي چې سند پکې ځای پرځای شوی۔ دلته اټکل کول هغه څه دي چې معاینه پېښې ته اړوي۔

که فایل پروفایل وي نه سند، تر هغه چې خلاف یې ثابت نه شي، د اعتبارنامې په توګه ورسره چلند وکړئ۔ دا انګېرنه هېڅ لګښت نه لري او په ټول دې کار کې ترټولو عامه تېروتنه منع کوي۔

د PEM سند عامو برخو لوستل

د هغه سند لپاره چې تاسو ته د معاینې اجازه لرئ، د -noout سره x509 فرعي کمانډ یوازې هغه برخې چاپوي چې تاسو ټاکي او نور هېڅ نه۔ د اصلي بدن ځپل پایله یوازې میټاډاټا ته محدوده ساتي، او همدا لامل دی چې ټکټ کې یې چپول خوندي دي۔ لاندې ټاکنې عامې دي، او د openssl x509 اسناد پاتې برخې لیستوي۔

openssl x509 -in server.crt -noout -subject -issuer -dates -fingerprint -sha256

په ځایي ډول جوړ شوي ازموینې سند کې دا کمانډ د subject او issuer کرښه، د notBefore او notAfter جوړه، او یو SHA-256 فینګرپرینټ چاپوي۔ دا برخې توکی پېژني؛ دوی د باور سمه لاره نه جوړوي، چې خپله کمانډ او خپل ځواب لرونکې جلا تصدیق کاري ده۔ د زنځیر فایل کېدای شي یوازې لومړی سند چاپ کړي، پرته له دې چې تاسو پخپله په فایل کې تېر شئ۔ دوه فایلونه په دې توګه پرتله کول یوې کمانډ لګښت لري او ټاکي چې بله خوا په رښتیا کوم یو وړاندې کوي۔

هغه بنډلونه چې د سند ترڅنګ کیلي لري

د .p12 یا .pfx فایل کېدای شي خصوصي کیلي ولري، او د تحلیل کمانډ یې چاپوي پرته له دې چې د پایلې هغه برخه وځپئ۔ د -nokeys سره هماغه کمانډ لا هم د کنټینر جوړښت راپور ورکوي، په شمول د پټې کیلي کڅوړې، پرته له دې چې کوم کیلي توکي خپاره کړي؛ دا فلګ لرې کړئ نو د کیلي بلاک به په ټرمینل او په شیل تاریخ کې ښکاره شي۔

openssl pkcs12 -in bundle.p12 -nokeys -info -passin env:P12PASS

د OpenVPN پروفایل هماغه توکي د متن په توګه لري، نو که پوه شئ چې چېرته وګورئ، پوله ښکاره ده۔ عام توکي د BEGIN CERTIFICATE او END CERTIFICATE ترمنځ دي، خو د BEGIN PRIVATE KEY او د هغې سره سمون لرونکې END کرښې ترمنځ هر څه کیلي ده او باید له هوسټ څخه ونه وځي۔ پروفایل په بشپړه توګه کاپي کول دواړه خپاره کوي۔

د مرجع ارزښت له بل ځای ترلاسه کول

هغه فینګرپرینټ چې د هغې اړیکې څخه لوستل شوی چې تاسو یې تصدیقول غواړئ، هېڅ ثابتوي نه، ځکه هغه خوا یې ورکړی چې تاسو پرې باور نه لرئ۔ دا د فینګرپرینټونو پر ضد استدلال نه دی؛ دا د سرچینې په اړه استدلال دی۔ ارزښت د هغه ارزښت سره پرتله کړئ چې داسې لارې ترلاسه شوی وي چې بله خوا پکې لیکلی نه شي، لکه په داخلي زېرمه کې خپور سند یا په لاسلیک شوي بدلون ریکارډ کې چاپ شوی هش۔

چېرته چې د باور زېرمه تصدیق کوي، پرېږدئ چې وکړي، او هغه تېروتنه ولولئ چې جوړوي یې، نه دا چې خپله پرتله پرځای کړئ۔ مهم توپیر دا دی چې مرجع چا ورکړه، نه دا چې کومه هش فنکشن کارول شوی۔

پایله شریکول، او له تېروتنې وروسته څه کول

د تصدیق سمه تېروتنه، اړوندې نیټې او یوازې هغه هویت جزئیات ولېږئ چې ترلاسه کوونکي ته اړین دي۔ داخلي هوسټ نومونه او حساب پېژندونکي حتی کله چې کیلي نه وي هم حساس پاتې کېږي، او عامه پیسټ خدمت د دې هر یو لپاره ناسم منزل دی۔ په ټکټ کې یې وپیسئ، نه په هغه سکریچ بفر کې چې بل څوک یې شریکوي۔

که د کیلي توکي په سکرین یا په فایل کې ښکاره شول، دوی زیانمن شوي وګڼئ او بدل یې کړئ، نه دا چې هیله وکړئ چې چا نه دي کتلي۔ بیا ولیکئ چې کوم فایل معاینه شو، کومه کمانډ وکارول شوه او پایله چېرته ولاړه، ځکه همدا ریکارډ وېره په ترتیباتو بدلوي۔ د کیلي بدلول د دې انګېرنې لګښت ته په پرتله ارزانه دي چې چا سکرینشاټ نه دی ساتلی، او هماغه ریکارډ بل انجینر ته وایي چې کوم فایلونه لاس ورتېدلي۔ د ټکټ له بندېدو مخکې دواړه وکړئ۔