Pregled certifikata VPN brez izpisa njegovega ključa

Branje javnih polj certifikata nikoli ne zahteva prikaza zasebnega ključa, ki mu pripada, in orodja za to so del vsakega sistema, ki zaključuje VPN. Tveganje je korak prej: datoteka, ki ste jo dobili, morda sploh ni certifikat. Certifikat PEM, binarna datoteka DER, paket PKCS#12 in OpenVPN profil lahko prispejo z istim imenom in vsebujejo zelo različno gradivo, zato pred izbiro ukaza ugotovite, za kakšen vsebnik gre.

Kateri ukaz je varen, odločajo tri dejstva: kaj datoteka vsebuje, kaj morate iz nje prebrati in kdo bo videl izpis. Če se zmotite pri katerem koli od njih, pregled sam postane incident.

Katero od treh datotek ste dobili

Certifikat PEM je besedilo z vidnimi oznakami BEGIN in END, datoteka DER je binarna in potrebuje stikalo za vhodno obliko, paket pa je vsebnik, ki lahko poleg certifikata vsebuje ključ. file server.crt loči besedilo od binarne vsebine v sekundi, pogled na prvo vrstico pa loči goli certifikat od profila, ki ga vsebuje. Prav ugibanje spremeni pregled v incident.

Če je datoteka profil in ne certifikat, jo obravnavajte kot poverilnico, dokler se ne dokaže nasprotno. Ta predpostavka nič ne stane in prepreči najpogostejšo napako pri celotni nalogi.

Branje javnih polj certifikata PEM

Za certifikat, ki ga smete pregledati, podukaz x509 z -noout izpiše polja, ki jih izberete, in nič drugega. Zatiranje telesa je tisto, kar izpis omeji na metapodatke, in prav zato ga je varno prilepiti v zahtevek. Spodnji izbirniki so javni, dokumentacija openssl x509 pa navaja ostale.

openssl x509 -in server.crt -noout -subject -issuer -dates -fingerprint -sha256

Na lokalno ustvarjenem preskusnem certifikatu ta ukaz izpiše vrstico subject in issuer, par notBefore in notAfter ter en prstni odtis SHA-256. Ta polja opredeljujejo objekt; ne vzpostavijo veljavne poti zaupanja, kar je ločena naloga preverjanja z lastnim ukazom in lastnim odgovorom. Datoteka verige lahko izpiše tudi samo prvi certifikat, če datoteke ne prepeljete sami. Primerjava dveh datotek na ta način stane en ukaz in razreši, katero od njiju nasprotna stran dejansko predloži.

Paketi, ki poleg certifikata vsebujejo ključ

Datoteka .p12 ali .pfx lahko vsebuje zasebni ključ in ukaz za razčlenjevanje ga izpiše, razen če ta del izpisa zatišite. Z -nokeys isti ukaz še vedno poroča o zgradbi vsebnika, vključno z zavito vrečo s ključem, ne da bi izpustil kakršno koli ključno gradivo; če stikalo opustite, se v terminalu in v zgodovini lupine pojavi blok ključa.

openssl pkcs12 -in bundle.p12 -nokeys -info -passin env:P12PASS

Profil OpenVPN vsebuje isto gradivo kot besedilo, zato je meja vidna, če veste, kam gledati. Javno gradivo je med BEGIN CERTIFICATE in END CERTIFICATE, vse med BEGIN PRIVATE KEY in pripadajočo vrstico END pa je ključ in ne sme zapustiti gostitelja. Kopiranje profila v celoti objavi oboje.

Pridobitev referenčne vrednosti od drugod

Prstni odtis, prebran iz povezave, ki jo poskušate preveriti, ne dokazuje ničesar, ker ga je priskrbela stran, ki ji ne zaupate. To ni argument proti prstnim odtisom; to je argument o izvoru. Vrednost primerjajte z vrednostjo, pridobljeno po kanalu, v katerega nasprotna stran ne more pisati, na primer s certifikatom, objavljenim v notranjem repozitoriju, ali z zgoščeno vrednostjo, natisnjeno v podpisanem zapisu spremembe.

Kjer preverjanje izvaja shramba zaupanja, naj ga, in preberite napako, ki jo ustvari, namesto da bi jo nadomestili z lastno primerjavo. Bistveno je, kdo je priskrbel referenco, ne katera zgoščevalna funkcija je bila uporabljena.

Deljenje rezultata in kaj storiti po spodrsljaju

Pošljite točno napako preverjanja, ustrezne datume in samo podatke o identiteti, ki jih prejemnik potrebuje. Notranja imena gostiteljev in identifikatorji računov ostanejo občutljivi, tudi ko ni prisotnega ključa, in javna storitev za lepljenje besedila je za kar koli od tega napačen cilj. Prilepite v zahtevek, ne v začasni medpomnilnik, ki ga deli nekdo drug.

Če se je ključno gradivo vendarle pojavilo na zaslonu ali v datoteki, ga obravnavajte kot ogroženo in ga zamenjajte, namesto da bi upali, da nihče ni pogledal. Nato zapišite pregledano datoteko, uporabljeni ukaz in kam je šel izpis, ker prav ta zapis spremeni preplah v postopek. Zamenjava je poceni v primerjavi s ceno domneve, da si nihče ni shranil posnetka zaslona, in isti zapis pove naslednjemu inženirju, katere datoteke so bile sploh dotaknjene. Naredite oboje, preden se zahtevek zapre.