Inspektimi i një certifikate VPN pa shfaqur çelësin e saj

Leximi i fushave publike të një certifikate nuk kërkon kurrë shfaqjen e çelësit privat që i përket, dhe mjetet për këtë vijnë me çdo sistem që përfundon një VPN. Rreziku qëndron një hap më parë: skedari që ju dhanë mund të mos jetë fare certifikatë. Një certifikatë PEM, një skedar binar DER, një paketë PKCS#12 dhe një OpenVPN profil mund të vijnë me të njëjtin emër dhe të mbajnë material shumë të ndryshëm, prandaj identifikoni kontejnerin përpara se të zgjidhni një komandë.

Tre fakte përcaktojnë cila komandë është e sigurt: çfarë përmban skedari, çfarë duhet të lexoni prej tij dhe kush do ta shohë daljen. Nëse gaboni në cilëndo prej tyre, vetë inspektimi bëhet incidenti.

Cili nga tre skedarët ju dhanë

Një certifikatë PEM është tekst me shenja BEGIN dhe END të dukshme, një skedar DER është binar dhe kërkon një flamur formati hyrës, dhe një paketë është një kontejner që mund të mbajë një çelës pranë certifikatës. file server.crt ndan tekstin nga binari brenda një sekonde, dhe një vështrim te rreshti i parë ndan një certifikatë të zhveshur nga një profil që e përfshin. Hamendja këtu është ajo që e kthen një inspektim në incident.

Nëse skedari është profil dhe jo certifikatë, trajtojeni si kredencial derisa të vërtetohet e kundërta. Ky supozim nuk kushton asgjë dhe parandalon gabimin më të zakonshëm në gjithë këtë detyrë.

Leximi i fushave publike të një certifikate PEM

Për një certifikatë që ju lejohet të inspektoni, nënkomanda x509 me -noout shtyp fushat që zgjidhni dhe asgjë tjetër. Shtypja e trupit është ajo që e mban daljen në metadata, gjë që e bën të sigurt edhe ngjitjen në një tiketë. Përzgjedhësit më poshtë janë publikë, dhe dokumentacioni i openssl x509 rendit të tjerët.

openssl x509 -in server.crt -noout -subject -issuer -dates -fingerprint -sha256

Në një certifikatë testuese të krijuar lokalisht, ajo komandë shtyp një rresht subject dhe issuer, çiftin notBefore dhe notAfter, dhe një gjurmë gishti SHA-256. Këto fusha identifikojnë objektin; ato nuk vendosin një rrugë të vlefshme besimi, që është një detyrë e veçantë verifikimi me komandën e vet dhe përgjigjen e vet. Një skedar zinxhiri mund të shtypë vetëm certifikatën e parë nëse nuk e kaloni vetë skedarin. Krahasimi i dy skedarëve në këtë mënyrë kushton një komandë dhe përcakton se cilën prej tyre paraqet në të vërtetë pala tjetër.

Paketa që mbajnë një çelës pranë certifikatës

Një skedar .p12 ose .pfx mund të mbajë një çelës privat, dhe komanda e analizimit e shtyp atë nëse nuk e shtypni atë pjesë të daljes. Me -nokeys e njëjta komandë raporton ende strukturën e kontejnerit, duke përfshirë një qese çelësi të mbuluar, pa lëshuar asnjë material çelësi; nëse e hiqni atë flamur, një bllok çelësi shfaqet në terminalin tuaj dhe në historikun e shell-it.

openssl pkcs12 -in bundle.p12 -nokeys -info -passin env:P12PASS

Një profil OpenVPN përfshin të njëjtin material si tekst, prandaj kufiri është i dukshëm nëse dini ku të shikoni. Materiali publik qëndron midis BEGIN CERTIFICATE dhe END CERTIFICATE, ndërsa çdo gjë midis BEGIN PRIVATE KEY dhe rreshtit END që i përputhet është çelësi dhe nuk duhet të largohet nga hosti. Kopjimi i profilit në tërësi publikon të dyja.

Marrja e vlerës referuese nga diku tjetër

Një gjurmë gishti e lexuar nga lidhja që po përpiqeni të verifikoni nuk provon asgjë, sepse e ka dhënë pala që nuk i besoni. Ky nuk është argument kundër gjurmëve të gishtave; është argument për origjinën. Krahasoni vlerën me një të marrë përmes një kanali ku pala tjetër nuk mund të shkruajë, si certifikata e publikuar në një depo të brendshme ose hash-i i shtypur në një regjistër ndryshimesh të nënshkruar.

Kur një depo besimi kryen validimin, lëreni ta bëjë, dhe lexoni gabimin që prodhon në vend që ta zëvendësoni me krahasimin tuaj. Dallimi që ka rëndësi është kush e dha referencën, jo cila funksion hash u përdor.

Ndarja e rezultatit dhe çfarë të bëni pas një rrëshqitjeje

Dërgoni gabimin e saktë të validimit, datat përkatëse dhe vetëm detajet e identitetit që i nevojiten marrësit. Emrat e brendshëm të hosteve dhe identifikuesit e llogarive mbeten të ndjeshëm edhe kur nuk ka çelës, dhe një shërbim publik ngjitjeje është destinacioni i gabuar për cilindo prej tyre. Ngjitni në tiketë, jo në një tampon të përkohshëm që ndan dikush tjetër.

Nëse material çelësi u shfaq në ekran ose në një skedar, trajtojeni si të komprometuar dhe rrotullojeni në vend që të shpresoni se askush nuk shikoi. Pastaj shkruani skedarin e inspektuar, komandën e përdorur dhe ku shkoi dalja, sepse ai regjistrim është ai që e kthen një frikë në procedurë. Rrotullimi është i lirë krahasuar me koston e supozimit se askush nuk mbajti një pamje ekrani, dhe i njëjti regjistrim i tregon inxhinierit të ardhshëm cilat skedarë u prekën fare. Bëjini të dyja përpara se tiketa të mbyllet.