Kukagua cheti cha VPN bila kuchapisha ufunguo wake

Kusoma sehemu za umma za cheti hakuhitaji kamwe kuonyesha ufunguo wa faragha unaolingana nao, na zana za kufanya hivyo huja na kila mfumo unaomaliza VPN. Hatari iko hatua moja mapema: faili uliyopewa inaweza kuwa si cheti hata kidogo. Cheti cha PEM, faili ya binary ya DER, kifurushi cha PKCS#12 na OpenVPN profile vinaweza kufika kwa jina moja na kubeba nyenzo tofauti sana, kwa hiyo tambua chombo kabla ya kuchagua amri.

Mambo matatu yanaamua amri ipi ni salama: kile faili inacho, kile unachohitaji kusoma kutoka ndani yake, na nani ataona matokeo. Ukikosea lolote kati yao, ukaguzi wenyewe unakuwa tukio.

Ni faili ipi kati ya tatu uliyopewa

Cheti cha PEM ni maandishi yenye alama za BEGIN na END zinazoonekana, faili ya DER ni binary na inahitaji bendera ya muundo wa ingizo, na kifurushi ni chombo kinachoweza kubeba ufunguo kando ya cheti. file server.crt hutenganisha maandishi na binary katika sekunde moja, na mtazamo wa mstari wa kwanza hutenganisha cheti tupu na profile inayojumuisha kimoja. Kukisia hapa ndiko kunageuza ukaguzi kuwa tukio.

Kama faili ni profile na si cheti, ichukulie kama kitambulisho hadi ithibitishwe vinginevyo. Dhana hiyo haigharimu chochote, na inazuia kosa la kawaida zaidi katika kazi hii yote.

Kusoma sehemu za umma za cheti cha PEM

Kwa cheti ulizoruhusiwa kukagua, amri ndogo ya x509 yenye -noout huchapisha sehemu unazochagua na hakuna kingine. Kukandamiza mwili ndiko kunabakiza matokeo kwenye metadata, jambo ambalo pia huifanya salama kuibandika kwenye tiketi. Vichaguzi vilivyo hapa chini ni vya umma, na nyaraka za openssl x509 zinaorodhesha vingine.

openssl x509 -in server.crt -noout -subject -issuer -dates -fingerprint -sha256

Kwenye cheti cha majaribio kilichotengenezwa ndani, amri hiyo huchapisha mstari wa subject na issuer, jozi ya notBefore na notAfter, na alama moja ya kidole ya SHA-256. Sehemu hizo hutambulisha kitu; hazianzishi njia halali ya uaminifu, ambayo ni kazi tofauti ya uthibitishaji yenye amri yake na jibu lake. Faili ya mnyororo inaweza pia kuchapisha cheti cha kwanza tu ikiwa hutapita faili mwenyewe. Kulinganisha faili mbili kwa njia hii hugharimu amri moja na huamua ni ipi kati yao upande wa pili unawasilisha kweli.

Vifurushi vinavyobeba ufunguo kando ya cheti

Faili ya .p12 au .pfx inaweza kubeba ufunguo wa faragha, na amri ya uchambuzi huuchapisha ikiwa hukandamizi sehemu hiyo ya matokeo. Kwa -nokeys amri hiyo hiyo bado huripoti muundo wa chombo, ikiwa ni pamoja na mfuko wa ufunguo uliofunikwa, bila kutoa nyenzo yoyote ya ufunguo; ukiondoa bendera hiyo, kizuizi cha ufunguo kinaonekana kwenye terminal yako na kwenye historia ya shell.

openssl pkcs12 -in bundle.p12 -nokeys -info -passin env:P12PASS

Profile ya OpenVPN hujumuisha nyenzo hiyo hiyo kama maandishi, kwa hiyo mpaka unaonekana ikiwa unajua pa kutazama. Nyenzo za umma ziko kati ya BEGIN CERTIFICATE na END CERTIFICATE, wakati kila kitu kati ya BEGIN PRIVATE KEY na mstari wake wa END ni ufunguo na haupaswi kuondoka kwenye mwenyeji. Kunakili profile yote huchapisha vyote viwili.

Kupata thamani ya marejeleo kutoka mahali pengine

Alama ya kidole iliyosomwa kutoka kwenye muunganisho unaojaribu kuthibitisha haithibitishi chochote, kwa sababu iliyotolewa na upande usiomwamini. Hiyo si hoja dhidi ya alama za vidole; ni hoja kuhusu asili. Linganisha thamani na ile iliyopatikana kupitia njia ambayo upande wa pili hauwezi kuandika, kama cheti kilichochapishwa katika hazina ya ndani au hash iliyochapishwa katika rekodi ya mabadiliko iliyosainiwa.

Ambapo hazina ya uaminifu hufanya uthibitishaji, iache ifanye, na soma kosa inalozalisha badala ya kubadilisha na ulinganishaji wako mwenyewe. Tofauti inayojalisha ni nani alitoa marejeleo, si ni kitendakazi kipi cha hash kilitumika.

Kushiriki matokeo, na nini cha kufanya baada ya kuteleza

Tuma kosa kamili la uthibitishaji, tarehe husika na maelezo ya utambulisho tu ambayo mpokeaji anahitaji. Majina ya mwenyeji wa ndani na vitambulisho vya akaunti hubaki nyeti hata ufunguo usipokuwepo, na huduma ya umma ya kubandika ni mahali pasipofaa kwa chochote kati ya hivyo. Bandika kwenye tiketi, si kwenye bafa ya muda ambayo mtu mwingine anashiriki.

Ikiwa nyenzo za ufunguo zilionekana kwenye skrini au kwenye faili, zichukulie kama zimeathirika na uzizungushe badala ya kutumaini kuwa hakuna aliyetazama. Kisha andika faili iliyokaguliwa, amri iliyotumika na mahali matokeo yalipoenda, kwa sababu rekodi hiyo ndiyo inayogeuza hofu kuwa utaratibu. Uzungushaji ni wa bei ndogo ikilinganishwa na gharama ya kudhani hakuna aliyebakiza picha ya skrini, na rekodi hiyo hiyo humwambia mhandisi ajaye ni faili zipi zilizoguswa kabisa. Fanya vyote viwili kabla tiketi haijafungwa.