VPN sertifikatini kalitni ochmasdan tekshirish

Sertifikatning ochiq maydonlarini o‘qish unga mos keladigan maxfiy kalitni hech qachon ko‘rsatishni talab qilmaydi va buning uchun vositalar VPNni tugatadigan har bir tizim bilan birga keladi. Xavf bir qadam oldinroqda: sizga berilgan fayl umuman sertifikat bo‘lmasligi mumkin. PEM sertifikati, DER ikkilik fayli, PKCS#12 to‘plami va OpenVPN profili bir xil nom bilan kelib, butunlay boshqa materialni saqlashi mumkin, shuning uchun buyruq tanlashdan oldin konteynerni aniqlang.

Qaysi buyruq xavfsiz ekanini uchta fakt hal qiladi: faylda nima borligi, undan nimani o‘qish kerakligi va natijani kim ko‘rishi. Ulardan birini xato baholasangiz, tekshiruvning o‘zi voqeaga aylanadi.

Sizga berilgan uchta fayldan qaysi biri

PEM sertifikati — BEGIN va END belgilari ko‘rinadigan matn, DER fayli — kirish formati bayrog‘ini talab qiladigan ikkilik ma’lumot, to‘plam esa sertifikat yonida kalit ham saqlashi mumkin bo‘lgan konteyner. file server.crt matnni ikkilikdan bir soniyada ajratadi va birinchi satrga bir qarash yalang‘och sertifikatni uni ichiga olgan profildan ajratadi. Aynan shu yerda taxmin qilish tekshiruvni voqeaga aylantiradi.

Agar fayl sertifikat emas, profil bo‘lsa, aksi isbotlanmaguncha uni hisob ma’lumoti deb biling. Bu taxmin hech narsaga turmaydi va butun ishdagi eng keng tarqalgan xatoni oldini oladi.

PEM sertifikatining ochiq maydonlarini o‘qish

Tekshirishga ruxsat berilgan sertifikat uchun -noout bilan x509 quyi buyrug‘i faqat siz tanlagan maydonlarni chop etadi, boshqa hech narsani. Tanani bosib turish natijani metama’lumot bilan cheklaydi va aynan shu uni biletga qo‘yish uchun xavfsiz qiladi. Quyidagi tanlagichlar ochiq maydonlar, qolganlarini openssl x509 hujjati sanab beradi.

openssl x509 -in server.crt -noout -subject -issuer -dates -fingerprint -sha256

Mahalliy yaratilgan sinov sertifikatida bu buyruq subject va issuer satrini, notBefore–notAfter juftini va bitta SHA-256 barmoq izini chop etadi. Bu maydonlar obyektni aniqlaydi; ular amal qiladigan ishonch yo‘lini o‘rnatmaydi, bu o‘z buyrug‘i va o‘z javobi bo‘lgan alohida tekshirish ishi. Zanjir fayli, o‘zingiz fayl bo‘ylab aylanmaguningizcha, faqat birinchi sertifikatni chop etishi mumkin. Ikki faylni shu tarzda qiyoslash bitta buyruqqa tushadi va sherik aslida qaysi birini taqdim etishini hal qiladi.

Sertifikat yonida kalit saqlaydigan to‘plamlar

.p12 yoki .pfx fayli maxfiy kalitni olib yurishi mumkin va tahlil buyrug‘i natijaning o‘sha qismini bosmasangiz uni chop etadi. -nokeys bilan o‘sha buyruq hech qanday kalit materialini chiqarmasdan, o‘ralgan kalit xaltasi bilan birga konteyner tuzilishini xabar qiladi; o‘sha bayroqni olib tashlasangiz, terminalingizda va shell tarixingizda kalit bloki paydo bo‘ladi.

openssl pkcs12 -in bundle.p12 -nokeys -info -passin env:P12PASS

OpenVPN profili o‘sha materialni matn sifatida ichiga oladi, shuning uchun qayerga qarashni bilsangiz chegara ko‘rinadi. Ochiq material BEGIN CERTIFICATE va END CERTIFICATE orasida turadi, BEGIN PRIVATE KEY bilan unga mos END satri orasidagi hamma narsa esa kalit bo‘lib, u xostdan chiqmasligi kerak. Profilni to‘liq nusxalash ikkalasini ham e’lon qiladi.

Etalon qiymatni boshqa joydan olish

Siz tekshirmoqchi bo‘lgan ulanishdan o‘qilgan barmoq izi hech narsani isbotlamaydi, chunki uni siz ishonmaydigan tomon bergan. Bu barmoq izlariga qarshi dalil emas; bu manba haqidagi dalil. Qiymatni sherik yoza olmaydigan kanaldan olingan qiymat bilan qiyoslang, masalan, ichki omborda e’lon qilingan sertifikat yoki imzolangan o‘zgarish yozuvida chop etilgan xesh.

Ishonch ombori tekshiruvni bajaradigan joyda unga ruxsat bering va o‘zingizning qiyoslashingizni qo‘yish o‘rniga u chiqaradigan xatoni o‘qing. Muhim farq etalonni kim berganida, qaysi xesh funksiyasi ishlatilganida emas.

Natijani bo‘lishish va xatodan keyin nima qilish

Aniq tekshiruv xatosini, tegishli sanalarni va faqat qabul qiluvchiga kerak bo‘lgan shaxsiy ma’lumotlarni yuboring. Ichki xost nomlari va hisob identifikatorlari kalit bo‘lmasa ham nozik qoladi va ochiq joylashtirish xizmati ularning hech biriga to‘g‘ri manzil emas. Biletga joylashtiring, boshqalar bo‘lishadigan vaqtinchalik buferga emas.

Agar kalit materiali haqiqatan ekranda yoki faylda paydo bo‘lgan bo‘lsa, hech kim qaramagan deb umid qilish o‘rniga uni buzilgan deb biling va almashtiring. Keyin tekshirilgan faylni, ishlatilgan buyruqni va natija qayerga ketganini yozib qo‘ying, chunki aynan shu yozuv qo‘rquvni tartib-qoidaga aylantiradi. Hech kim ekran surati saqlamagan deb taxmin qilish narxiga nisbatan almashtirish arzon va o‘sha yozuv keyingi muhandisga qaysi fayllarga tegilinganini aytadi. Bilet yopilishidan oldin ikkalasini ham qiling.