Sertifikatları P12-dən şəxsi açar olmadan ixrac edin

Dəstək bileti VPN paketinin içində hansı sertifikatın olduğunu soruşur və ilk impuls hər şeyi ixrac edib əlavə etməkdir. P12 faylı sertifikatları və şəxsi açar materialını bir konteynerdə paketləyir, buna görə hər şeyi ixrac etmək göndərməməli olduğunuz şeyin özüdür. Suala cavab verən əmr seçim problemidir, çevirmə problemi deyil. Dörd bayraq konteynerin hansı yarısını alacağınızı müəyyən edir və onlardan ikisi olduğundan daha təhlükəsiz səslənir.

Konteyneri boşaltmaq əvəzinə onu oxumaqla başlayın.

PKCS12 faylı həqiqətən nə saxlayır

PKCS12 konteyneri bir və ya bir neçə sertifikat, bəlkə də şəxsi açar və məzmun üzərində message authentication code saxlayır. Sertifikatlar müştəri kimliyinizin yarpaq sertifikatını və onu CA ilə zəncirləyən aralıq sertifikatları əhatə edə bilər. Açar, mövcud olduqda, faylı sənəd deyil, sirr edən şeydir.

Bu fərq -nokeys-in mövcud olmasının və bu tapşırığın məhz bu bayrağa ehtiyac duymasının səbəbidir.

Paketi açarı yazmadan oxuyun

Yoxlama forması strukturu və alqoritm detallarını çap edir və heç nə yazmır: openssl pkcs12 -in client.p12 -info -noout. İdxal parolunu soruşur, bu dəyər üçün düzgün yer budur, və faylın ümumiyyətlə açar saxlayıb-saxlamadığını bildirir. Parol yazıla bilmirsə -passin env:PKCS12_PASS istifadə edin, çünki shell əmrindəki parol proseslər siyahısındakı paroldur. Bu addım heç nə ixrac etmir və bütün məntiq budur.

Çıxışı üç şey üçün oxuyun: neçə sertifikat, açar varmı və onu hansı alqoritmlər qoruyur.

-nokeys istifadə edin və onu -nocerts ilə qarışdırmayın

-nokeys şəxsi açarları istisna edir və sertifikatları qoyur. -clcerts bunu müştəri sertifikatlarına daraldır, -cacerts CA sertifikatlarına daraldır, və bu ikisi alternativ deyil, filtrdir. -nocerts eyni fikrin təhlükəsiz yazılışı kimi oxunur və əksini bildirir: sertifikat yoxdur, bu da yalnız açarları qoyur. Onu sertifikat ixracına qarışdırmaq şəxsi açarın diskə düşmə üsuludur.

Sertifikat faylı və CA faylı və başqa heç nə yaratmayan iki sətirlik forma belədir:

openssl pkcs12 -in client.p12 -nokeys -clcerts -out client-certificates.pem
openssl pkcs12 -in client.p12 -nokeys -cacerts -out ca-certificates.pem

Köhnə paketlər öz köhnə şifrələməsini oxumaq üçün OpenSSL 3-də -legacy tələb edir və bu bayraq parserin nə qəbul etdiyini dəyişir, nə çıxardığını deyil. Əgər təhlil dəstəklənməyən alqoritm xətası ilə uğursuz olarsa, -legacy əlavə etmək düzgün ilk addımdır, MAC yoxlamasını atlamaq isə yox.

Çıxışı yoxlayın, çıxış kodunu yox

Sıfır çıxış statusu əmrin işlədiyini bildirir, faylın gözlədiyinizi saxladığını deyil. Çıxışdakı sertifikatları sayın və subject ilə tarixləri oxuyun: openssl x509 -in client-certificates.pem -noout -subject -dates -fingerprint. Barmaq izini dəstək komandasının gözlədiyi ilə müqayisə edin, çünki iki müştəri sertifikatı olan paket iki bloklu fayl yaradır və əksər alətlər yalnız birincisini oxuyur. Məqsəd, etibar və açar uyğunluğu yenə ayrı testlərdir.

Təhlil olunan sertifikat təhlil olunan sertifikatdır. Bu, VPN-in qəbul etdiyi sertifikat deyil.

Ümumiyyətlə fayllara ehtiyacınız olub-olmadığını qərar verin

Qəbul edən müştəri PKCS12-ni birbaşa idxal edirsə, orijinal paketi təsdiqlənmiş kanaldan parolu ayrıca saxlamaqla göndərmək daha sadədir və qorumaya qənaət edir. Çıxarma yoxlama, PEM-ə ehtiyacı olan müştəri və ya konkret artefakt istəyən dəstək halı üçündür. Hər çıxarma bir qatı götürür və səbəbi olmalıdır.

İctimai sertifikatlar şəxsi açarı saxlamır, lakin adları və təşkilat məlumatlarını saxlayır. Fayl əvəzinə biletin istədiyi sahələri paylaşın, əgər məhz fayl istənilməyibsə.