IKEv2-də iki imza var: sertifikat və IKE_AUTH

Biletiniz sertifikatın SHA-256 olduğunu deyir, şlüz jurnalı isə fərqli imza alqoritmi göstərir və kimsə artıq CA-nı yenidən buraxmaq üçün sorğu hazırlayıb. Həmin sorğu hara getsə də, əvvəlcə iki imzanı ayırın: biri emitentin açıq açara vurduğu möhürdür, digəri isə peer-in IKE_AUTH zamanı uyğun şəxsi açara sahib olduğunu sübut etməsidir. Onları müxtəlif komponentlər seçir və fərqlənmələrinə icazə verilir. Hər birini yaşadığı yerdən oxumaq iki əmr və bir cədvəl tələb edir.

Emitentin imzasını sertifikatdan oxuyun

CA öz imzasını kimliklə açar arasındakı bağlantıya vurur. Bu imza CA-nın buraxılış zamanı nə etdiyini qeyd edir, subyektin qoşulanda nə edəcəyini yox, ona görə də onun alqoritmi CA-nın öz heş və açar seçimini təsvir edir. Bir növ subyekt açarı heç bir ziddiyyət olmadan başqa növ CA açarının altında dura bilər və CA açarının rotasiyası qüsur deyil, adi işdir. İki sahəni oxuyun və inventarın yarısı sizin olur:

openssl x509 -in peer.pem -noout -text | grep -E "Signature Algorithm|Public Key Algorithm"

Hər iki etiketi ayrı-ayrı qeydlər kimi yazın. Birincisi CA-nı, ikincisi subyektin açarını təsvir edir və heç biri onlayn imzanı proqnozlaşdırmır.

Onlayn imzanı IKE mübadiləsindən oxuyun

Autentifikasiya zamanı hər peer mübadilə məlumatlarını öz şəxsi açarı ilə imzalayır və qarşı tərəf bu sübutu sertifikatın kimliyinə, etimad zəncirinə və siyasətinə qarşı yoxlayır. RSA üçün doldurma və heş bu onlayn sxemə aiddir, ona görə də daha uzun açar və ya təzə SHA-256 sertifikatı autentifikasiya imzası üçün RSA-PSS seçə bilməz. Razılaşdırılmış metod demon jurnalında və ya onun bağlantı siyahısında görünür, heç vaxt sertifikatda yox. Hər tərəfdən nəyi razılaşdırdığını soruşun, çünki iki istiqamət fərqlənə bilər.

ipsec statusall | grep -i "auth\|proposal"

Bir tərəf digərinin yarada bilmədiyi sxem adlandırdıqda, biletin söhbət etdiyi uyğunsuzluğu tapmısınız. CA-nı yenidən buraxmaq bunun üçün səhv təmirdir, çünki uğursuz olan heç vaxt sertifikat deyildi.

RFC 7427 nəyi dəyişir və nəyi dəyişmir

İlkin metodlar RFC 7296-da hər alqoritm kombinasiyası üzrə nömrələnir. Sonrakı RFC 7427 imza uzantısı imza-heş dəstəyi siqnalizasiyası ilə ümumi Digital Signature metodunu əlavə edir, beləliklə yeni heşin öz metod nömrəsinə ehtiyacı qalmır. Bu, razılaşdırılan bir şeydir, fərz edilmir: peer uzantını kitabxanası eyni sertifikatları oxuya bildiyi üçün qazanmır və yalnız ilkin metodları tətbiq edən peer şlüzü onlardan birini saxlamağa məcbur edir. Bu, uyğunluq xərci olan siyasət mübadiləsidir, qüsur deyil.

Dəstək hər istiqamət və hər bağlantı üzrədir, ona görə də ailə səviyyəli iddiaya güvənmək əvəzinə qarşınızda olan qurğunu sınayın. Üç il əvvəl yazılmış imkan matrisi üç il yaşında qurğuları təsvir edir.

İnventara dörd sətir qoyun

Mübahisəni bitirən qeydin dörd sətri var, hər biri fərqli yerdən oxunur və hər biri fərqli şəxs tərəfindən dəyişdirilir. Heç nəyə qərar verməzdən əvvəl onu doldurun, çünki düzəlişi səhv olan sətir seçir.

Hər sətir öz uyğunluq nəticəsini daşıyır. ESP şifrəsinin dəyişməsi emitentin imzasını seçmir və CA yoxlamasını yumşaltmaq peer-lərin heç vaxt razılaşmadığı onlayn metodu əlavə etmir. Bilet imza uyğunsuzluğu iddia etdikdə, həqiqətən səhv olan sətir demək olar ki, heç vaxt birinci deyil.

Köhnə halı PKI-ni zəiflətmədən həll edin

Daha köhnə peer yalnız siyasətinizin artıq icazə vermədiyi sxem təklif edə bilər. Seçimlər vaxtla məhdudlaşdırılmış uyğunluq istisnası, müştəri yeniləməsi və ya yalnız həmin peer üçün fərqli autentifikasiya quruluşudur. PKI-ni daha zəif sertifikat imzası ətrafında yenidən qurmaq onlayn mübadilədəki məhdudiyyəti aradan qaldırmır və eyni CA-ya güvənən hər digər xidməti zəiflədir. Hansı sətri dəyişdiyinizi və istisnanın nə vaxt bitdiyini qeyd edin.

Sonra iki oxunuşu yenidən yuxarıdan keçirin, çünki bir sətirdəki dəyişiklik digərində razılaşdırılanı dəyişə bilər. Bütün inventar iki əmr və bir cədvəldir və peer marşrutlaşdırıcı, noutbuk və ya cihaz olsa da iş eynidir.