VPN Sertifikasını Anahtarı Açığa Çıkarmadan İncelemek

Bir sertifikanın genel alanlarını okumak, onunla eşleşen özel anahtarı göstermeyi hiçbir zaman gerektirmez ve bunu yapan araçlar VPN sonlandıran her sistemle birlikte gelir. Risk bir adım öncesindedir: size verilen dosya hiç sertifika olmayabilir. PEM sertifikası, DER ikilisi, PKCS#12 paketi ve bir OpenVPN profili aynı adla gelebilir ve çok farklı içerik taşıyabilir; bu yüzden komut seçmeden önce kapsayıcıyı tanımlayın.

Hangi komutun güvenli olduğunu üç olgu belirler: dosyanın ne içerdiği, ondan neyi okumanız gerektiği ve çıktıyı kimin göreceği. Bunlardan birini yanlış kestirirseniz incelemenin kendisi olaya dönüşür.

Size verilen üç dosyadan hangisi

PEM sertifikası görünür BEGIN ve END işaretleri olan metindir; DER dosyası giriş biçimi bayrağı gerektiren ikilidir; paket ise sertifikanın yanında anahtar da barındırabilen bir kapsayıcıdır. file server.crt metni ikiliden bir saniyede ayırır ve ilk satıra bir bakış, çıplak sertifikayı onu gömülü taşıyan profilden ayırır. Burada tahmin etmek, incelemeyi olaya çeviren şeydir.

Dosya sertifika değil de profil ise, aksi kanıtlanana kadar onu bir kimlik bilgisi olarak ele alın. Bu varsayım hiçbir şeye mal olmaz ve bu işin tamamındaki en yaygın hatayı önler.

Bir PEM sertifikasının genel alanlarını okumak

İnceleme yetkiniz olan bir sertifika için, -noout ile x509 alt komutu yalnızca seçtiğiniz alanları yazdırır, başka bir şey yazdırmaz. Gövdeyi bastırmak, çıktıyı üst veriyle sınırlı tutan şeydir ve onu bir kayda yapıştırmayı güvenli kılan da budur. Aşağıdaki seçiciler genel olanlardır; geri kalanını openssl x509 belgeleri listeler.

openssl x509 -in server.crt -noout -subject -issuer -dates -fingerprint -sha256

Yerelde üretilmiş bir test sertifikasında bu komut bir subject ve issuer satırı, notBefore–notAfter çifti ve bir SHA-256 parmak izi yazdırır. Bu alanlar nesneyi tanımlar; geçerli bir güven zinciri kurmazlar, o kendi komutu ve kendi yanıtı olan ayrı bir doğrulama işidir. Bir zincir dosyası, siz dosya üzerinde kendiniz dolaşmadıkça yalnızca ilk sertifikayı yazdırabilir. İki dosyayı bu şekilde karşılaştırmak tek komut tutar ve eşin gerçekte hangisini sunduğunu kesinleştirir.

Sertifikanın yanında anahtar barındıran paketler

.p12 veya .pfx dosyası özel anahtar taşıyabilir ve ayrıştırma komutu, çıktının o bölümünü bastırmadığınız sürece onu yazdırır. -nokeys ile aynı komut, hiçbir anahtar materyali yaymadan, örtülü anahtar torbası dahil kapsayıcının yapısını bildirir; bu bayrağı kaldırın, terminalinizde ve kabuk geçmişinizde bir anahtar bloğu belirir.

openssl pkcs12 -in bundle.p12 -nokeys -info -passin env:P12PASS

Bir OpenVPN profili aynı materyali metin olarak gömer, yani nereye bakacağınızı bilirseniz sınır görünür. Genel materyal BEGIN CERTIFICATE ile END CERTIFICATE arasındadır; BEGIN PRIVATE KEY ile onun eşleşen END satırı arasındaki her şey anahtardır ve ana makineden çıkmamalıdır. Profili olduğu gibi kopyalamak ikisini birden yayımlar.

Referans değeri başka bir yerden almak

Doğrulamaya çalıştığınız bağlantıdan okunan parmak izi hiçbir şeyi kanıtlamaz, çünkü onu güvenmediğiniz taraf sağlamıştır. Bu parmak izlerine karşı bir sav değil, köken hakkında bir savdır. Değeri, eşin yazamadığı bir kanaldan elde edilmiş bir değerle karşılaştırın; örneğin iç bir depoda yayımlanan sertifika veya imzalı bir değişiklik kaydında basılı karma.

Bir güven deposu doğrulamayı yapıyorsa bırakın yapsın ve kendi karşılaştırmanızı yerine koymak yerine ürettiği hatayı okuyun. Önemli olan fark, referansı kimin sağladığıdır; hangi karma işlevinin kullanıldığı değil.

Sonucu paylaşmak ve bir hata sonrası ne yapmak

Tam doğrulama hatasını, ilgili tarihleri ve yalnızca alıcının ihtiyaç duyduğu kimlik ayrıntılarını gönderin. İç ana makine adları ve hesap tanımlayıcıları anahtar olmasa bile hassas kalır ve herkese açık bir yapıştırma servisi bunların hiçbiri için doğru hedef değildir. Kayda yapıştırın, başkasının paylaştığı geçici tampona değil.

Anahtar materyali ekranda veya bir dosyada gerçekten göründüyse, kimsenin bakmadığını ummak yerine onu ele geçirilmiş sayın ve değiştirin. Sonra incelenen dosyayı, kullanılan komutu ve çıktının nereye gittiğini yazın, çünkü o kayıt bir korkuyu bir prosedüre çeviren şeydir. Kimsenin ekran görüntüsü saklamadığını varsaymanın maliyetine kıyasla değiştirme ucuzdur ve aynı kayıt bir sonraki mühendise hangi dosyalara dokunulduğunu söyler. Kayıt kapanmadan önce ikisini de yapın.