Si të verifikoni gjurmën e gishtit të një certifikate VPN përmes një kanali të veçantë

Një gjurmë gishti është vetëm aq e mirë sa kanali që ju tha çfarë të prisnit. Nëse vlera me të cilën krahasoni ka ardhur përmes të njëjtës lidhje që po testoni, krahasimi nuk dëshmon asgjë përtej faktit se pala që kontrollon atë lidhje është konsistente. Verifikimi duhet të zhvillohet në një rend fiks, dhe një hap i dështuar duhet t'ju ndalojë në vend që t'ju shtyjë drejt të tjetrit. Ky është rendi që përdor kur një klient VPN raporton se një certifikatë ka ndryshuar.

Emërtoni objektin përpara se të emërtoni vlerën

Vendosni nëse vlera e pritur i përket certifikatës gjethe të serverit, autoritetit lëshues CA apo çelësit publik brenda gjethes. Këto janë tre verifikime të ndryshme dhe dështojnë në mënyra të ndryshme. Një gjurmë CA që përputhet nuk e fikson serverin, dhe një hash i çelësit publik i mbijeton qëllimisht një rilëshimi që mban të njëjtin çelës.

Shkruani edhe algoritmin. SHA-256 është pritshmëria normale sot, por mjetet e vjetra printonin SHA-1 nëse nuk kërkonit diçka tjetër, dhe një vlerë hex me 40 karaktere është shenjë se jeni gati të krahasoni dy gjëra të ndryshme.

Merrni vlerën e pritur përmes një kanali të dytë

Kanali i dytë duhet të jetë një i tillë ku pala nga e cila mbroheni nuk mund të shkruajë. Një sistem furnizimi ku autentifikoheni tashmë, një regjistrim i printuar në kasafortë, një bazë të dhënash konfigurimi ose një dokument i nënshkruar i dorëzuar nga një proces tjetër, të gjitha kualifikohen. Një mesazh bisede nga një koleg, një faqe mbështetjeje e arritur përmes një rezultati kërkimi dhe çdo gjë e ngjitur në terminalin ku po korrigjoni defekte, nuk kualifikohen.

Kërkoni vlerën e plotë dhe algoritmin, kurrë një prefiks. Pikat dhe shkronjat e mëdha ose të vogla nuk kanë rëndësi, por shkurtimi e kthen një verifikim prej 256 bitësh në lojë hamendësimi.

Nëse askush nuk mund të prodhojë vlerën e pritur nga një burim i pavarur, rezultati i ndershëm është se kjo certifikatë sot nuk mund të verifikohet. Ta thuash këtë është më mirë sesa të fiksosh atë që klienti sapo shfaqi, gjë që e kthen një paralajmërim në zakon.

Nxirrni vlerën në anën tuaj

Për një skedar certifikate, komanda është openssl x509 -in server.crt -noout -fingerprint -sha256. Digesti i shprehur ka rëndësi: pa të, rezultati varet nga versioni juaj i OpenSSL. Rezultati është një varg hex i ndarë me pika, prandaj hiqni pikat dhe kthejini të dyja anët në shkronja të vogla përpara krahasimit.

Për një pikë skajore që flet TLS drejtpërdrejt, lidhuni dhe nxirrni certifikatën përmes një tubi: openssl s_client -connect vpn.example.com:443 -servername vpn.example.com < /dev/null | openssl x509 -noout -fingerprint -sha256. Kjo funksionon për një panel administrimi web ose një dëgjues TLS, jo për OpenVPN, kanali i kontrollit i të cilit ndodhet brenda tunelit. Për OpenVPN, lexoni certifikatën nga profili në disk në vend që të përpiqeni ta kapni nga soketi.

Krahasimi duhet të jetë mekanik. Normalizoni të dyja vlerat me tr -d ':' dhe një kthim në shkronja të vogla, pastaj krahasoni të gjithë vargun. Ta bësh me sy është mënyra se si një prefiks që përputhet fsheh një ndryshim në bajtin e fundit. Nëse vargjet ndryshojnë, trajtojeni ndryshimin si real përpara se të kërkoni një shpjegim.

Kushtet e ndalimit

Ndaloni nëse objekti ndryshon, sepse një gjurmë CA nuk mund të shfajësojë një certifikatë gjethe dhe një gjethe nuk mund të shfajësojë CA-në. Ndaloni nëse algoritmi ndryshon, sepse një vlerë SHA-1 e krahasuar me një vlerë SHA-256 nuk ju thotë asgjë. Ndaloni nëse gjurma përputhet, por certifikata ka skaduar, është revokuar ose është lëshuar për një emër tjetër; një hash që përputhet nuk është verifikim vlefshmërie dhe nuk riparon një zinxhir të thyer. Ndaloni edhe nëse numri serial nuk përputhet me numrin serial në regjistrin kundrejt të cilit verifikoni, sepse kjo është mënyra më e lirë për të vënë re një certifikatë të zëvendësuar.

Ndaloni nëse vlera e re ka ardhur përmes kanalit që po testonit. Rrotullimi mund të ndryshojë ligjërisht një gjurmë, por vlera zëvendësuese duhet të vijë gjithsesi nga procesi i besuar, jo nga dialogu i paralajmërimit që shkaktoi pyetjen.

Ndaloni nëse rregullimi i sugjeruar është të çaktivizoni verifikimin e emrit të hostit ose të zinxhirit. Një gjurmë shton një kufizim në verifikimet normale; nuk i zëvendëson ato, përveç nëse vendosja ka zgjedhur qëllimisht një model vetëm me pin, dhe kjo zgjedhje sjell kostot e veta operative.

Pas krahasimit

Regjistroni çfarë krahasuat, nga erdhi vlera e pritur dhe kur. Nëse certifikata u rilëshua, përditësoni pritshmërinë e ruajtur përmes të njëjtit kanal të besuar dhe shënoni numrin e ri serial, sepse numri serial është ai që e bën rrotullimin e radhës të auditueshëm.

Pastaj jini të qartë për kufijtë. Një gjurmë konfirmon se certifikata që mbani është ajo që dikush ju tha të prisnit. Nuk thotë asgjë për faktin nëse hosti është i pakomprometuar, dhe asgjë për faktin nëse shërbimi regjistron ose kufizon atë që kjo certifikatë mund të arrijë.