Jina sawa la faili ca.crt, cheti tofauti: nini cha kulinganisha

Wasifu wawili wote wanleta faili inayoitwa ca.crt, handaki moja inapanda na nyingine inashindwa kwa hitilafu ya mnyororo. Kufungua faili mbili kando kwa kando mara chache husuluhisha hili, na kuzima uthibitishaji husuluhisha kwa mwelekeo usiofaa. Swali ambalo hitilafu inauliza kwa kweli ni jembamba zaidi: ni cheti kipi kila mchakato unapakia kama nanga yake ya uaminifu, na je, hizo mbili ni kitu kimoja? Jibu hilo kwanza na uchunguzi uliobaki utapata mwelekeo. Jina la faili ni lebo ya ufungashaji, na njia iliyoandikwa kwenye wasifu pia haina mamlaka, kwa hiyo kila kitu kinategemea kile mchakato unasoma kwa kweli.

Tafuta cheti ambacho mteja anapakia kwa kweli

OpenVPN hukubali mamlaka kwa namna mbili, na namna huamua ni baiti gani ni muhimu. Wasifu unaweza kuelekeza faili ya nje kwa ca, au kuingiza cheti ndani ya kizuizi cha <ca> ndani ya wasifu wenyewe. Zote mbili zikiwepo, kizuizi kilichoingizwa hushinda na faili iliyo kando ya wasifu haifunguliwi kamwe.

Soma wasifu unaoshindwa na ujue ni namna gani unatumia kabla ya kulinganisha kitu chochote. Nakala iliyochukuliwa kutoka saraka jirani, au kutoka kifurushi ambacho wasifu mwingine ulitoka, haikwambii chochote kuhusu kile mchakato huu unachokiamini. Ndivyo ilivyo pia kwa njia iliyo kwenye usanidi: inatatuliwa kuhusiana na mahali mteja ulipoanzishwa, ambayo siyo saraka unayoiangalia. Soma wasifu, sio folda.

Vyeti hutambuliwa kwa maudhui yao: ufunguo wa umma, somo na mtoaji, kipindi cha uhalali, na sahihi juu ya yote hayo. Faili mbili zilizo na baiti zinazofanana ni cheti kimoja bila kujali majina yao, na faili mbili zenye jina moja zinaweza kuwa mamlaka zisizohusiana. Jina ni lebo ya ufungashaji, sio utambulisho.

Chukua alama ya kidole ya nakala zote mbili kwa openssl

Alama ya kidole ni heshi juu ya usimbaji wa DER wa cheti, namna ambayo sahihi inaifunika, kwa hiyo miisho ya mistari na maandishi ya kichwa haiwezi kuathiri. Ihesabu kwa kila faili na unakuwa na nyuzi mbili za heksi zilizotenganishwa na koloni ambazo ama zinalingana au hapana. Hakuna kitu kingine kwenye cheti kinachohitaji kusomwa ili kujibu swali la kulinganisha.

openssl x509 -in /etc/openvpn/office/ca.crt -noout -fingerprint -sha256
openssl x509 -in ~/profiles/lab-ca.pem -noout -fingerprint -sha256

Inashawishi kuuelekeza openssl kwenye wasifu wenyewe, lakini husoma kizuizi cha kwanza cha cheti kinachotokea kwenye faili, na wasifu kwa kawaida hubeba <cert> kabla ya <ca>. Toa kizuizi cha mamlaka, kisha chukua alama ya kidole ya faili iliyotolewa, kwa sababu hiyo ni nakala ambayo mteja ataitumia kwa kweli.

sed -n '/^<ca>$/,/^<\/ca>$/p' office.ovpn | sed '1d;$d' > /tmp/office-ca.pem
openssl x509 -in /tmp/office-ca.pem -noout -fingerprint -sha256

Alama za vidole zinazofanana zinamaanisha kuwa nyenzo ya uaminifu ni sawa na hitilafu ya mnyororo ina sababu nyingine, ambayo ni uchunguzi tofauti. Alama za vidole tofauti zinamaanisha vyeti tofauti, na sehemu inayofuata huanzia hapo.

Soma kutokulingana kabla ya kudhani shambulizi

Alama za vidole tofauti zinamaanisha vyeti tofauti na hakuna zaidi. Utoaji upya, mzunguko, mamlaka iliyobadilishwa jina, au kifurushi kilichopitwa na wakati vyote huzalisha faili tofauti zenye historia halali kabisa. Ipi ni ya usambazaji ni swali kwa mwendeshaji au rekodi ya usambazaji, sio kwa muda wa mabadiliko ya faili. Kumbukumbu hunakili mihuri ya muda, kwa hiyo faili mpya zaidi si nanga sahihi kiotomatiki.

Mzizi unaojisaini wenyewe ni wa kawaida, kwa hiyo kuupata si ushahidi wa tatizo. Kazi ya mthibitishaji ni kujenga njia kutoka cheti cha seva hadi nanga aliyopewa, na hitilafu ya mnyororo kwa kawaida inamaanisha njia hiyo haikuweza kukamilika.

Angalia kama nanga ya wasifu unaoshindwa ni mamlaka ambayo usambazaji bado unatoa kutoka kwayo. Ikiwa alama ya kidole hailingani na chochote kwenye rekodi ya usambazaji, wasifu umechelewa tu, na hakuna urekebishaji wa upande wa mteja utakaorekebisha hilo.

Rekebisha uaminifu bila kuzima uthibitishaji

Suluhisho la muda mfupi ni kuzima uthibitishaji au kuongeza kila cheti kwenye mnyororo kama nanga. Zote mbili hufanya ujumbe utoweke, na zote mbili hubadilisha seva zipi mteja atakazokubali kuanzia hapo. Washa tena uthibitishaji, sakinisha nanga iliyokusudiwa na ujaribu tena.

Ikiwa mnyororo sasa unajengwa lakini hitilafu nyingine inaonekana, hiyo ni maendeleo: uthibitishaji wa jina, tarehe za uhalali na kufuta ni ukaguzi tofauti wenye ujumbe tofauti. Weka jozi ya alama za vidole na maandishi ya awali ya hitilafu pamoja kwenye tikiti, ili mtu anayefuata aone ni nanga ipi ilipakiwa na ipi ilitarajiwa. Jozi ya alama za vidole ni ndogo vya kutosha kubandikwa kwenye noti ya makabidhiano, na tukio linalofuata basi huchukua dakika tano badala ya mchana.

Pata mamlaka sahihi kupitia kituo kile kile kilichothibitishwa kilichowasilisha wasifu. Kuvuta cheti kutoka seva kwa sababu somo lake linaonekana lililojulikana ni kitendo tofauti, na hupanua kwa utulivu kile mteja atakachoamini.