Copiar un certificat VPN no copia la clau

El recorregut comença a la llista de certificats del client, on l'entrada mostra un nom, un emissor i una data de caducitat i res més. Exporta'l, importa'l al segon dispositiu i la connexió es rebutja perquè el client no pot demostrar que posseeix la clau privada. El fitxer es va copiar sencer; l'error és esperar que un certificat porti la seva pròpia clau. Llegeix el diàleg d'exportació abans de triar el format i després inspecciona el fitxer que realment has rebut.

Dos clics, dos artefactes molt diferents.

Llegeix el diàleg d'exportació, no el sufix del fitxer

Una exportació de certificat DER o PEM conté una clau pública i les declaracions d'identitat signades, que és el que un servidor necessita per confiar en tu i el que un client necessita per verificar un servidor. Un paquet PKCS#12 és un contenidor que pot guardar un certificat, la seva cadena i la clau privada corresponent, protegit per una contrasenya, tot i que també es pot crear sense la clau.

PEM només és una codificació de text, no una promesa sobre el contingut. El mateix sufix pot descriure un sol certificat o un fitxer amb diversos blocs etiquetats, i les opcions d'exportació decideixen quin.

Per tant, la pregunta útil no és mai quina extensió has obtingut, sinó quins blocs conté el fitxer. Un paquet exportat sense la seva clau continua sent un paquet. Comprova el contingut i no la popularitat del format.

Inspecciona què has obtingut realment

Busca les etiquetes abans d'importar res, després llegeix els camps del certificat per confirmar quina identitat tens a les mans. Fes les comprovacions al fitxer que realment s'importarà. Repeteix-les després de qualsevol reexportació, perquè les opcions poden variar.

grep -E 'BEGIN (CERTIFICATE|PRIVATE KEY|ENCRYPTED PRIVATE KEY)' bundle.pem
openssl x509 -in client.crt -noout -subject -issuer -dates
openssl pkey -in client.key -noout -text | head -5
openssl pkcs12 -info -in client.p12 -noout

Una exportació amb només un bloc de certificat és un objecte públic i no pot autenticar-se. Un bloc de clau sense certificat et deixa sense la cadena que el servidor espera. La sortida d'informació de PKCS#12 també indica si hi ha una clau, cosa que resol la qüestió per a aquest format. També nomena l'algorisme i la mida de la clau, i falla del tot quan no hi ha cap clau.

No enganxis mai un fitxer amb una clau privada en un fil d'assistència, un rastrejador d'incidències o un xat, ni tan sols quan sembla el certificat que ja comparties. Les captures d'un panell de claus mereixen la mateixa precaució.

La clau pot viure on no pots copiar-la

En dispositius gestionats, la clau privada pot residir al clauer del sistema operatiu, en un testimoni de maquinari o en un enclavament segur, amb una política que la marca com a no exportable. El gestor de certificats mostra llavors l'objecte públic mentre el secret es queda al seu lloc, i cap ordre d'exportació produirà una còpia portàtil. L'alta mitjançant gestió de dispositius mòbils sovint funciona així per disseny.

Això és un control, no un obstacle a esquivar. Reconstruir una clau privada a partir del certificat públic no és possible, i qualsevol eina que ho afirmi fa una altra cosa.

Donar d'alta una identitat nova en lloc de copiar

La via suportada sol ser donar d'alta una identitat diferent per al dispositiu nou i revocar la vella quan es retira, de manera que cada dispositiu es pugui retirar de forma independent. Quan una exportació amb la clau està realment aprovada, tracta el fitxer resultant i la seva contrasenya com a credencials: xifrats en repòs, transferits per un canal de confiança i esborrats quan l'alta ha acabat.

Verifica autenticant-te amb la identitat importada, no mirant si la importació ha reeixit. Un client que accepta un certificat públic al seu magatzem no ha demostrat res sobre la clau.

Acaba confirmant que el servidor accepta la identitat nova i que la vella encara es comporta com la política pretén. Així el recorregut es tanca amb proves, i no amb un fitxer que sembla correcte.