Практическое задание

Эта задача — шаг 9 курса «Расследование на сервере»

Отпечаток сертификата злоумышленника

легко~3 мин

Среди улик на сервере нашёлся сертификат /srv/evidence/c2.crt — им злоумышленник прикрывал свой командный сервер. Чтобы его можно было узнать по TLS на других машинах, нужен индикатор компрометации: вычисли SHA-256 отпечаток этого сертификата и запиши его в /root/ioc-fingerprint.txt.

Справочник:opensslПеренаправления и конвейеры
Что потренируешь:
  • отпечаток сертификата
  • openssl x509
  • индикатор компрометации
  • sha-256

Разбор темы

Отпечаток (fingerprint) сертификата — хеш от его DER-представления целиком. Это короткая строка, по которой сертификат однозначно опознаётся: её публикуют как индикатор компрометации (IoC), сверяют при certificate pinning и в журналах TLS-инспекции. Считает отпечаток openssl x509: ему дают входной файл, глушат печать самого PEM и просят отпечаток нужного алгоритма — по умолчанию это не SHA-256, поэтому алгоритм указывают явно. Отпечаток относится именно к сертификату, а не к ключу: при перевыпуске с тем же ключом он изменится.

Что проверяется

  1. SHA-256 отпечаток c2.crt записан

Как это выглядит