అదే ca.crt ఫైల్ పేరు, వేరే సర్టిఫికెట్: ఏమి పోల్చాలి

రెండు ప్రొఫైళ్లు ca.crt అనే పేరుతో ఫైల్ను తీసుకువస్తాయి, ఒక టన్నెల్ పైకి వస్తుంది మరియు మరొకటి గొలుసు లోపంతో విఫలమవుతుంది. రెండు ఫైళ్లను పక్కపక్కన తెరవడం దీన్ని అరుదుగా పరిష్కరిస్తుంది, మరియు ధృవీకరణను ఆపివేయడం దాన్ని తప్పు దిశలో పరిష్కరిస్తుంది. లోపం నిజంగా అడిగే ప్రశ్న మరింత సన్నగా ఉంటుంది: ప్రతి ప్రక్రియ ఏ సర్టిఫికెట్ను తన నమ్మకం యాంకర్గా లోడ్ చేస్తుంది, మరియు అవి రెండూ ఒకే వస్తువా? మొదట దానికి సమాధానం చెప్పండి, మిగిలిన నిర్ధారణకు దిశ లభిస్తుంది. ఫైల్ పేరు ప్యాకేజింగ్ లేబుల్, మరియు ప్రొఫైల్లో రాసిన మార్గం కూడా అధికారికం కాదు, కాబట్టి ప్రక్రియ నిజంగా ఏమి చదువుతుందనే దానిపై అంతా ఆధారపడి ఉంటుంది.

క్లయింట్ నిజంగా లోడ్ చేసే సర్టిఫికెట్ను కనుగొనండి

OpenVPN అధికారాన్ని రెండు రూపాల్లో అంగీకరిస్తుంది, మరియు రూపం ఏ బైట్లు ముఖ్యమో నిర్ణయిస్తుంది. ప్రొఫైల్ ca తో బాహ్య ఫైల్ను సూచించవచ్చు, లేదా సర్టిఫికెట్ను ప్రొఫైల్ లోపలి <ca> బ్లాక్లో పొందుపరచవచ్చు. రెండూ ఉన్నప్పుడు పొందుపరచిన బ్లాక్ గెలుస్తుంది, ప్రొఫైల్ పక్కన ఉన్న ఫైల్ ఎప్పటికీ తెరవబడదు.

విఫలమవుతున్న ప్రొఫైల్ను చదివి, ఏదైనా పోల్చడానికి ముందు అది ఏ రూపాన్ని ఉపయోగిస్తుందో కనుగొనండి. పొరుగు డైరెక్టరీ నుండి లేదా మరొక ప్రొఫైల్ వచ్చిన ప్యాకేజీ నుండి తీసుకున్న కాపీ ఈ ప్రక్రియ ఏమి నమ్ముతుందనే దాని గురించి మీకు ఏమీ చెప్పదు. కాన్ఫిగరేషన్లోని మార్గానికి కూడా ఇదే వర్తిస్తుంది: అది క్లయింట్ ప్రారంభమైన స్థలానికి సాపేక్షంగా పరిష్కరించబడుతుంది, అది మీరు చూస్తున్న డైరెక్టరీ ఎప్పుడూ కాదు. ప్రొఫైల్ను చదవండి, ఫోల్డర్ను కాదు.

సర్టిఫికెట్లు వాటి కంటెంట్ ద్వారా గుర్తించబడతాయి: పబ్లిక్ కీ, సబ్జెక్ట్ మరియు జారీచేసినవారు, చెల్లుబాటు వ్యవధి మరియు వాటన్నింటిపై సంతకం. ఒకే బైట్లు ఉన్న రెండు ఫైళ్లు ఏ పేరుతో పిలిచినా ఒకే సర్టిఫికెట్, ఒకే పేరు ఉన్న రెండు ఫైళ్లు సంబంధం లేని అధికారాలు కావచ్చు. పేరు ప్యాకేజింగ్ లేబుల్, గుర్తింపు కాదు.

openssl తో రెండు కాపీల వేలిముద్ర తీసుకోండి

వేలిముద్ర అనేది సర్టిఫికెట్ DER ఎన్కోడింగ్పై ఒక హాష్, సంతకం కవర్ చేసే రూపం, కాబట్టి పంక్తి ముగింపులు మరియు హెడర్ టెక్స్ట్ దాన్ని ప్రభావితం చేయలేవు. ప్రతి ఫైల్కు దాన్ని లెక్కించండి, కోలన్తో వేరు చేయబడిన రెండు హెక్స్ స్ట్రింగ్లు లభిస్తాయి, అవి సరిపోతాయి లేదా లేదు. పోలిక ప్రశ్నకు సమాధానం చెప్పడానికి సర్టిఫికెట్లో మరేమీ చదవాల్సిన అవసరం లేదు.

