Paano i-verify ang fingerprint ng sertipiko ng VPN sa hiwalay na channel

Ang fingerprint ay kasing-buti lamang ng channel na nagsabi sa iyo kung ano ang dapat asahan. Kung ang halaga na ihinahambing mo ay dumating sa parehong koneksyon na sinusuri mo, wala itong pinapatunayan liban sa katotohanang ang kumokontrol sa koneksyong iyon ay pare-pareho. Ang pagsusuri ay dapat tumakbo sa takdang pagkakasunod-sunod, at ang nabigong hakbang ay dapat pumigil sa iyo sa halip na itulak ka sa susunod. Ito ang pagkakasunod-sunod na ginagamit ko kapag nag-uulat ang isang kliyente ng VPN na nagbago ang isang sertipiko.

Pangalanan ang bagay bago pangalanan ang halaga

Magpasya kung ang inaasahang halaga ay para sa dahon na sertipiko ng server, sa CA na naglabas nito, o sa pampublikong susi sa loob ng dahon. Tatlong magkaibang pagsusuri ito, at nabibigo sila sa magkaibang paraan. Ang tugmang fingerprint ng CA ay hindi nagpi-pin sa server, at ang hash ng pampublikong susi ay sadyang lumalampas sa muling paglabas na nagpapanatili ng parehong susi.

Itala rin ang algorithm. Ang SHA-256 ang normal na inaasahan ngayon, ngunit ang mas lumang mga tool ay naglilimbag ng SHA-1 maliban kung humingi ka ng iba, at ang hex na halaga na 40 character ay senyales na malapit mo nang ihambing ang dalawang magkaibang bagay.

Kunin ang inaasahang halaga sa pamamagitan ng ikalawang channel

Ang ikalawang channel ay dapat isa na hindi masusulatan ng partidong iyong pinoprotektahan ang sarili. Ang sistema ng provisioning na pinapatotohanan mo na, isang nakalimbag na tala sa vault, isang database ng configuration, o isang pinirmahang dokumento na inihatid ng ibang proseso, lahat ay karapat-dapat. Ang chat message mula sa katrabaho, isang pahina ng suporta na naabot sa resulta ng paghahanap, at anumang idinikit sa terminal na ini-debug mo na, ay hindi karapat-dapat.

Humingi ng buong halaga at algorithm, huwag kailanman ng prefix. Ang mga tutuldok at malaki o maliit na titik ay hindi mahalaga, ngunit ang pagputol ay ginagawang hulaan ang isang pagsusuri na 256 bit.

Kung walang makakagawa ng inaasahang halaga mula sa malayang pinagmulan, ang tapat na resulta ay hindi ma-verify ang sertipikong ito ngayon. Ang sabihin iyon ay mas mabuti kaysa i-pin ang ipinakita lang ng kliyente, na ginagawang ugali ang isang babala.

Kunin ang halaga sa iyong panig

Para sa file ng sertipiko, ang utos ay openssl x509 -in server.crt -noout -fingerprint -sha256. Mahalaga ang tahasang digest: kung wala ito, ang output ay nakasalalay sa iyong bersyon ng OpenSSL. Ang resulta ay hex string na pinaghihiwalay ng tutuldok, kaya alisin ang mga tutuldok at gawing maliit na titik ang magkabilang panig bago ihambing.

Para sa endpoint na direktang nagsasalita ng TLS, kumonekta at ilabas ang sertipiko sa pipe: openssl s_client -connect vpn.example.com:443 -servername vpn.example.com < /dev/null | openssl x509 -noout -fingerprint -sha256. Gumagana ito para sa web admin panel o TLS listener, hindi para sa OpenVPN, na ang control channel ay nasa loob ng tunnel. Para sa OpenVPN, basahin ang sertipiko mula sa profile sa disk sa halip na subukang hulihin ito mula sa socket.

Dapat mekanikal ang paghahambing. Gawing normal ang dalawang halaga gamit ang tr -d ':' at pagpapantay ng titik, pagkatapos ihambing ang buong string. Ang paggawa nito sa mata ang paraan kung paano itinatago ng tugmang prefix ang pagkakaiba sa huling byte. Kung magkaiba ang mga string, ituring na totoo ang pagkakaiba bago ka maghanap ng paliwanag.

Mga kondisyon ng paghinto

Huminto kung magkaiba ang bagay, dahil hindi kayang linisin ng fingerprint ng CA ang isang dahon na sertipiko at hindi kayang linisin ng dahon ang CA. Huminto kung magkaiba ang algorithm, dahil ang halagang SHA-1 kumpara sa halagang SHA-256 ay walang sinasabi sa iyo. Huminto kung tugma ang fingerprint ngunit ang sertipiko ay nag-expire, binawi, o inilabas para sa ibang pangalan; ang tugmang hash ay hindi pagsusuri ng bisa at hindi nag-aayos ng sirang chain. Huminto rin kung hindi tugma ang serial number sa serial number sa talang pinaghahambingan mo, dahil iyon ang pinakamurang paraan upang mapansin ang pinalitang sertipiko.

Huminto kung ang bagong halaga ay dumating sa channel na sinusuri mo. Ang rotasyon ay legal na makakapagbago ng fingerprint, ngunit ang kapalit na halaga ay kailangan pa ring magmula sa pinagkakatiwalaang proseso, hindi sa dialog ng babala na nagdulot ng tanong.

Huminto kung ang iminungkahing pagwawasto ay patayin ang verification ng hostname o ng chain. Ang fingerprint ay nagdadagdag ng hadlang sa normal na mga pagsusuri; hindi nito pinapalitan ang mga iyon maliban kung sadyang pinili ng deployment ang modelong pin lamang, at may sariling gastos sa operasyon ang pagpipiliang iyon.

Pagkatapos ng paghahambing

Itala kung ano ang inihambing mo, saan nagmula ang inaasahang halaga, at kailan. Kung muling inilabas ang sertipiko, i-update ang nakaimbak na inaasahan sa parehong pinagkakatiwalaang channel at itala ang bagong serial number, dahil ang serial number ang nagpapatawag-audit sa susunod na rotasyon.

Pagkatapos, maging malinaw tungkol sa mga hangganan. Kinukumpirma ng fingerprint na ang sertipikong hawak mo ay ang sinabi sa iyong asahan. Wala itong sinasabi tungkol sa host na hindi nakompromiso, at wala ring sinasabi tungkol sa kung ang serbisyo ay naglalog o naglilimita sa kayang maabot ng sertipikong iyon.