sha256 Hash von öffentlichen Schlüssel

Ich versuche zu lesen sha256 hat von einem öffentlichen Schlüssel Zertifikate. Das Zertifikat wird unten angezeigt.sha256 Hash von öffentlichen Schlüssel

Ich verwende folgenden Befehl sha256 Hash zu lesen, aber es gibt nicht die richtige Ergebnis:

openssl x509 -in test.crt -pubkey -noout | openssl rsa -pubin -outform der | \ 
    openssl dgst -sha256 -binary | openssl enc -base64

ich etwas falsch Wert RTy7aSpufwRDWUudgZCwR5Xc7NETd6Imk4YlzvgKTRU=

Korrekte Werte sind immer:

sha256/i1RfARNCYn9+K3xmRNTaXG9sVSK6TMgY9l8SDm3MUZ4= 
sha256/7HIpactkIAq2Y49orFOOQKurWxmmSFZhBCoQYcRhJ3Y= 
sha256/h6801m+z8v3zbgkRHpq6L29Esgfzhj89C1SyUCOQmqU=

Ich frage mich, wie drei Werte kamen, ja, nur einer ist korrekt, aber um diese Werte zu validieren, führe ich das unten angegebene Beispielprogramm aus:

Das Hinzufügen falscher Schlüssel-Hash gibt mir einen richtigen Fehler-Logs, und die Verwendung der richtigen ermöglicht es mir, mit Leichtigkeit zu kommunizieren.

Quelle

2017-08-14 sector11

Es gibt nur einen öffentlichen Schlüssel im Zertifikat, woher bekommen Sie Ihre 3 "korrekten" Werte? –

HI Robbey, ich habe mehr Code hinzugefügt, woher diese mehr Hashes generiert werden und wie ich validiere, dass mein generierter Hash korrekt ist, bitte schauen Sie nach. – sector11

Ihre Art, den Wert zu berechnen, sieht korrekt aus und entspricht dem [dokumentiert von Mozilla] (https://developer.mozilla.org/en-US/docs/Web/HTTP/Public_Key_Pinning). Was lässt Sie denken, dass die Werte, die Sie für richtig halten, wirklich richtig sind - und vor allem, welcher dieser drei Werte richtig ist? –

sha256/i1RfARNCYn9 + K3xmRNTaXG9sVSK6TMgY9l8SDm3MUZ4 =

Dieser Stift passt das Blatt Zertifikat zurück beim Zugriff auf www.google.com:

$ openssl s_client -connect www.google.com:443 |\ 
    openssl x509 -pubkey -noout |\ 
    openssl pkey -pubin -outform der |\ 
    openssl dgst -sha256 -binary |\ 
    openssl enc -base64 
... 
depth=0 ... CN = www.google.com 
i1RfARNCYn9+K3xmRNTaXG9sVSK6TMgY9l8SDm3MUZ4=

Aber, wenn Sie Sehen Sie sich das Zertifikat an, das beim Zugriff auf www.google.com zurückgegeben wird s ein CN von www.google.com. Stattdessen hat das Zertifikat, das Sie in Ihre Frage aufgenommen haben, ein CN von *.google.com, d. H. Ist ein anderes Zertifikat. Dieses Zertifikat wird beispielsweise zurückgegeben, wenn Sie google.com statt www.google.com zugreifen:

$ openssl s_client -connect google.com:443 |\ 
    openssl x509 -pubkey -noout |\ 
    openssl pkey -pubin -outform der |\ 
    openssl dgst -sha256 -binary |\ 
    openssl enc -base64 
... 
depth=0 ... CN = *.google.com 
RTy7aSpufwRDWUudgZCwR5Xc7NETd6Imk4YlzvgKTRU=

Wie Sie sehen können, wird der öffentliche Schlüssel Fingerabdruck Sie war die richtige berechnet hatte. Nur Ihre Annahmen über die korrekten Fingerabdrücke waren falsch, weil Sie diese gegen die falsche Seite überprüft haben.

Quelle

2017-08-14 06:22:37

vielen Dank für die detaillierte Antwort, ist es eine gute Idee, ein Stammzertifikat für alle Kind Sub-Domain-Zugang, – sector11

@ Sektor11: Bitte stellen Sie keine neue Frage in einem Kommentar (auch wenn es ein Follow-up ist) da niemand neue Fragen und Antworten erwarten wird. Stellen Sie stattdessen eine neue Frage. Abgesehen davon, könnte dies besser auf security.stackexchange.com gestellt werden, aber überprüfen Sie zuerst vorhandene Fragen und Antworten zu diesem Thema. –

ok noch problem. – sector11

sha256 Hash von öffentlichen Schlüssel

Antwort

Verwandte Themen