Jinsi ya kuthibitisha alama ya kidole ya cheti cha VPN kupitia chaneli tofauti

Alama ya kidole ni bora tu kadri chaneli iliyokuambia unachopaswa kutarajia ilivyo bora. Ikiwa thamani unayolinganisha nayo ilifika kupitia muunganisho ule ule unaojaribu, ulinganishaji hauthibitishi chochote zaidi ya kwamba anayedhibiti muunganisho huo ni thabiti. Ukaguzi lazima uende kwa mpangilio maalum, na hatua iliyoshindikana inapaswa kukusimamisha badala ya kukusukuma kwenye inayofuata. Huu ni mpangilio ninaotumia wakati mteja wa VPN anaripoti kwamba cheti kimebadilika.

Taja kitu kabla ya kutaja thamani

Amua kama thamani inayotarajiwa ni ya cheti cha jani cha seva, ya CA iliyokitoa, au ya ufunguo wa umma ndani ya jani. Hizi ni ukaguzi tatu tofauti na zinashindikana kwa njia tofauti. Alama ya kidole ya CA inayolingana haifungi seva, na hash ya ufunguo wa umma inaendelea kuwepo kwa makusudi baada ya utoaji upya unaohifadhi ufunguo uleule.

Andika pia algoriti. SHA-256 ndiyo matarajio ya kawaida sasa, lakini zana za zamani zilichapisha SHA-1 ikiwa hukuomba kingine, na thamani ya heksi yenye herufi 40 ni ishara kwamba unakaribia kulinganisha vitu viwili tofauti.

Pata thamani inayotarajiwa kupitia chaneli ya pili

Chaneli ya pili lazima iwe ile ambayo upande unaojilinda nayo hauwezi kuandika ndani yake. Mfumo wa ugavi unaojithibitisha ndani yake tayari, rekodi iliyochapishwa katika sefu, hifadhidata ya usanidi, au hati iliyotiwa sahihi inayoletwa na mchakato mwingine, vyote vinafaa. Ujumbe wa gumzo kutoka kwa mwenzako, ukurasa wa msaada uliofikiwa kupitia tokeo la utafutaji, na kitu chochote kilichobandikwa kwenye terminal unayotatua matatizo ndani yake, havifai.

Omba thamani kamili na algoriti, kamwe si kiambishi awali. Kolon na herufi kubwa au ndogo hazijalishi, lakini kukata kunabadilisha ukaguzi wa biti 256 kuwa mchezo wa kubahatisha.

Ikiwa hakuna anayeweza kutoa thamani inayotarajiwa kutoka chanzo huru, tokeo la uaminifu ni kwamba cheti hiki hakiwezi kuthibitishwa leo. Kusema hivyo ni bora kuliko kufunga kile mteja alichokionyesha hivi punde, jambo ambalo hubadilisha onyo kuwa tabia.

Toa thamani upande wako

Kwa faili ya cheti, amri ni openssl x509 -in server.crt -noout -fingerprint -sha256. Digesti iliyo wazi ni muhimu: bila hiyo, matokeo yanategemea toleo lako la OpenSSL. Tokeo ni mfuatano wa heksi uliotenganishwa na kolon, kwa hiyo ondoa kolon na ugeuze pande zote mbili kuwa herufi ndogo kabla ya kulinganisha.

Kwa kitovu kinachozungumza TLS moja kwa moja, unganisha na usukume cheti nje kupitia bomba: openssl s_client -connect vpn.example.com:443 -servername vpn.example.com < /dev/null | openssl x509 -noout -fingerprint -sha256. Hii inafanya kazi kwa paneli ya usimamizi wa wavuti au kisikilizaji cha TLS, si kwa OpenVPN, ambacho chaneli yake ya udhibiti iko ndani ya handaki. Kwa OpenVPN, soma cheti kutoka wasifu kwenye diski badala ya kujaribu kukikamata kutoka soketi.

Ulinganishaji unapaswa kuwa wa kimashine. Sanifisha thamani zote mbili kwa tr -d ':' na kuunganisha herufi, kisha linganisha mfuatano wote. Kufanya kwa jicho ndiyo njia ambayo kiambishi awali kinacholingana huficha tofauti katika baiti ya mwisho. Ikiwa mifuatano inatofautiana, chukulia tofauti hiyo kuwa ya kweli kabla ya kutafuta maelezo.

Masharti ya kusimama

Simama ikiwa kitu kinatofautiana, kwa sababu alama ya kidole ya CA haiwezi kuondolea cheti cha jani hatia na jani haliwezi kuondolea CA hatia. Simama ikiwa algoriti inatofautiana, kwa sababu thamani ya SHA-1 ikilinganishwa na thamani ya SHA-256 haikwambii chochote. Simama ikiwa alama ya kidole inalingana lakini cheti kimeisha muda, kimefutwa au kimetolewa kwa jina lingine; hash inayolingana si ukaguzi wa uhalali na haitengenezi mnyororo uliovunjika. Pia simama ikiwa namba ya mfululizo hailingani na namba ya mfululizo katika rekodi unayolinganisha nayo, kwa sababu hiyo ndiyo njia ya bei nafuu ya kuona cheti kilichobadilishwa.

Simama ikiwa thamani mpya ilifika kupitia chaneli uliyokuwa ukijaribu. Mzunguko unaweza kubadilisha alama ya kidole kwa halali, lakini thamani mbadala bado lazima itokee kutoka mchakato unaoaminika, si kutoka kwenye kisanduku cha onyo kilichosababisha swali.

Simama ikiwa suluhisho linalopendekezwa ni kuzima uthibitishaji wa jina la mwenyeji au wa mnyororo. Alama ya kidole huongeza kizuizi kwenye ukaguzi wa kawaida; haibadilishi ukaguzi huo isipokuwa usambazaji umechagua kwa makusudi muundo wa pini pekee, na chaguo hilo lina gharama zake za uendeshaji.

Baada ya ulinganishaji

Rekodi ulicholinganisha, thamani inayotarajiwa ilikotoka, na lini. Ikiwa cheti kilitolewa upya, sasisha matarajio yaliyohifadhiwa kupitia chaneli ile ile inayoaminika na uandike namba mpya ya mfululizo, kwa sababu namba ya mfululizo ndiyo inayofanya mzunguko ujao ukagulike.

Kisha kuwa wazi kuhusu mipaka. Alama ya kidole huthibitisha kwamba cheti ulichonacho ndicho ambacho mtu alikuambia ukitarajie. Haizungumzi chochote kuhusu mwenyeji kutokuwa na udhaifu, na haizungumzi chochote kuhusu huduma kurekodi au kuweka kikomo kile cheti hicho kinachoweza kufikia.