openssl x509 -in /etc/openvpn/office/ca.crt -noout -fingerprint -sha256
openssl x509 -in ~/profiles/lab-ca.pem -noout -fingerprint -sha256

openssl ను ప్రొఫైల్కే సూచించడం ఆకర్షణీయం, కానీ అది ఫైల్లో మొదట కనిపించే సర్టిఫికెట్ బ్లాక్ను చదువుతుంది, మరియు ప్రొఫైల్ సాధారణంగా <ca> కంటే ముందు <cert> కలిగి ఉంటుంది. అధికార బ్లాక్ను సంగ్రహించి, తర్వాత సంగ్రహించిన ఫైల్ వేలిముద్ర తీసుకోండి, ఎందుకంటే క్లయింట్ నిజంగా ఉపయోగించే కాపీ అదే.

sed -n '/^<ca>$/,/^<\/ca>$/p' office.ovpn | sed '1d;$d' > /tmp/office-ca.pem
openssl x509 -in /tmp/office-ca.pem -noout -fingerprint -sha256

సమానమైన వేలిముద్రలు అంటే నమ్మక పదార్థం ఒకటే మరియు గొలుసు లోపానికి వేరే కారణం ఉంది, అది వేరే దర్యాప్తు. వేర్వేరు వేలిముద్రలు అంటే వేర్వేరు సర్టిఫికెట్లు, తదుపరి విభాగం అక్కడి నుండి ప్రారంభమవుతుంది.

దాడిని ఊహించే ముందు అసమానతను చదవండి

వేర్వేరు వేలిముద్రలు అంటే వేర్వేరు సర్టిఫికెట్లు మాత్రమే. పునర్విడుదల, భ్రమణం, పేరు మార్చిన అధికారం లేదా పాత బండిల్ అన్నీ పూర్తిగా చట్టబద్ధమైన చరిత్రలతో వేర్వేరు ఫైళ్లను ఉత్పత్తి చేస్తాయి. ఏది అమలులో ఉంది అనేది ఆపరేటర్కు లేదా అమలు రికార్డుకు ఉన్న ప్రశ్న, ఫైల్ మార్పు సమయానికి కాదు. ఆర్కైవ్లు టైమ్స్ట్యాంప్లను కాపీ చేస్తాయి, కాబట్టి కొత్త ఫైల్ స్వయంచాలకంగా సరైన యాంకర్ కాదు.

తనను తాను సంతకం చేసుకునే మూలం సాధారణం, కాబట్టి ఒకటి కనుగొనడం సమస్యకు రుజువు కాదు. ధృవీకర్త పని సర్వర్ సర్టిఫికెట్ నుండి తనకు ఇచ్చిన యాంకర్ వరకు మార్గాన్ని నిర్మించడం, మరియు గొలుసు లోపం సాధారణంగా ఆ మార్గాన్ని పూర్తి చేయలేకపోయామని అర్థం.

విఫలమవుతున్న ప్రొఫైల్ యాంకర్ అమలు ఇంకా జారీ చేసే అధికారమా అని తనిఖీ చేయండి. వేలిముద్ర అమలు రికార్డులో ఏదానితోా సరిపోకపోతే, ప్రొఫైల్ కేవలం పాతది, మరియు క్లయింట్ వైపు ఏ ట్యూనింగ్ దాన్ని సరిచేయదు.

ధృవీకరణను ఆపకుండా నమ్మకాన్ని సరిచేయండి

స్వల్పకాలిక పరిష్కారం ధృవీకరణను ఆపివేయడం లేదా గొలుసులోని ప్రతి సర్టిఫికెట్ను యాంకర్గా జోడించడం. రెండూ సందేశాన్ని అదృశ్యం చేస్తాయి, రెండూ ఇకపై క్లయింట్ ఏ సర్వర్లను అంగీకరిస్తుందో మారుస్తాయి. ధృవీకరణను మళ్లీ ఆన్ చేయండి, ఉద్దేశించిన యాంకర్ను ఇన్స్టాల్ చేసి మళ్లీ పరీక్షించండి.

గొలుసు ఇప్పుడు నిర్మించబడి ఉండి వేరే లోపం కనిపిస్తే, అది పురోగతి: పేరు ధృవీకరణ, చెల్లుబాటు తేదీలు మరియు రద్దు వేర్వేరు సందేశాలతో వేర్వేరు తనిఖీలు. వేలిముద్ర జంటను మరియు అసలు లోపం టెక్స్ట్ను టికెట్లో కలిసి ఉంచండి, తదుపరి వ్యక్తి ఏ యాంకర్ లోడ్ అయింది మరియు ఏది ఆశించబడింది చూడగలరు. ఒక జంట వేలిముద్రలు హ్యాండ్ఓవర్ నోట్లో అతికించగలిగేంత చిన్నవి, తదుపరి సంఘటన అప్పుడు మధ్యాహ్నం బదులు ఐదు నిమిషాలు పడుతుంది.

సరైన అధికారాన్ని ప్రొఫైల్ను అందించిన అదే ప్రామాణీకృత ఛానెల్ ద్వారా పొందండి. దాని సబ్జెక్ట్ పరిచితంగా కనిపిస్తుందనే కారణంతో సర్వర్ నుండి సర్టిఫికెట్ను లాగడం వేరే చర్య, అది క్లయింట్ నమ్మే దాన్ని నిశ్శబ్దంగా విస్తరిస్తుంది.