VPN ziurtagiria kopiatzeak ez du gakoa kopiatzen

Ibilbidea bezeroaren ziurtagiri-zerrendan hasten da; bertan, sarrerak izen bat, jaulkitzaile bat eta iraungitze-data bat erakusten ditu eta besterik ez. Esportatu, bigarren gailuan inportatu, eta konexioa ukatzen da bezeroak ezin duelako gako pribatuaren jabetza frogatu. Fitxategia osorik kopiatu zen; akatsa ziurtagiri batek bere gakoa eramango duela espero izatea da. Irakurri esportazio-elkarrizketa formatua aukeratu aurretik, eta gero aztertu benetan jaso duzun fitxategia.

Bi klik, bi artefaktu erabat desberdin.

Irakurri esportazio-elkarrizketa, ez fitxategiaren atzizkia

DER edo PEM ziurtagiri-esportazio batek gako publiko bat eta sinatutako identitate-adierazpenak ditu, hau da, zerbitzari batek zu fidatzeko behar duena eta bezero batek zerbitzari bat egiaztatzeko behar duena. PKCS#12 paketea ziurtagiri bat, haren katea eta dagokion gako pribatua gorde ditzakeen edukiontzia da, pasahitz batez babestua, nahiz eta gakoa gabe ere sor daitekeen.

PEM testu-kodeketa bat besterik ez da, ez edukiari buruzko promesa. Atzizki berak ziurtagiri bakarra edo etiketa anitzeko blokeak dituen fitxategi bat deskriba dezake, eta esportazio-aukerak dira zein den erabakitzen dutenak.

Beraz, galdera erabilgarria ez da inoiz zein luzapen lortu duzun, fitxategiak zein bloke dituen baizik. Gakoa gabe esportatutako paketea paketea da oraindik. Egiaztatu edukia, ez formatuaren ospea.

Aztertu benetan zer lortu duzun

Bilatu etiketak ezer inportatu aurretik, eta gero irakurri ziurtagiriaren eremuak zein identitate duzun baieztatzeko. Egin egiaztapenak benetan inportatuko den fitxategian. Errepikatu berresportazio bakoitzaren ondoren, aukerak desberdinak izan baitaitezke.

grep -E 'BEGIN (CERTIFICATE|PRIVATE KEY|ENCRYPTED PRIVATE KEY)' bundle.pem
openssl x509 -in client.crt -noout -subject -issuer -dates
openssl pkey -in client.key -noout -text | head -5
openssl pkcs12 -info -in client.p12 -noout

Ziurtagiri-blokea soilik duen esportazioa objektu publikoa da eta ezin da autentifikatu. Ziurtagiririk gabeko gako-blokeak zerbitzariak espero duen katea gabe uzten zaitu. PKCS#12 informazio-irteerak gakoa badagoen ere adierazten du, eta horrek formatu horretarako galdera argitzen du. Algoritmoa eta gakoaren tamaina ere aipatzen ditu, eta guztiz huts egiten du gakorik ez dagoenean.

Inoiz ez itsatsi gako pribatua duen fitxategirik laguntza-hari batean, arazo-rastailu batean edo txat batean, dagoeneko partekatu zenuen ziurtagiria badirudi ere. Gako-panel baten pantaila-argazkiek zuhurtzia bera merezi dute.

Gakoa kopiatu ezin duzun tokian bizi daiteke

Kudeatutako gailuetan gako pribatua sistema eragilearen gako-sortan, hardware-token batean edo ingura zehatz seguru batean egon daiteke, politikak esportaezina dela markatuta. Orduan ziurtagiri-kudeatzaileak objektu publikoa erakusten du sekretua bere tokian geratzen den bitartean, eta inongo esportazio-komandok ez du kopia eramangarririk sortuko. Gailu mugikorren kudeaketaren bidezko erregistroak horrela funtzionatzen du sarritan, diseinuz.

Hori kontrol bat da, ez saihesteko oztopoa. Ezinezkoa da gako pribatua ziurtagiri publikotik berreraikitzea, eta hori dioen tresnak beste zerbait egiten du.

Erregistratu identitate berria kopiatu ordez

Bide onartuak normalean hau eskatzen du: gailu berrirako identitate bereizi bat erregistratzea eta zaharra erretiratzen denean baliogabetzea, gailu bakoitza modu independentean erretiratu ahal izateko. Gakoarekin egindako esportazioa benetan onartuta dagoen lekuan, tratatu sortutako fitxategia eta haren pasahitza kredentzial gisa: geldirik zifratuta, kanal fidagarri baten bidez transferituta eta erregistroa amaitzean ezabatuta.

Egiaztatu inportatutako identitatearekin autentifikatuz, ez inportazioak arrakasta izan duela begiratuz. Bere biltegian ziurtagiri publiko bat onartzen duen bezeroak ez du ezer frogatu gakoari buruz.

Amaitu zerbitzariak identitate berria onartzen duela eta zaharrak politikak nahi duen bezala jokatzen jarraitzen duela baieztatuz. Horrela ibilbidea ebidentziekin ixten da, zuzena dirudien fitxategi batekin beharrean.