VPN sertifikatining barmoq izini alohida kanal orqali qanday tekshirish kerak

Barmoq izi sizga nima kutish kerakligini aytgan kanal qanchalik ishonchli bo'lsa, shunchalik ishonchli. Agar siz solishtirayotgan qiymat siz sinovdan o'tkazayotgan o'sha ulanish orqali kelgan bo'lsa, taqqoslash o'sha ulanishni boshqaruvchi tomon izchil bo'lganidan boshqa hech narsani isbotlamaydi. Tekshiruv qat'iy tartibda borishi kerak, muvaffaqiyatsiz qadam esa sizni keyingisiga itarish o'rniga to'xtatishi lozim. VPN mijozi sertifikat o'zgarganini xabar qilganda men ishlatadigan tartib shu.

Qiymatni nomlashdan oldin obyektni nomlang

Kutilgan qiymat serverning barg sertifikatiga, uni chiqargan CAga yoki barg ichidagi ochiq kalitga tegishli ekanini aniqlang. Bu uch xil tekshiruv va ular turlicha muvaffaqiyatsiz bo'ladi. Mos kelgan CA barmoq izi serverni qotirmaydi, va ochiq kalitning xeshi o'sha kalitni saqlaydigan qayta chiqarishdan ataylab omon qoladi.

Algoritmni ham yozib qo'ying. SHA-256 bugungi odatiy kutish, lekin eski vositalar boshqa narsa so'ramasangiz SHA-1 chop etardi, 40 belgili hex qiymat esa ikki xil narsani taqqoslash arafasida ekaningiz belgisidir.

Kutilgan qiymatni ikkinchi kanal orqali oling

Ikkinchi kanal siz o'zingizni himoya qilayotgan tomon yoza olmaydigan kanal bo'lishi kerak. Siz allaqachon autentifikatsiya qiladigan ta'minot tizimi, seyfda saqlanadigan bosma yozuv, konfiguratsiya bazasi yoki boshqa jarayon yetkazib beradigan imzolangan hujjat, barchasi mos keladi. Hamkasbning chat xabari, qidiruv natijasi orqali topilgan yordam sahifasi va siz allaqachon nosozliklarni tuzatayotgan terminalga yopishtirilgan har qanday narsa mos kelmaydi.

To'liq qiymat va algoritmni so'rang, hech qachon prefiks emas. Ikki nuqta va katta yoki kichik harflar muhim emas, lekin qisqartirish 256 bitli tekshiruvni taxmin o'yiniga aylantiradi.

Agar hech kim kutilgan qiymatni mustaqil manbadan bera olmasa, halol natija bu sertifikatni bugun tekshirib bo'lmaydi. Buni aytish mijoz hozir ko'rsatgan narsani qotirishdan yaxshiroq, chunki bu ogohlantirishni odatga aylantiradi.

Qiymatni o'z tomoningizda ajratib oling

Sertifikat fayli uchun buyruq openssl x509 -in server.crt -noout -fingerprint -sha256. Aniq dayjest muhim: usiz chiqish sizning OpenSSL versiyangizga bog'liq. Natija ikki nuqta bilan ajratilgan hex satr, shuning uchun ikki nuqtalarni olib tashlang va taqqoslashdan oldin ikki tomonni kichik harflarga o'tkazing.

TLSni to'g'ridan-to'g'ri gapiradigan oxirgi nuqta uchun ulanib, sertifikatni quvur orqali chiqaring: openssl s_client -connect vpn.example.com:443 -servername vpn.example.com < /dev/null | openssl x509 -noout -fingerprint -sha256. Bu veb ma'muriy panel yoki TLS tinglovchisi uchun ishlaydi, boshqaruv kanali tunnel ichida joylashgan OpenVPN uchun ishlamaydi. OpenVPN uchun sertifikatni soketdan ushlashga urinish o'rniga diskdagi profildan o'qing.

Taqqoslash mexanik bo'lishi kerak. Ikki qiymatni tr -d ':' va harflarni birxillashtirish bilan normallashtiring, so'ng butun satrni solishtiring. Ko'z bilan taqqoslash — mos prefiks oxirgi baytdagi farqni yashirish usuli. Agar satrlar farq qilsa, tushuntirish izlashdan oldin farqni haqiqiy deb qabul qiling.

To'xtash shartlari

Obyekt farq qilsa to'xtang, chunki CA barmoq izi barg sertifikatini oqlay olmaydi, barg esa CAni oqlay olmaydi. Algoritm farq qilsa to'xtang, chunki SHA-1 qiymatini SHA-256 qiymati bilan taqqoslash sizga hech narsa aytmaydi. Barmoq izi mos kelsa ham sertifikat muddati o'tgan, bekor qilingan yoki boshqa nomga berilgan bo'lsa to'xtang; mos xesh haqiqiylik tekshiruvi emas va buzilgan zanjirni tuzatmaydi. Shuningdek seriya raqami siz tekshirayotgan yozuvdagi seriya raqamiga mos kelmasa ham to'xtang, chunki bu almashtirilgan sertifikatni payqashning eng arzon yo'li.

Yangi qiymat siz sinovdan o'tkazayotgan kanal orqali kelgan bo'lsa to'xtang. Rotatsiya barmoq izini qonuniy o'zgartirishi mumkin, lekin almashtiruvchi qiymat baribir ishonchli jarayondan kelishi kerak, savol tug'dirgan ogohlantirish oynasidan emas.

Taklif qilingan tuzatish xost nomi yoki zanjir tekshiruvini o'chirish bo'lsa to'xtang. Barmoq izi odatiy tekshiruvlarga bitta cheklov qo'shadi; agar joriy etish ataylab faqat-pin modelini tanlamagan bo'lsa, u ularni almashtirmaydi, va bu tanlov o'z operatsion xarajatlarini olib keladi.

Taqqoslashdan keyin

Nimani taqqoslaganingizni, kutilgan qiymat qayerdan kelganini va qachon bo'lganini yozib qo'ying. Agar sertifikat qayta chiqarilgan bo'lsa, saqlangan kutishni o'sha ishonchli kanal orqali yangilang va yangi seriya raqamini belgilang, chunki keyingi rotatsiyani audit qilish mumkin qiladigan narsa aynan seriya raqami.

Keyin chegaralar haqida aniq bo'ling. Barmoq izi sizdagi sertifikat kimdir kutishingizni aytgan sertifikat ekanini tasdiqlaydi. U xostning buzilmaganligi haqida hech narsa demaydi, va xizmat bu sertifikat qayerga yeta olishini qayd etishi yoki cheklashi haqida ham hech narsa demaydi.