VPN-sertifikaadi kopeerimine ei kopeeri võtit

Ülevaade algab kliendi sertifikaatide loendist, kus kirje näitab nime, väljaandjat ja aegumiskuupäeva ega midagi muud. Eksportige see, importige see teise seadmesse ja ühendus lükatakse tagasi, sest klient ei suuda tõestada privaatvõtme valdamist. Fail kopeeriti täielikult; viga on eeldada, et sertifikaat kannab oma võtit. Lugege ekspordidialoogi enne vormingu valimist ja seejärel uurige faili, mille tegelikult saite.

Kaks klikki, kaks väga erinevat artefakti.

Lugege ekspordidialoogi, mitte faililaiendit

DER- või PEM-sertifikaadi eksport sisaldab avalikku võtit ja allkirjastatud identiteediväiteid, mida server vajab, et teid usaldada, ja mida klient vajab, et serverit kontrollida. PKCS#12-pakett on konteiner, mis võib sisaldada sertifikaati, selle ahelat ja vastavat privaatvõtit, parooliga kaitstuna, kuigi seda saab luua ka ilma võtmeta.

PEM on ainult tekstikodeering, mitte lubadus sisu kohta. Sama laiend võib kirjeldada üht sertifikaati või faili mitme märgistatud plokiga ning ekspordivalikud otsustavad, milline neist.

Seega pole kasulik küsimus kunagi see, millise laiendi saite, vaid see, milliseid plokke fail sisaldab. Ilma võtmeta eksporditud pakett on ikkagi pakett. Kontrollige sisu, mitte vormingu populaarsust.

Uurige, mida te tegelikult saite

Otsige silte enne, kui midagi impordite, seejärel lugege sertifikaadi välju, et kinnitada, millist identiteeti hoiate. Tehke kontrollid failil, mis tegelikult imporditakse. Korrake neid pärast iga uut eksporti, sest valikud võivad erineda.

grep -E 'BEGIN (CERTIFICATE|PRIVATE KEY|ENCRYPTED PRIVATE KEY)' bundle.pem
openssl x509 -in client.crt -noout -subject -issuer -dates
openssl pkey -in client.key -noout -text | head -5
openssl pkcs12 -info -in client.p12 -noout

Ainult sertifikaadiplokiga eksport on avalik objekt ega saa autentida. Ilma sertifikaadita võtmeblokk jätab teid ilma ahelast, mida server ootab. PKCS#12 teabe väljund teatab ka, kas võti on olemas, mis lahendab selle vormingu küsimuse. See nimetab ka algoritmi ja võtme suurust ning ebaõnnestub täielikult, kui võtit pole.

Ärge kunagi kleepige privaatvõtit sisaldavat faili tugiteemasse, veahaldusesse ega vestlusesse, isegi kui see näeb välja nagu sertifikaat, mida te juba jagasite. Võtmepaneeli ekraanipildid väärivad sama ettevaatlikkust.

Võti võib asuda kohas, kust te ei saa seda kopeerida

Hallatavatel seadmetel võib privaatvõti paikneda operatsioonisüsteemi võtmehoidlas, riistvaralises märgis või turvalises turvapiirkonnas, kusjuures poliitika märgib selle mitteeksporditavaks. Sertifikaadihaldur näitab siis avalikku objekti, samal ajal kui saladus jääb oma kohale, ja ükski ekspordikäsk ei loo kaasaskantavat koopiat. Mobiilseadmete halduse kaudu registreerimine toimib sageli just nii.

See on kontroll, mitte takistus, millest mööda minna. Privaatvõtit ei ole võimalik avalikust sertifikaadist rekonstrueerida ja iga tööriist, mis seda väidab, teeb midagi muud.

Registreerige uus identiteet kopeerimise asemel

Toetatud tee on tavaliselt registreerida uuele seadmele eraldi identiteet ja tühistada vana, kui see kasutusest kõrvaldatakse, et iga seadet saaks iseseisvalt tagasi võtta. Kui võtmega eksport on tõesti heaks kiidetud, käsitlege saadud faili ja selle parooli mandaatidena: krüpteeritult puhkeolekus, usaldusväärse kanali kaudu üle kantuna ja kustutatuna, kui registreerimine on lõpetatud.

Kontrollige, autentides imporditud identiteediga, mitte jälgides impordi õnnestumist. Klient, kes võtab avaliku sertifikaadi oma hoidlasse, ei ole võtme kohta midagi tõestanud.

Lõpetage, kinnitades, et server võtab uue identiteedi vastu ja et vana käitub endiselt nii, nagu poliitika ette näeb. Nii lõpeb ülevaade tõenditega, mitte failiga, mis näeb õige välja.