公開鍵のsha256ハッシュ

私は公開鍵証明書からsha256を読み取ろうとしています。証明書は以下のとおりです。公開鍵のsha256ハッシュ

私はSHA256ハッシュを読み取るために、次のコマンドを実行していますが、それは正しい結果を与えていません。

openssl x509 -in test.crt -pubkey -noout | openssl rsa -pubin -outform der | \ 
    openssl dgst -sha256 -binary | openssl enc -base64

私は正しい値であるいくつかの誤った値にRTy7aSpufwRDWUudgZCwR5Xc7NETd6Imk4YlzvgKTRU=

を取得しています：

sha256/i1RfARNCYn9+K3xmRNTaXG9sVSK6TMgY9l8SDm3MUZ4= 
sha256/7HIpactkIAq2Y49orFOOQKurWxmmSFZhBCoQYcRhJ3Y= 
sha256/h6801m+z8v3zbgkRHpq6L29Esgfzhj89C1SyUCOQmqU=

私は3つの値がどのように入ってきたのか疑問に思っています。ただ1つしか正しくありませんが、これらの値を検証するために、以下のサンプルプログラムを実行します：

public class Main { 

    public static void main(String[] args) throws IOException { 
     HttpLoggingInterceptor interceptor = new HttpLoggingInterceptor(); 
     interceptor.setLevel(HttpLoggingInterceptor.Level.BODY); 
     String hostName = "www.google.com"; 
     CertificatePinner certificatePinner = new CertificatePinner.Builder() 
       .add(hostName, "sha256/pqrmt") 
       .build(); 
     OkHttpClient client = new OkHttpClient.Builder() 
       .addNetworkInterceptor(interceptor) 
       .certificatePinner(certificatePinner) 
       .build(); 
     Request request = new Request.Builder() 
       .url("https://" + hostName) 
       .build(); 
     client.newCall(request).execute(); 

    } 
}

誤ったキーハッシュを追加すると、エラーログに適切なものが表示され、適切なものを使用すると簡単に通信できます。

出典

2017-08-14 sector11

証明書には公開鍵が1つしかありません。あなたは3つの「正しい」値をどこから取得していますか？ –

HI Robbey、より多くのコードを追加しました。これらのハッシュが生成され、生成されたハッシュが正しいことをどのように検証しているかを見てください。 – sector11

値を計算する方法は正しいと思われ、[Mozillaによって文書化された]（https://developer.mozilla.org/en-US/docs/Web/HTTP/Public_Key_Pinning）と一致します。正しいものと考える価値が本当に正しいと思います。特に、これらの3つの値のどれが正しいですか？ –

SHA256/i1RfARNCYn9 + K3xmRNTaXG9sVSK6TMgY9l8SDm3MUZ4 =

このピンは、www.google.comにアクセスするとき、リーフ証明書が返さ一致します

$ openssl s_client -connect www.google.com:443 |\ 
    openssl x509 -pubkey -noout |\ 
    openssl pkey -pubin -outform der |\ 
    openssl dgst -sha256 -binary |\ 
    openssl enc -base64 
... 
depth=0 ... CN = www.google.com 
i1RfARNCYn9+K3xmRNTaXG9sVSK6TMgY9l8SDm3MUZ4=

しかし、あなたの場合www.google.comにアクセスしたときに返された証明書を詳しく見ることができますCNのwww.google.comです。あなたの質問に含まれている証明書は、*.google.comのCNを持っています。つまり、別の証明書です。あなたが見ることができるように

$ openssl s_client -connect google.com:443 |\ 
    openssl x509 -pubkey -noout |\ 
    openssl pkey -pubin -outform der |\ 
    openssl dgst -sha256 -binary |\ 
    openssl enc -base64 
... 
depth=0 ... CN = *.google.com 
RTy7aSpufwRDWUudgZCwR5Xc7NETd6Imk4YlzvgKTRU=

は、あなたが計算されていた公開鍵の指紋が正しいものだった：あなたはwww.google.comのではなく、google.comにアクセスした場合、この証明書は、たとえば返されます。誤ったサイトに対してこれらをチェックしたため、正確な指紋に関するあなたの前提は正しくありません。

出典

2017-08-14 06:22:37

詳細な回答ありがとうございます。子サブドメインのすべてのアクセスに対してルート証明書を固定することをお勧めしますか？ – sector11

@ sector11：コメントに新しい質問をしないでください（フォローアップの場合でも）誰も新しい質問と回答がそこに現れるとは期待しないからです。代わりに、新しい質問をしてください。それ以外に、これはsecurity.stackexchange.comでよく聞かれるかもしれませんが、まずこのトピックに関する既存の質問と回答を確認してください。 –

問題はありません。 – sector11

答えて

関連する問題