VPN సర్టిఫికెట్ వేలిముద్రను ప్రత్యేక ఛానెల్ ద్వారా ఎలా ధృవీకరించాలి
ఆశించిన విలువ దాడి చేసేవారు నియంత్రించని ఛానెల్ ద్వారా వచ్చినప్పుడే వేలిముద్ర గుర్తింపును నిరూపిస్తుంది. తనిఖీని ఈ క్రమంలో చేయండి.
ఏమి ఆశించాలో చెప్పిన ఛానెల్ ఎంత నమ్మదగినదో, వేలిముద్ర కూడా అంతే నమ్మదగినది. మీరు పరీక్షిస్తున్న అదే కనెక్షన్ ద్వారా పోల్చే విలువ వచ్చి ఉంటే, ఆ కనెక్షన్‌ను నియంత్రించే పక్షం స్థిరంగా ఉందని తప్ప ఆ పోలిక మరేదీ నిరూపించదు. తనిఖీ ఒక నిర్దిష్ట క్రమంలో జరగాలి, మరియు విఫలమైన దశ మిమ్మల్ని తదుపరి దశకు నెట్టడం బదులు ఆపాలి. VPN క్లయింట్ సర్టిఫికెట్ మారిందని నివేదించినప్పుడు నేను ఉపయోగించే క్రమం ఇది.
విలువకు పేరు పెట్టే ముందు వస్తువుకు పేరు పెట్టండి
ఆశించిన విలువ సర్వర్ ఆకు సర్టిఫికెట్‌కు చెందుతుందా, దాన్ని జారీ చేసిన CAకు చెందుతుందా, లేక ఆకు లోపలి బహిరంగ కీకి చెందుతుందా అని నిర్ణయించండి. ఇవి మూడు వేర్వేరు తనిఖీలు, అవి వేర్వేరు విధాలుగా విఫలమవుతాయి. సరిపోలే CA వేలిముద్ర సర్వర్‌ను పిన్ చేయదు, మరియు బహిరంగ కీ హాష్ అదే కీని నిలుపుకునే పునఃజారీని ఉద్దేశపూర్వకంగా దాటుతుంది.
అల్గారిథమ్‌ను కూడా రాసుకోండి. SHA-256 ఇప్పుడు సాధారణ ఆశ, కానీ పాత సాధనాలు వేరే ఏదీ అడగకపోతే SHA-1 ముద్రించేవి, మరియు 40 అక్షరాల హెక్స్ విలువ మీరు రెండు వేర్వేరు విషయాలను పోల్చబోతున్నారని సూచన.
ఆశించిన విలువను రెండో ఛానెల్ ద్వారా పొందండి
రెండో ఛానెల్ మీరు జాగ్రత్తపడుతున్న పక్షం రాయలేని ఛానెల్‌గా ఉండాలి. మీరు ఇప్పటికే ధృవీకరించే ప్రొవిజనింగ్ వ్యవస్థ, లాకర్‌లో ఉంచిన ముద్రిత రికార్డు, కాన్ఫిగరేషన్ డేటాబేస్, లేదా మరో ప్రక్రియ అందించే సంతకం చేసిన పత్రం, అన్నీ సరిపోతాయి. సహోద్యోగి చాట్ సందేశం, శోధన ఫలితం ద్వారా చేరుకున్న సహాయ పేజీ, మరియు మీరు ఇప్పటికే డీబగ్ చేస్తున్న టెర్మినల్‌లో అతికించిన ఏదైనా సరిపోదు.
పూర్తి విలువ మరియు అల్గారిథమ్‌ను అడగండి, ఎప్పుడూ ఉపసర్గను కాదు. కోలన్‌లు మరియు పెద్ద లేదా చిన్న అక్షరాలు పట్టించుకోవు, కానీ కత్తిరింపు 256-బిట్ తనిఖీని ఊహల ఆటగా మారుస్తుంది.
స్వతంత్ర మూలం నుండి ఆశించిన విలువను ఎవరూ ఇవ్వలేకపోతే, నిజాయితీగల ఫలితం ఈ సర్టిఫికెట్‌ను ఈరోజు ధృవీకరించలేము అనేది. అలా చెప్పడం క్లయింట్ ఇప్పుడే చూపించినదాన్ని పిన్ చేయడం కంటే మంచిది, ఎందుకంటే అది హెచ్చరికను అలవాటుగా మారుస్తుంది.
విలువను మీ వైపు సంగ్రహించండి
సర్టిఫికెట్ ఫైల్ కోసం ఆదేశం openssl x509 -in server.crt -noout -fingerprint -sha256. స్పష్టమైన డైజెస్ట్ ముఖ్యం: అది లేకుండా అవుట్‌పుట్ మీ OpenSSL సంస్కరణపై ఆధారపడుతుంది. ఫలితం కోలన్‌లతో వేరు చేసిన హెక్స్ స్ట్రింగ్, కాబట్టి కోలన్‌లను తీసేసి పోల్చే ముందు రెండు వైపులా చిన్న అక్షరాలుగా మార్చండి.
