ஒரே ca.crt கோப்பு பெயர், வேறு சான்றிதழ்: எதை ஒப்பிட வேண்டும்

இரண்டு சுயவிவரங்களும் ca.crt என்ற பெயரில் கோப்பைக் கொண்டு வருகின்றன, ஒரு சுரங்கப்பாதை ஏறுகிறது மற்றொன்று சங்கிலிப் பிழையுடன் தோல்வியடைகிறது. இரு கோப்புகளையும் பக்கத்துக்குப் பக்கம் திறப்பது இதை அரிதாகவே தீர்க்கிறது, சரிபார்ப்பை அணைப்பது அதைத் தவறான திசையில் தீர்க்கிறது. பிழை உண்மையில் கேட்கும் கேள்வி மிகவும் குறுகியது: ஒவ்வொரு செயல்முறையும் எந்தச் சான்றிதழைத் தன் நம்பிக்கை நங்கூரமாக ஏற்றுகிறது, அவை இரண்டும் ஒரே பொருளா? முதலில் அதற்குப் பதிலளித்தால் மீதமுள்ள பரிசோதனைக்கு திசை கிடைக்கும். கோப்புப் பெயர் ஒரு பொதி லேபிள், சுயவிவரத்தில் எழுதப்பட்ட பாதையும் அதிகாரமானது அல்ல, எனவே அனைத்தும் செயல்முறை உண்மையில் படிப்பதைப் பொறுத்தது.

வாடிக்கையாளர் உண்மையில் ஏற்றும் சான்றிதழைக் கண்டறியுங்கள்

OpenVPN அதிகாரத்தை இரண்டு வடிவங்களில் ஏற்கிறது, வடிவம் எந்த பைட்டுகள் முக்கியம் என்பதைத் தீர்மானிக்கிறது. ஒரு சுயவிவரம் ca மூலம் வெளிப்புறக் கோப்பைச் சுட்டலாம், அல்லது சான்றிதழை சுயவிவரத்தின் உள்ளேயே <ca> தொகுதியில் உட்பொதிக்கலாம். இரண்டும் இருந்தால், உட்பொதிக்கப்பட்ட தொகுதி வெல்லும், சுயவிவரத்திற்கு அடுத்துள்ள கோப்பு ஒருபோதும் திறக்கப்படாது.

தோல்வியடையும் சுயவிவரத்தைப் படித்து, எதையும் ஒப்பிடுவதற்கு முன் அது எந்த வடிவத்தைப் பயன்படுத்துகிறது என்பதைக் கண்டறியுங்கள். அடுத்தடுத்த கோப்பகத்தில் இருந்தோ அல்லது மற்ற சுயவிவரம் வந்த தொகுப்பில் இருந்தோ எடுக்கப்பட்ட நகல் இந்தச் செயல்முறை எதை நம்புகிறது என்பதைப் பற்றி உங்களுக்கு எதுவும் சொல்லாது. உள்ளமைவில் உள்ள பாதைக்கும் இதுவே பொருந்தும்: அது வாடிக்கையாளர் தொடங்கப்பட்ட இடத்தைப் பொறுத்து தீர்க்கப்படுகிறது, அது நீங்கள் பார்க்கும் கோப்பகமாக எப்போதும் இருக்காது. சுயவிவரத்தைப் படியுங்கள், கோப்புறையை அல்ல.

சான்றிதழ்கள் அவற்றின் உள்ளடக்கத்தால் அடையாளம் காணப்படுகின்றன: பொது விசை, பொருள் மற்றும் வெளியீட்டாளர், செல்லுபடியாகும் காலம், இவை அனைத்தின் மீதான கையொப்பம். ஒரே பைட்டுகளைக் கொண்ட இரு கோப்புகள் எந்தப் பெயரில் அழைக்கப்பட்டாலும் ஒரே சான்றிதழ், ஒரே பெயரைக் கொண்ட இரு கோப்புகள் தொடர்பில்லாத அதிகாரங்களாக இருக்கலாம். பெயர் ஒரு பொதி லேபிள், அடையாளம் அல்ல.

openssl மூலம் இரு நகல்களின் கைரேகையை எடுங்கள்

கைரேகை என்பது சான்றிதழின் DER குறியாக்கத்தின் மீதான ஹாஷ், கையொப்பம் உள்ளடக்கும் வடிவம், எனவே வரி முடிவுகளும் தலைப்பு உரையும் அதைப் பாதிக்க முடியாது. ஒவ்வொரு கோப்புக்கும் அதைக் கணக்கிடுங்கள், புள்ளியால் பிரிக்கப்பட்ட இரு ஹெக்ஸ் சரங்கள் கிடைக்கும், அவை பொருந்தலாம் அல்லது இல்லை. ஒப்பீட்டுக் கேள்விக்குப் பதிலளிக்க சான்றிதழில் வேறு எதையும் படிக்க வேண்டியதில்லை.

openssl x509 -in /etc/openvpn/office/ca.crt -noout -fingerprint -sha256
openssl x509 -in ~/profiles/lab-ca.pem -noout -fingerprint -sha256

openssl ஐ சுயவிவரத்திற்கே சுட்டுவது கவர்ச்சிகரமானது, ஆனால் அது கோப்பில் முதலில் தோன்றும் சான்றிதழ் தொகுதியைப் படிக்கிறது, சுயவிவரம் பொதுவாக <ca> க்கு முன் <cert> ஐக் கொண்டிருக்கும். அதிகாரத் தொகுதியைப் பிரித்தெடுத்து, பின்னர் பிரித்தெடுத்த கோப்பின் கைரேகையை எடுங்கள், ஏனெனில் வாடிக்கையாளர் உண்மையில் பயன்படுத்தும் நகல் அதுவே.

