VPN সার্টিফিকেট কপি করলে কী কপি হয় না

পর্যালোচনাটি শুরু হয় ক্লায়েন্টের সার্টিফিকেট তালিকা থেকে, যেখানে এন্ট্রিটি কেবল একটি নাম, একটি ইস্যুকারী এবং একটি মেয়াদ শেষের তারিখ দেখায়। এটি এক্সপোর্ট করুন, দ্বিতীয় ডিভাইসে ইমপোর্ট করুন, এবং সংযোগ প্রত্যাখ্যাত হয় কারণ ক্লায়েন্ট প্রাইভেট কী-র অধিকার প্রমাণ করতে পারে না। ফাইলটি সম্পূর্ণ কপি হয়েছিল; ভুলটি হলো সার্টিফিকেট নিজের কী বহন করবে বলে আশা করা। ফরম্যাট বেছে নেওয়ার আগে এক্সপোর্ট ডায়ালগটি পড়ুন, তারপর আপনি যে ফাইলটি সত্যিই পেয়েছেন তা পরীক্ষা করুন।

দুটি ক্লিক, দুটি সম্পূর্ণ ভিন্ন আর্টিফ্যাক্ট।

ফাইলের এক্সটেনশন নয়, এক্সপোর্ট ডায়ালগ পড়ুন

DER বা PEM সার্টিফিকেট এক্সপোর্টে একটি পাবলিক কী এবং স্বাক্ষরিত পরিচয় দাবি থাকে, যা সার্ভারের আপনার উপর আস্থা রাখতে এবং ক্লায়েন্টের সার্ভার যাচাই করতে প্রয়োজন। PKCS#12 বান্ডেল হলো একটি কন্টেইনার যা একটি সার্টিফিকেট, তার চেইন এবং সংশ্লিষ্ট প্রাইভেট কী রাখতে পারে, পাসওয়ার্ডে সুরক্ষিত, যদিও এটি কী ছাড়াও তৈরি করা যায়।

PEM কেবল একটি টেক্সট এনকোডিং, বিষয়বস্তু সম্পর্কে কোনো প্রতিশ্রুতি নয়। একই এক্সটেনশন একটি একক সার্টিফিকেট বা কয়েকটি লেবেলযুক্ত ব্লকসমৃদ্ধ ফাইল বোঝাতে পারে, এবং কোনটি হবে তা এক্সপোর্ট অপশনই নির্ধারণ করে।

তাই কাজের প্রশ্ন কখনোই আপনি কোন এক্সটেনশন পেয়েছেন তা নয়, ফাইলটিতে কোন ব্লক আছে তা। কী ছাড়া এক্সপোর্ট করা বান্ডেলও বান্ডেল। ফরম্যাটের জনপ্রিয়তা নয়, বিষয়বস্তু যাচাই করুন।

আপনি যা সত্যিই পেয়েছেন তা পরীক্ষা করুন

কিছু ইমপোর্ট করার আগে লেবেলগুলো খুঁজুন, তারপর সার্টিফিকেটের ফিল্ডগুলো পড়ে নিশ্চিত করুন আপনি কোন পরিচয় ধরে আছেন। যে ফাইলটি সত্যিই ইমপোর্ট হবে তার উপরেই যাচাই চালান। যেকোনো পুনরায় এক্সপোর্টের পরে সেগুলো আবার চালান, কারণ অপশন ভিন্ন হতে পারে।

grep -E 'BEGIN (CERTIFICATE|PRIVATE KEY|ENCRYPTED PRIVATE KEY)' bundle.pem
openssl x509 -in client.crt -noout -subject -issuer -dates
openssl pkey -in client.key -noout -text | head -5
openssl pkcs12 -info -in client.p12 -noout

শুধু সার্টিফিকেট ব্লক থাকা এক্সপোর্ট একটি পাবলিক বস্তু এবং প্রমাণীকরণ করতে পারে না। সার্টিফিকেট ছাড়া কী ব্লক আপনাকে সার্ভারের প্রত্যাশিত চেইন ছাড়াই রেখে দেয়। PKCS#12 তথ্য আউটপুটও জানায় কী আছে কি না, যা ওই ফরম্যাটের প্রশ্নটি নিষ্পত্তি করে। এটি অ্যালগরিদম ও কী-র আকারও বলে, এবং কী না থাকলে তা সম্পূর্ণ ব্যর্থ হয়।

প্রাইভেট কী থাকা ফাইল কখনোই সাপোর্ট থ্রেড, ইস্যু ট্র্যাকার বা চ্যাটে পেস্ট করবেন না, এমনকি এটি আপনার আগে শেয়ার করা সার্টিফিকেটের মতো দেখালেও। কী প্যানেলের স্ক্রিনশটও একই সতর্কতা দাবি করে।

কী এমন জায়গায় থাকতে পারে যা আপনি কপি করতে পারবেন না

পরিচালিত ডিভাইসে প্রাইভেট কী অপারেটিং সিস্টেমের কীচেইন, হার্ডওয়্যার টোকেন বা সুরক্ষিত এনক্লেভে থাকতে পারে, আর একটি নীতি সেটিকে অ-এক্সপোর্টযোগ্য বলে চিহ্নিত করে। তখন সার্টিফিকেট ম্যানেজার পাবলিক বস্তু দেখায় আর গোপন অংশটি নিজের জায়গায় থাকে, এবং কোনো এক্সপোর্ট কমান্ডই বহনযোগ্য কপি তৈরি করবে না। মোবাইল ডিভাইস ম্যানেজমেন্ট এনরোলমেন্ট প্রায়ই ডিজাইন অনুযায়ী এভাবেই কাজ করে।

এটি একটি নিয়ন্ত্রণ, এড়িয়ে যাওয়ার বাধা নয়। পাবলিক সার্টিফিকেট থেকে প্রাইভেট কী পুনর্গঠন সম্ভব নয়, এবং যে টুল এমন দাবি করে সে অন্য কিছু করছে।

কপি না করে নতুন পরিচয় এনরোল করুন

সমর্থিত পথ সাধারণত হলো নতুন ডিভাইসের জন্য একটি আলাদা পরিচয় এনরোল করা এবং পুরোটির অবসরে সেটি বাতিল করা, যাতে প্রতিটি ডিভাইস স্বাধীনভাবে প্রত্যাহার করা যায়। যেখানে কী সহ এক্সপোর্ট সত্যিই অনুমোদিত, সেখানে ফলাফল ফাইল ও তার পাসওয়ার্ডকে শংসাপত্র হিসেবে গণ্য করুন: বিশ্রামে এনক্রিপ্টেড, বিশ্বস্ত চ্যানেলে স্থানান্তরিত, এবং এনরোলমেন্ট শেষ হলে মুছে ফেলা।

ইমপোর্ট সফল হওয়া দেখে নয়, ইমপোর্ট করা পরিচয় দিয়ে প্রমাণীকরণ করে যাচাই করুন। যে ক্লায়েন্ট নিজের স্টোরে একটি পাবলিক সার্টিফিকেট গ্রহণ করে, সে কী সম্পর্কে কিছুই প্রমাণ করেনি।

সার্ভার নতুন পরিচয় গ্রহণ করে এবং পুরোটি এখনো নীতি অনুযায়ী আচরণ করে তা নিশ্চিত করে শেষ করুন। এতে পর্যালোচনাটি সঠিক দেখতে ফাইলের বদলে প্রমাণ দিয়ে সম্পূর্ণ হয়।