P12 batetik ziurtagiriak esportatu gako pribaturik gabe

Sustapen-txartelak galdetzen du zein ziurtagiri dagoen VPN sortaren barruan, eta lehen bulkada dena esportatu eta eransteko da. P12 fitxategi batek ziurtagiriak eta gako pribatuaren materiala ontzi bakarrean paketatzen ditu, beraz dena esportatzea da hain zuzen bidali behar ez duzuna. Galderari erantzuten dion komandoa hautapen-arazoa da, ez bihurketa-arazoa. Lau flag-ek erabakitzen dute ontziaren zein erdi lortzen duzun, eta horietako bi uste dutena baino seguruagoak dirudite.

Hasi ontzia hustu ordez irakurtzen.

Zer duen PKCS12 fitxategi batek benetan

PKCS12 ontzi batek ziurtagiri bat edo gehiago ditu, agian gako pribatu bat eta edukian zehar message authentication code bat. Ziurtagiriek zure bezero-nortasunaren orri-ziurtagiria eta CA batekin kateatzen duten tartekoak izan ditzakete. Gakoak, dagoenean, fitxategia dokumentu bat beharrean sekretu bihurtzen du.

Bereizketa hori da -nokeys existitzen den arrazoia eta zeregin honek behar duen flag-a izatearena.

Sorta irakurri gakoa idatzi gabe

Ikuskatze-moduak egitura eta algoritmoen xehetasunak inprimatzen ditu eta ez du ezer idazten: openssl pkcs12 -in client.p12 -info -noout. Inportazio-pasahitza eskatzen du, hori baita balio horrentzako leku egokia, eta fitxategiak gakorik duen ala ez esaten dizu. Erabili -passin env:PKCS12_PASS pasahitza idatzi ezin denean, shell-komando batean dagoen pasahitza prozesuen zerrendan dagoen pasahitza delako. Urrats honek ez du ezer esportatzen, eta hori da kontua.

Irakurri irteera hiru gauzatarako: zenbat ziurtagiri, gako bat badagoen eta zein algoritmok babesten duten.

Erabili -nokeys, eta ez nahastu -nocerts-ekin

-nokeys gako pribatuak baztertzen ditu eta ziurtagiriak uzten. -clcerts hori bezero-ziurtagirietara murrizten du, -cacerts CA-ziurtagirietara murrizten du, eta bi horiek iragazkiak dira, ez alternatibak. -nocerts ideia beraren idazkera segurua dirudi eta kontrakoa esan nahi du: ziurtagiririk ez, eta horrek gakoak bakarrik uzten ditu. Ziurtagiri-esportazio batean nahastea da gako pribatu bat diskoan amaitzeko modua.

Ziurtagiri-fitxategi bat eta CA-fitxategi bat, eta besterik ez, sortzen dituen bi lerroko forma hau da:

openssl pkcs12 -in client.p12 -nokeys -clcerts -out client-certificates.pem
openssl pkcs12 -in client.p12 -nokeys -cacerts -out ca-certificates.pem

Sorta zaharrek -legacy behar dute OpenSSL 3-n beren enkriptatze zaharragoa irakurtzeko, eta flag horrek analizatzaileak onartzen duena aldatzen du, ez igortzen duena. Analisiak huts egiten badu onartzen ez den algoritmo baten errorearekin, -legacy gehitzea da lehen urrats zuzena, eta MAC egiaztapena saltatzea ez.

Egiaztatu irteera, ez irteera-kodea

Zero irteera-egoerak komandoa exekutatu zela esaten du, ez fitxategiak zu espero duzuna duenik. Zenbatu ziurtagiriak irteeran eta irakurri subjektua eta datak: openssl x509 -in client-certificates.pem -noout -subject -dates -fingerprint. Konparatu hatz-marka sustapen-taldeak espero duenarekin, bi bezero-ziurtagiri dituen sorta batek bi blokeko fitxategia sortzen duelako eta tresna gehienek lehenengoa baino ez dute irakurtzen. Helburua, konfiantza eta gakoaren bat-etortzea berriro proba bereiziak dira.

Analizatzen den ziurtagiria analizatzen den ziurtagiria da. Ez da VPNak onartzen duen ziurtagiria.

Erabaki fitxategiak behar dituzun ala ez

Hartzaile den bezeroak PKCS12 zuzenean inportatzen badu, sorta originala baimendutako kanal batetik bidaltzea pasahitza bereizita edukita errazagoa da eta babesa mantentzen du. Erabaketak ikuskatzeko, PEM behar duen bezero batentzat edo artefaktu zehatz bat eskatu zuen sustapen-kasu batentzat dira. Erabaketak geruza bat kentzen du eta arrazoi bat izan beharko luke.

Ziurtagiri publikoek ez dute gako pribatua, baina bai izenak eta erakundearen xehetasunak. Partekatu txartelak eskatutako eremuak fitxategia baino, fitxategia izan ez bada eskatutakoa.