sed -n '/^<ca>$/,/^<\/ca>$/p' office.ovpn | sed '1d;$d' > /tmp/office-ca.pem
openssl x509 -in /tmp/office-ca.pem -noout -fingerprint -sha256

ஒரே மாதிரியான கைரேகைகள் என்பது நம்பிக்கைப் பொருள் ஒன்றே என்பதும் சங்கிலிப் பிழைக்கு வேறு காரணம் உள்ளது என்பதும், அது வேறு விசாரணை. வெவ்வேறு கைரேகைகள் என்பது வெவ்வேறு சான்றிதழ்கள், அடுத்த பகுதி அங்கிருந்து தொடங்குகிறது.

தாக்குதல் எனக் கருதும் முன் முரண்பாட்டைப் படியுங்கள்

வெவ்வேறு கைரேகைகள் என்பது வெவ்வேறு சான்றிதழ்கள் மட்டுமே. மறுவெளியீடு, சுழற்சி, பெயர் மாற்றப்பட்ட அதிகாரம் அல்லது காலாவதியான தொகுப்பு அனைத்தும் முழுவதும் சட்டபூர்வமான வரலாறுகளுடன் வெவ்வேறு கோப்புகளை உருவாக்குகின்றன. எது வரிசைப்படுத்தலுக்கு உரியது என்பது இயக்குபவருக்கோ அல்லது வரிசைப்படுத்தல் பதிவுக்கோ உள்ள கேள்வி, கோப்பின் மாற்ற நேரத்திற்கல்ல. காப்பகங்கள் நேர முத்திரைகளை நகலெடுக்கின்றன, எனவே புதிய கோப்பு தானாகவே சரியான நங்கூரம் அல்ல.

தன்னைத்தானே கையொப்பமிடும் வேர் இயல்பானது, எனவே ஒன்றைக் கண்டறிவது சிக்கலுக்கான ஆதாரம் அல்ல. சரிபார்ப்பவரின் பணி சேவையக சான்றிதழிலிருந்து தனக்கு வழங்கப்பட்ட நங்கூரம் வரை பாதையை உருவாக்குவது, சங்கிலிப் பிழை பொதுவாக அந்தப் பாதையை முடிக்க முடியவில்லை என்பதைக் குறிக்கிறது.

தோல்வியடையும் சுயவிவரத்தின் நங்கூரம் வரிசைப்படுத்தல் இன்னும் வழங்கும் அதிகாரமா எனச் சரிபார்க்கவும். கைரேகை வரிசைப்படுத்தல் பதிவில் எதனுடனும் பொருந்தவில்லை என்றால், சுயவிவரம் வெறுமனே காலாவதியானது, வாடிக்கையாளர் பக்கத்தின் எந்தச் சீரமைப்பும் அதைச் சரிசெய்யாது.

சரிபார்ப்பை அணைக்காமல் நம்பிக்கையைச் சரிசெய்யுங்கள்

குறுகிய காலத் தீர்வு சரிபார்ப்பை அணைப்பது அல்லது சங்கிலியில் உள்ள ஒவ்வொரு சான்றிதழையும் நங்கூரமாகச் சேர்ப்பது. இரண்டும் செய்தியை மறையச் செய்கின்றன, இரண்டும் இனி வாடிக்கையாளர் எந்தச் சேவையகங்களை ஏற்கும் என்பதை மாற்றுகின்றன. சரிபார்ப்பை மீண்டும் இயக்கி, நோக்கம் கொண்ட நங்கூரத்தை நிறுவி, மீண்டும் சோதிக்கவும்.

சங்கிலி இப்போது கட்டப்பட்டாலும் வேறு பிழை தோன்றினால், அது முன்னேற்றம்: பெயர் சரிபார்ப்பு, செல்லுபடியாகும் தேதிகள் மற்றும் ரத்து செய்தல் ஆகியவை தனித்தனி செய்திகளுடன் தனித்தனி சோதனைகள். கைரேகை ஜோடியையும் அசல் பிழை உரையையும் டிக்கெட்டில் ஒன்றாக வைத்திருங்கள், அடுத்த நபர் எந்த நங்கூரம் ஏற்றப்பட்டது, எது எதிர்பார்க்கப்பட்டது என்பதைக் காணலாம். ஒரு ஜோடி கைரேகை ஒப்படைப்புக் குறிப்பில் ஒட்டக்கூடிய அளவுக்குச் சிறியது, அடுத்த நிகழ்வு அப்போது பிற்பகலுக்குப் பதிலாக ஐந்து நிமிடம் எடுக்கும்.

சரியான அதிகாரத்தை சுயவிவரத்தை வழங்கிய அதே அங்கீகரிக்கப்பட்ட சேனல் வழியாகப் பெறுங்கள். அதன் பொருள் பரிச்சயமானதாகத் தெரிவதால் சேவையகத்திலிருந்து சான்றிதழை இழுப்பது வேறு செயல், அது வாடிக்கையாளர் நம்பப்போவதை அமைதியாக விரிவாக்குகிறது.