விசையை வெளியிடாமல் VPN சான்றிதழை ஆய்வு செய்தல்

சான்றிதழின் பொது புலங்களைப் படிப்பதற்கு அதனுடன் பொருந்தும் தனிப்பட்ட விசையைக் காட்ட வேண்டிய அவசியமே இல்லை; அதற்கான கருவிகள் VPN-ஐ முடிக்கும் ஒவ்வொரு அமைப்பிலும் இணைந்தே வருகின்றன. ஆபத்து ஒரு படி முன்னரே உள்ளது: உங்களிடம் கொடுக்கப்பட்ட கோப்பு சான்றிதழாகவே இல்லாமல் இருக்கலாம். PEM சான்றிதழ், DER பைனரி, PKCS#12 தொகுப்பு, OpenVPN சுயவிவரம் ஆகியவை ஒரே பெயருடன் வந்து முற்றிலும் வேறுபட்ட பொருளைக் கொண்டிருக்கலாம்; எனவே கட்டளையைத் தேர்ந்தெடுப்பதற்கு முன் கொள்கலனை அடையாளம் காணுங்கள்.

எந்தக் கட்டளை பாதுகாப்பானது என்பதை மூன்று உண்மைகள் தீர்மானிக்கின்றன: கோப்பில் என்ன உள்ளது, அதிலிருந்து நீங்கள் என்ன படிக்க வேண்டும், வெளியீட்டை யார் பார்ப்பார்கள். இவற்றில் ஒன்றைத் தவறாகக் கணித்தாலே ஆய்வே சம்பவமாக மாறும்.

உங்களிடம் வந்தது மூன்று கோப்புகளில் எது

PEM சான்றிதழ் என்பது தெளிவாகத் தெரியும் BEGIN, END குறியீடுகளைக் கொண்ட உரை; DER கோப்பு என்பது உள்ளீட்டு வடிவக் குறியீடு தேவைப்படும் பைனரி; தொகுப்பு என்பது சான்றிதழுடன் சேர்த்து விசையையும் கொண்டிருக்கக்கூடிய கொள்கலன். file server.crt உரையையும் பைனரியையும் ஒரு வினாடியில் பிரித்துக் காட்டும்; முதல் வரியில் ஒரு பார்வை வெறும் சான்றிதழையும் அதை உள்ளடக்கிய சுயவிவரத்தையும் வேறுபடுத்தும். இங்கே ஊகிப்பதுதான் ஆய்வை ஒரு சம்பவமாக மாற்றுகிறது.

கோப்பு சான்றிதழாக இல்லாமல் சுயவிவரமாக இருந்தால், உறுதியாகும் வரை அதை ஒரு சான்றுக் குறியாகக் கருதுங்கள். இந்த அனுமானம் எதையும் இழக்கச் செய்யாது; இந்தப் பணியில் மிகவும் பொதுவான தவறை அது தடுக்கிறது.

PEM சான்றிதழின் பொது புலங்களைப் படித்தல்

ஆய்வு செய்ய அனுமதி பெற்ற சான்றிதழுக்கு, -noout உடன் x509 துணைக் கட்டளை நீங்கள் தேர்ந்தெடுத்த புலங்களை மட்டுமே அச்சிடும். உடலை அடக்குவதுதான் வெளியீட்டை மெட்டாடேட்டாவாக வைத்திருக்கிறது, அதுவே அதை ஒரு டிக்கெட்டில் ஒட்டுவதற்குப் பாதுகாப்பாக்குகிறது. கீழே உள்ள தேர்வுகள் பொது வடிவானவை; மற்றவற்றை openssl x509 ஆவணம் பட்டியலிடுகிறது.

openssl x509 -in server.crt -noout -subject -issuer -dates -fingerprint -sha256

உள்ளூரில் உருவாக்கப்பட்ட சோதனைச் சான்றிதழில் அந்தக் கட்டளை subject, issuer வரி, notBefore–notAfter இணை, ஒரு SHA-256 நகல் எண் ஆகியவற்றை அச்சிடும். அந்தப் புலங்கள் பொருளை அடையாளம் காட்டுகின்றன; செல்லுபடியாகும் நம்பிக்கைப் பாதையை அவை நிறுவாது, அது தனிக் கட்டளையும் தனிப் பதிலும் கொண்ட தனி சரிபார்ப்புப் பணி. நீங்களே கோப்பில் சுற்றி வராத வரை ஒரு சங்கிலிக் கோப்பு முதல் சான்றிதழை மட்டுமே அச்சிடக்கூடும். இப்படி இரு கோப்புகளை ஒப்பிட ஒரு கட்டளை போதும்; எதைச் சகாவரம் உண்மையில் அளிக்கிறது என்பதை அது தீர்மானிக்கும்.