TLSను నేరుగా మాట్లాడే చివరి బిందువు కోసం, కనెక్ట్ అయి సర్టిఫికెట్‌ను గొట్టం ద్వారా బయటకు తీయండి: openssl s_client -connect vpn.example.com:443 -servername vpn.example.com < /dev/null | openssl x509 -noout -fingerprint -sha256. ఇది వెబ్ నిర్వాహక ప్యానెల్ లేదా TLS శ్రోతకు పని చేస్తుంది, నియంత్రణ ఛానెల్ సొరంగం లోపల ఉన్న OpenVPN కు పని చేయదు. OpenVPN కోసం, సాకెట్ నుండి పట్టుకోవడానికి ప్రయత్నించడం బదులు డిస్క్‌లోని ప్రొఫైల్ నుండి సర్టిఫికెట్ చదవండి.
పోలిక యాంత్రికంగా ఉండాలి. tr -d ':' మరియు అక్షర ఏకీకరణతో రెండు విలువలను సాధారణీకరించి, తర్వాత మొత్తం స్ట్రింగ్‌ను పోల్చండి. కంటితో పోల్చడం అంటే సరిపోలే ఉపసర్గ చివరి బైట్ తేడాను దాచే మార్గం. స్ట్రింగ్‌లు భిన్నంగా ఉంటే, వివరణ వెతకడానికి ముందు తేడాను నిజమైనదిగా పరిగణించండి.
ఆపే షరతులు
వస్తువు భిన్నంగా ఉంటే ఆపండి, ఎందుకంటే CA వేలిముద్ర ఆకు సర్టిఫికెట్‌ను నిర్దోషం చేయలేదు, ఆకు CAను చేయలేదు. అల్గారిథమ్ భిన్నంగా ఉంటే ఆపండి, ఎందుకంటే SHA-1 విలువను SHA-256 విలువతో పోల్చడం ఏమీ చెప్పదు. వేలిముద్ర సరిపోలినా సర్టిఫికెట్ గడువు ముగిసి, రద్దు చేయబడి లేదా వేరే పేరుకు జారీ చేయబడి ఉంటే ఆపండి; సరిపోలే హాష్ చెల్లుబాటు తనిఖీ కాదు, విరిగిన గొలుసును బాగు చేయదు. మీరు పరిశీలించే రికార్డులోని క్రమ సంఖ్యతో క్రమ సంఖ్య సరిపోలకపోయినా ఆపండి, ఎందుకంటే భర్తీ చేయబడిన సర్టిఫికెట్‌ను గుర్తించే చవకైన మార్గం అదే.
కొత్త విలువ మీరు పరీక్షిస్తున్న ఛానెల్ ద్వారా వచ్చి ఉంటే ఆపండి. భ్రమణం వేలిముద్రను చట్టబద్ధంగా మార్చగలదు, కానీ ప్రత్యామ్నాయ విలువ ఇప్పటికీ నమ్మదగిన ప్రక్రియ నుండే రావాలి, ప్రశ్న లేవనెత్తిన హెచ్చరిక సంభాషణ నుండి కాదు.
సూచించిన సవరణ హోస్ట్‌నామ్ లేదా గొలుసు ధృవీకరణను ఆఫ్ చేయడం అయితే ఆపండి. వేలిముద్ర సాధారణ తనిఖీలకు ఒక పరిమితిని జోడిస్తుంది; అమలు ఉద్దేశపూర్వకంగా పిన్-మాత్రమే నమూనాను ఎంచుకోకపోతే అది వాటిని భర్తీ చేయదు, ఆ ఎంపికకు దాని స్వంత నిర్వహణ ఖర్చులు ఉంటాయి.
పోలిక తర్వాత
మీరు ఏమి పోల్చారు, ఆశించిన విలువ ఎక్కడి నుండి వచ్చింది, ఎప్పుడు అనేది నమోదు చేయండి. సర్టిఫికెట్ పునఃజారీ అయి ఉంటే, నిల్వ చేసిన ఆశను అదే నమ్మదగిన ఛానెల్ ద్వారా నవీకరించి కొత్త క్రమ సంఖ్యను గుర్తించండి, ఎందుకంటే తదుపరి భ్రమణాన్ని లెక్కపరిశీలనకు లోబడేలా చేసేది ఆ క్రమ సంఖ్యే.
తర్వాత పరిమితుల గురించి స్పష్టంగా ఉండండి. మీ వద్ద ఉన్న సర్టిఫికెట్, ఎవరో మీరు ఆశించాలని చెప్పినదే అని వేలిముద్ర నిర్ధారిస్తుంది. హోస్ట్ దెబ్బతినలేదనే విషయంపై ఏమీ చెప్పదు, మరియు ఈ సర్టిఫికెట్ ఎంతవరకు చేరగలదో సేవ నమోదు చేస్తుందా లేదా పరిమితం చేస్తుందా అనే దానిపై కూడా ఏమీ చెప్పదు.