VPN sertifikatını kopyalamaq açarı kopyalamır

Gəzinti müştərinin sertifikat siyahısından başlayır; orada qeyd yalnız ad, verən və bitmə tarixi göstərir. Onu ixrac edin, ikinci cihazda idxal edin və bağlantı rədd olunur, çünki müştəri şəxsi açara sahib olduğunu sübut edə bilmir. Fayl tam kopyalanmışdı; səhv sertifikatın öz açarını daşıyacağını gözləməkdir. Formatı seçməzdən əvvəl ixrac dialoqunu oxuyun, sonra həqiqətən aldığınız faylı yoxlayın.

İki klik, iki tamam fərqli artefakt.

Fayl uzantısını deyil, ixrac dialoqunu oxuyun

DER və ya PEM sertifikat ixracı açıq açarı və imzalanmış şəxsiyyət iddialarını ehtiva edir; bu, serverin sizə güvənmək üçün, müştərinin isə serveri yoxlamaq üçün ehtiyac duyduğu şeydir. PKCS#12 paketi isə sertifikatı, onun zəncirini və uyğun şəxsi açarı saxlaya bilən, parolla qorunan bir konteynerdir; baxmayaraq ki, o açarsız da yaradıla bilər.

PEM yalnız mətn kodlaşdırmasıdır, məzmun barədə vəd deyil. Eyni uzantı tək bir sertifikatı və ya bir neçə etiketli blokdan ibarət faylı təsvir edə bilər və hansının olacağını ixrac seçimləri müəyyən edir.

Deməli, faydalı sual heç vaxt hansı genişlənməni aldığınız deyil, faylın hansı blokları saxladığıdır. Açarı olmadan ixrac edilmiş paket yenə paketdir. Formatın populyarlığını deyil, məzmunu yoxlayın.

Həqiqətən aldığınızı yoxlayın

Heç nə idxal etməzdən əvvəl etiketləri axtarın, sonra hansı şəxsiyyəti saxladığınızı təsdiqləmək üçün sertifikat sahələrini oxuyun. Yoxlamaları həqiqətən idxal olunacaq fayl üzərində aparın. Hər yenidən ixracdan sonra onları təkrarlayın, çünki seçimlər fərqli ola bilər.

grep -E 'BEGIN (CERTIFICATE|PRIVATE KEY|ENCRYPTED PRIVATE KEY)' bundle.pem
openssl x509 -in client.crt -noout -subject -issuer -dates
openssl pkey -in client.key -noout -text | head -5
openssl pkcs12 -info -in client.p12 -noout

Yalnız sertifikat bloku olan ixrac açıq obyektdir və autentifikasiya edə bilməz. Sertifikatsız açar bloku sizi serverin gözlədiyi zəncirdən məhrum qoyur. PKCS#12 məlumat çıxışı da açarın olub-olmadığını bildirir və bu, həmin format üçün məsələni həll edir. O, həmçinin alqoritmi və açar ölçüsünü göstərir və açar yoxdursa, tamamilə uğursuz olur.

Şəxsi açar olan faylı heç vaxt dəstək mövzusuna, problem izləyicisinə və ya söhbətə yapışdırmayın, hətta əvvəllər paylaşdığınız sertifikata bənzəsə belə. Açar panelinin ekran görüntüləri də eyni ehtiyatı tələb edir.

Açar kopyalaya bilmədiyiniz yerdə yaşaya bilər

İdarə olunan cihazlarda şəxsi açar əməliyyat sisteminin açar ləçəyində, aparat tokenində və ya təhlükəsiz anklavda yerləşə bilər və siyasət onu ixrac edilə bilməz kimi işarələyir. Sonra sertifikat meneceri açıq obyekti göstərir, sirr isə yerində qalır və heç bir ixrac əmri portativ kopya yaratmır. Mobil cihaz idarəetməsi qeydiyyatı çox vaxt dizayn etibarilə belə işləyir.

Bu bir nəzarətdir, yan keçilməli maneə deyil. Açıq sertifikatdan şəxsi açarı bərpa etmək mümkün deyil və bunu iddia edən hər hansı alət başqa bir şey edir.

Kopyalamaq əvəzinə yeni şəxsiyyət qeydiyyatdan keçirin

Dəstəklənən yol adətən budur: yeni cihaz üçün ayrı bir şəxsiyyət qeydiyyatdan keçirmək və köhnəsini istifadə müddəti bitəndə ləğv etmək, beləliklə hər cihaz ayrıca geri çəkilə bilsin. Açarla ixraca həqiqətən icazə verildiyi yerlərdə yaranan faylı və onun parolunu etimad kimi qəbul edin: istirahətdə şifrələnmiş, etibarlı kanal üzərindən ötürülmüş və qeydiyyat bitdikdə silinmiş.

İdxal edilmiş şəxsiyyətlə autentifikasiya edərək yoxlayın, sadəcə idxalın uğurla bitməsinə baxmayın. Açıq sertifikatı öz anbarına qəbul edən müştəri açar barədə heç nə sübut etməmişdir.

Serverin yeni şəxsiyyəti qəbul etdiyini və köhnənin hələ də siyasətin nəzərdə tutduğu kimi davrandığını təsdiqləyərək bitirin. Bu, gəzintini düzgün görünən faylla deyil, sübutla tamamlayır.