Pregled VPN certifikata bez otkrivanja ključa

Čitanje javnih polja certifikata nikada ne zahtijeva prikazivanje privatnog ključa koji mu odgovara, a alati za to dolaze sa svakim sistemom koji završava VPN vezu. Rizik je korak ranije: datoteka koju ste dobili možda uopšte nije certifikat. PEM certifikat, DER blob, PKCS#12 paket i OpenVPN profil mogu stići pod istim imenom i sadržavati vrlo različit materijal, pa prvo utvrdite o kakvom se kontejneru radi, a zatim birajte naredbu.

Tri činjenice odlučuju koja je naredba sigurna: šta datoteka sadrži, šta iz nje treba pročitati i ko će vidjeti izlaz. Pogriješite li u bilo kojoj, sama provjera postaje incident.

Koju od tri datoteke ste dobili

PEM certifikat je tekst s vidljivim oznakama BEGIN i END, DER datoteka je binarna i traži zastavicu ulaznog formata, a paket je kontejner koji može sadržavati ključ pored certifikata. file server.crt u sekundi razdvaja tekst od binarnog sadržaja, a pogled na prvi red razdvaja čisti certifikat od profila koji ga sadrži. Nagađanje je ono što provjeru pretvara u incident.

Ako je datoteka profil, a ne certifikat, tretirajte je kao vjerodajnicu dok se ne dokaže suprotno. Ta pretpostavka ništa ne košta i sprječava najčešću grešku u cijelom ovom zadatku.

Čitanje javnih polja PEM certifikata

Za certifikat koji smijete pregledati, potkomanda x509 s -noout ispisuje samo odabrana polja i ništa više. Potiskivanje tijela svodi izlaz na metapodatke, zbog čega ga je sigurno zalijepiti u tiket. Selektorji ispod su javni, a dokumentacija openssl x509 navodi ostale.

openssl x509 -in server.crt -noout -subject -issuer -dates -fingerprint -sha256

Na lokalno generisanom testnom certifikatu ta naredba ispisuje red subject i issuer, par notBefore i notAfter te jedan SHA-256 otisak prsta. Ta polja identificiraju objekt; ona ne uspostavljaju valjan put povjerenja, što je zaseban zadatak provjere s vlastitom naredbom i vlastitim odgovorom. Datoteka lanca može ispisati samo prvi certifikat ako sami ne prođete kroz datoteku. Upoređivanje dvije datoteke na ovaj način košta jednu naredbu i rješava koju od njih druga strana zaista predstavlja.

Paketi koji drže ključ pored certifikata

Datoteka .p12 ili .pfx može nositi privatni ključ, a naredba za raščlanjivanje ga ispisuje ako ne potisnete taj dio izlaza. Uz -nokeys ista naredba i dalje prijavljuje strukturu kontejnera, uključujući zaklonjenu vreću ključa, bez emitovanja materijala ključa; uklonite tu zastavicu i blok ključa pojavit će se u terminalu i u historiji ljuske.

openssl pkcs12 -in bundle.p12 -nokeys -info -passin env:P12PASS

OpenVPN profil sadrži isti materijal kao tekst, pa je granica vidljiva ako znate gdje gledati. Javni materijal stoji između BEGIN CERTIFICATE i END CERTIFICATE, dok je sve između BEGIN PRIVATE KEY i odgovarajućeg reda END ključ i ne smije napustiti host. Kopiranje profila u cjelini objavljuje oboje.

Kako do referentne vrijednosti iz drugog izvora

Otisak prsta pročitan iz veze koju pokušavate provjeriti ne dokazuje ništa, jer ga je dao onaj kome ne vjerujete. To nije argument protiv otisaka prstiju; to je argument o porijeklu. Uporedite vrijednost s onom dobijenom kanalom u koji druga strana ne može pisati, na primjer s certifikatom objavljenim u internom repozitorijumu ili s hešom ispisanim u potpisanom zapisu o promjeni.

Gdje provjeru obavlja skladište povjerenja, pustite ga da to učini i pročitajte grešku koju proizvede, umjesto da je zamijenite vlastitim poređenjem. Bitno je ko je dao referencu, a ne koja je heš funkcija korištena.

Dijeljenje rezultata i šta raditi nakon omaške

Pošaljite tačnu grešku provjere, relevantne datume i samo one identifikacijske podatke koji su primaocu potrebni. Interna imena hostova i identifikatori računa ostaju osjetljivi čak i kada nema ključa, a javna usluga za lijepljenje je pogrešno odredište za sve to. Lijepite u tiket, a ne u zajednički privremeni bafer.

Ako se materijal ključa ipak pojavio na ekranu ili u datoteci, tretirajte ga kao kompromitovan i zamijenite ga umjesto da se nadate da niko nije gledao. Zatim zapišite koja je datoteka pregledana, koja je naredba korištena i kuda je otišao izlaz, jer taj zapis pretvara strah u proceduru. Zamjena ključa je jeftina u poređenju s cijenom pretpostavke da niko nije sačuvao snimak ekrana, a isti zapis govori sljedećem inženjeru koje su datoteke uopšte dodirnute. Uradite oboje prije nego što se tiket zatvori.