Sertifikaatide eksportimine P12-st ilma privaatvõtmeta

Klienditugi küsib, milline sertifikaat on VPN-kimbus, ja esimene impulss on eksportida kõik ja see lisada. P12-fail pakendab sertifikaadid ja privaatvõtme materjali ühte konteinerisse, seega on kõige eksportimine täpselt see, mida ei tohiks saata. Küsimusele vastav käsk on valikuprobleem, mitte teisendusprobleem. Neli valikut otsustavad, kummale poole konteinerist te saate, ja kaks neist kõlavad turvalisemalt, kui nad on.

Alustage konteineri lugemisest, mitte selle tühjendamisest.

Mida PKCS12-fail tegelikult sisaldab

PKCS12-konteiner sisaldab ühte või mitut sertifikaati, võimalik, et privaatvõtit, ja sisu kohal olevat message authentication code'i. Sertifikaadid võivad sisaldada teie kliendiidentiteedi lehtsertifikaati ja vahesertifikaate, mis seovad selle CA-ga. Võti, kui see on olemas, teeb failist saladuse, mitte dokumendi.

See erinevus on põhjus, miks -nokeys olemas on ja miks see on valik, mida see ülesanne vajab.

Lugege kimpu võtit välja kirjutamata

Kontrollvorm prindib struktuuri ja algoritmide üksikasjad ega kirjuta midagi: openssl pkcs12 -in client.p12 -info -noout. See küsib impordi parooli, mis on selle väärtuse jaoks õige koht, ja ütleb, kas fail sisaldab üldse võtit. Kasutage -passin env:PKCS12_PASS, kui parooli ei saa sisestada, sest shell-käsus olev parool on parool protsesside loendis. See samm ei ekspordi midagi, ja see ongi kogu mõte.

Lugege väljundist kolme asja: kui palju sertifikaate, kas võti on olemas ja millised algoritmid seda kaitsevad.

Kasutage -nokeys ja ärge ajage seda segi -nocerts-iga

-nokeys välistab privaatvõtmed ja jätab sertifikaadid. -clcerts kitsendab selle kliendisertifikaatidele, -cacerts kitsendab selle CA-sertifikaatidele, ja need kaks on filtrid, mitte alternatiivid. -nocerts loeb nagu sama idee turvaline kirjaviis ja tähendab vastupidist: sertifikaate pole, mis jätab alles ainult võtmed. Selle sertifikaadieksporti segamine on viis, kuidas privaatvõti kettale satub.

Kaherealine vorm, mis toodab sertifikaadifaili ja CA-faili ning mitte midagi muud, on:

openssl pkcs12 -in client.p12 -nokeys -clcerts -out client-certificates.pem
openssl pkcs12 -in client.p12 -nokeys -cacerts -out ca-certificates.pem

Vanad kimbud vajavad OpenSSL 3 juures -legacy, et lugeda oma vanemat krüpteerimist, ja see valik muudab seda, mida parser aktsepteerib, mitte seda, mida see väljastab. Kui parsimine ebaõnnestub toetamata algoritmi veaga, on -legacy lisamine õige esimene samm ja MAC-kontrolli vahelejätmine mitte.

Kontrollige väljundit, mitte väljumiskoodi

Nulli väljumisstaatus ütleb, et käsk jooksis, mitte et fail sisaldab seda, mida ootate. Loendage sertifikaadid väljundis ja lugege subjekt ja kuupäevad: openssl x509 -in client-certificates.pem -noout -subject -dates -fingerprint. Võrrelge sõrmejälge sellega, mida tugimeeskond ootab, sest kahe kliendisertifikaadiga kimp annab kahe plokiga faili ja enamik tööriistu loeb ainult esimest. Eesmärk, usaldus ja võtme vastavus on jälle eraldi testid.

Sertifikaat, mida saab parsida, on sertifikaat, mida saab parsida. See ei ole sertifikaat, mida VPN aktsepteerib.

Otsustage, kas teil on üldse faile vaja

Kui vastuvõtja klient impordib PKCS12 otse, on algse kimbu saatmine heakskiidetud kanali kaudu parooli eraldi hoides lihtsam ja säilitab kaitse. Ekstraktimine on kontrollimiseks, kliendi jaoks, kes vajab PEM-i, või tugijuhtumi jaoks, mis küsis konkreetset artefakti. Iga ekstraktimine eemaldab ühe kihi ja peaks olema põhjusega.

Avalikud sertifikaadid ei sisalda privaatvõtit, kuid sisaldavad nimesid ja organisatsiooni andmeid. Jagage välju, mida pilet küsis, mitte faili, välja arvatud juhul, kui fail oli see, mida küsiti.