சான்றிதழுக்கு அருகில் விசையைக் கொண்ட தொகுப்புகள்

.p12 அல்லது .pfx கோப்பு தனிப்பட்ட விசையைக் கொண்டிருக்கலாம்; வெளியீட்டின் அந்தப் பகுதியை அடக்காத வரை பிரிக்கும் கட்டளை அதை அச்சிடும். -nokeys உடன் அதே கட்டளை, மறைக்கப்பட்ட விசைப் பையை உள்ளடக்கிய கொள்கலன் அமைப்பையே தெரிவிக்கும், எந்த விசைப் பொருளையும் வெளியிடாது; அந்தக் குறியீட்டை நீக்கினால் உங்கள் முனையிலும் ஷெல் வரலாற்றிலும் ஒரு விசைத் தொகுதி தோன்றும்.

openssl pkcs12 -in bundle.p12 -nokeys -info -passin env:P12PASS

OpenVPN சுயவிவரம் அதே பொருளை உரையாகவே உள்ளடக்குகிறது; எனவே எங்கே பார்ப்பது என்று தெரிந்தால் எல்லை தெளிவாகத் தெரியும். பொது பொருள் BEGIN CERTIFICATE, END CERTIFICATE ஆகியவற்றுக்கு இடையே உள்ளது; BEGIN PRIVATE KEY க்கும் அதற்கு இணையான END வரிக்கும் இடையில் உள்ளது விசை, அது ஹோஸ்ட்டை விட்டு வெளியேறக்கூடாது. சுயவிவரத்தை முழுமையாக நகலெடுப்பது இரண்டையும் வெளியிடும்.

குறிப்பு மதிப்பை வேறு எங்கிருந்து பெறுவது

நீங்கள் சரிபார்க்க முயலும் இணைப்பிலிருந்து படித்த நகல் எண் எதையும் நிரூபிக்காது, ஏனெனில் நீங்கள் நம்பாத தரப்பே அதை வழங்கியது. இது நகல் எண்களுக்கு எதிரான வாதம் அல்ல; மூலத்தைப் பற்றிய வாதம். சகாவரம் எழுத முடியாத ஒரு வழிமுறையில் பெற்ற மதிப்புடன் அதை ஒப்பிடுங்கள், உள் களஞ்சியத்தில் வெளியிடப்பட்ட சான்றிதழ் அல்லது கையொப்பமிட்ட மாற்றப் பதிவில் அச்சிடப்பட்ட ஹாஷ் போன்றது.

நம்பிக்கைக் களஞ்சியம் சரிபார்ப்பைச் செய்யும் இடத்தில் அதைச் செய்ய விடுங்கள்; உங்கள் சொந்த ஒப்பீட்டைப் புகுத்தாமல் அது தரும் பிழையைப் படியுங்கள். முக்கியமான வேறுபாடு யார் குறிப்பை வழங்கினார் என்பதில் உள்ளது, எந்த ஹாஷ் செயல்பாடு பயன்படுத்தப்பட்டது என்பதில் அல்ல.

முடிவைப் பகிர்தல், தவறு நேர்ந்த பின் என்ன செய்வது

சரிபார்ப்புப் பிழையை அப்படியே, தொடர்புடைய தேதிகளை, பெறுநருக்குத் தேவையான அடையாள விவரங்களை மட்டும் அனுப்புங்கள். விசை இல்லாவிட்டாலும் உள் ஹோஸ்ட் பெயர்களும் கணக்கு அடையாளங்களும் முக்கியமானவை; எதற்கும் பொது ஒட்டும் சேவை சரியான இடம் அல்ல. வேறொருவர் பங்கிடும் தற்காலிக இடத்தில் அல்ல, டிக்கெட்டிலேயே ஒட்டுங்கள்.

விசைப் பொருள் திரையிலோ கோப்பிலோ தோன்றியிருந்தால், யாரும் பார்க்கவில்லை என்று நம்பாமல் அதைப் பாதிக்கப்பட்டதாகக் கருதி மாற்றுங்கள். பிறகு ஆய்வு செய்த கோப்பு, பயன்படுத்திய கட்டளை, வெளியீடு எங்கே சென்றது ஆகியவற்றை எழுதி வையுங்கள், ஏனெனில் அந்தப் பதிவே பயத்தை ஒரு நடைமுறையாக மாற்றுகிறது. யாரும் திரைப்பிடிப்பு வைத்திருக்கவில்லை என்று அனுமானிப்பதன் விலையை விட மாற்றம் மலிவானது; அதே பதிவு அடுத்த பொறியாளருக்கு எந்தக் கோப்புகள் தொடப்பட்டன என்பதைச் சொல்லும். டிக்கெட் மூடப்படும் முன் இரண்டையும் செய்யுங்கள்.