نسخ شهادة VPN لا ينسخ المفتاح

يبدأ الدليل من قائمة شهادات العميل، حيث يعرض المدخل اسمًا وجهة إصدار وتاريخ انتهاء ولا شيء غير ذلك. صدّره، ثم استورده على الجهاز الثاني، فتُرفض الاتصال لأن العميل لا يستطيع إثبات حيازته للمفتاح الخاص. لقد نُسخ الملف بالكامل؛ والخطأ هو توقّع أن تحمل الشهادة مفتاحها معها. اقرأ مربع حوار التصدير قبل اختيار الصيغة، ثم افحص الملف الذي وصل إليك فعلاً.

نقرتان، وأثران مختلفان تمامًا.

اقرأ مربع حوار التصدير، لا لاحقة الملف

يحتوي تصدير شهادة DER أو PEM على مفتاح عام وعلى ادعاءات الهوية الموقّعة، وهي ما يحتاجه الخادم ليثق بك وما يحتاجه العميل للتحقق من خادم. أما حزمة PKCS#12 فهي حاوية يمكن أن تحمل شهادة وسلسلتها والمفتاح الخاص المطابق، محمية بكلمة مرور، مع أنها يمكن أن تُنشأ أيضًا بدون المفتاح.

PEM ليس إلا ترميزًا نصيًا، وليس وعدًا بشأن المحتويات. يمكن للاحقة نفسها أن تصف شهادة واحدة أو ملفًا يحوي عدة كتل موسومة، وخيارات التصدير هي التي تحدّد أيّهما.

لذا فالسؤال المفيد ليس أبدًا أي امتداد حصلت عليه، بل أي كتل يحويها الملف. الحزمة المصدَّرة بدون مفتاحها تبقى حزمة. افحص المحتويات لا شعبية الصيغة.

افحص ما حصلت عليه فعلاً

ابحث عن الوسوم قبل استيراد أي شيء، ثم اقرأ حقول الشهادة لتتأكد من الهوية التي تحملها. نفّذ الفحوص على الملف الذي سيُستورد فعلاً. وكرّرها بعد أي إعادة تصدير، لأن الخيارات قد تختلف.

grep -E 'BEGIN (CERTIFICATE|PRIVATE KEY|ENCRYPTED PRIVATE KEY)' bundle.pem
openssl x509 -in client.crt -noout -subject -issuer -dates
openssl pkey -in client.key -noout -text | head -5
openssl pkcs12 -info -in client.p12 -noout

التصدير الذي يحوي كتلة شهادة فقط هو كائن عام ولا يستطيع المصادقة. وكتلة المفتاح بدون شهادة تتركك بلا السلسلة التي يتوقعها الخادم. كما يبيّن ناتج معلومات PKCS#12 ما إذا كان المفتاح موجودًا، وهذا يحسم السؤال لتلك الصيغة. ويذكر أيضًا الخوارزمية وحجم المفتاح، ويفشل كليًا عند غياب المفتاح.

لا تلصق أبدًا ملفًا يحوي مفتاحًا خاصًا في سلسلة دعم أو متعقّب مشكلات أو دردشة، حتى لو بدا كالشهادة التي كنت تشاركها. ولقطات شاشة لوحة المفتاح تستحق الحذر نفسه.

قد يقيم المفتاح في مكان لا تستطيع نسخه

في الأجهزة المُدارة قد يستقر المفتاح الخاص في سلسلة مفاتيح نظام التشغيل أو رمز عتادي أو منطقة آمنة، مع سياسة تعلّمه غير قابل للتصدير. عندئذٍ يعرض مدير الشهادات الكائن العام بينما يبقى السر في مكانه، ولن ينتج أي أمر تصدير نسخة محمولة. وغالبًا ما يعمل التسجيل في إدارة أجهزة الجوال بهذه الطريقة بحكم التصميم.

هذه ضابطة، وليست عقبة يُلتفّ حولها. إعادة بناء مفتاح خاص من الشهادة العامة غير ممكنة، وأي أداة تدّعي ذلك تفعل شيئًا آخر.

سجّل هوية جديدة بدل النسخ

المسار المدعوم هو عادةً أن تسجّل هوية مستقلة للجهاز الجديد وتُبطل القديمة عند تقاعدها، بحيث يمكن سحب كل جهاز بشكل مستقل. وحيث يُعتمد حقًا تصدير مع المفتاح، فتعامل مع الملف الناتج وكلمة مروره كبيانات اعتماد: مشفّرة في حالة السكون، ومنقولة عبر قناة موثوقة، ومحذوفة عند انتهاء التسجيل.

تحقّق بالمصادقة بالهوية المستوردة، لا بمجرد نجاح الاستيراد. فالعميل الذي يقبل شهادة عامة في مخزنه لم يثبت شيئًا عن المفتاح.

اختم بالتأكيد على أن الخادم يقبل الهوية الجديدة وأن القديمة ما زالت تتصرف كما تقصد السياسة. بذلك يكتمل الدليل بأدلة، لا بملف يبدو صحيحًا.