IKEv2k bi sinadura ditu: ziurtagiria eta IKE_AUTH
CAk ziurtagiria sinatzen du, eta pareak bere IKE_AUTH trukea sinatzen du bere eskema propioarekin. Irakurri bakoitza bere eremutik, eta idatzi biak.
Zure tiketak ziurtagiria SHA-256 dela dio, baina atebidearen erregistroak beste sinadura-algoritmo bat izendatzen du, eta norbaitek CA berriro igortzeko eskaera zirriborratu du jada. Eskaera hori inora joan aurretik, bereizi bi sinadurak: bat igorlearen zigilua da gako publiko batean, bestea hau da: pareak IKE_AUTH bitartean dagokion gako pribatua duela frogatzea. Osagai desberdinek hautatzen dituzte, eta desberdinak izateko baimena dute. Bakoitza bizi den lekutik irakurtzeko bi komando eta taula bat behar dira.
Irakurri igorlearen sinadura ziurtagiritik
CAk bere sinadura jartzen du identitate baten eta gako baten arteko loturan. Sinadura horrek CAk igorpenean egin zuena erregistratzen du, ez subjektuak konektatzean egingo duena, beraz bere algoritmoak CAren hash- eta gako-hautua deskribatzen du. Mota bateko subjektu-gakoa beste mota bateko CA-gako baten azpian egon daiteke inolako kontraesanik gabe, eta CA-gakoaren biraketa errutina da, ez akatsa. Irakurri bi eremuak eta inbentarioaren erdia duzu:
openssl x509 -in peer.pem -noout -text | grep -E "Signature Algorithm|Public Key Algorithm"Idatzi bi etiketak sarrera bereizi gisa. Lehenengoak CA deskribatzen du, bigarrenak subjektuaren gakoa, eta batek ere ez du lineako sinadura aurresaten.
Irakurri lineako sinadura IKE truketik
Autentifikazioan zehar pare bakoitzak truke-datuak sinatzen ditu bere gako pribatuarekin, eta beste aldeak froga hori egiaztatzen du ziurtagiriaren identitatearen, konfiantza-katearen eta politikaren aurka. RSAren kasuan betegarria eta hash-a lineako eskema honi dagozkio, beraz gako luzeago batek edo SHA-256 ziurtagiri berri batek ezin du bere kabuz RSA-PSS hautatu autentifikazio-sinadurarako. Adostutako metodoa daemonaren erregistroan edo bere konexio-zerrendan agertzen da, inoiz ez ziurtagirian. Galdetu alde bakoitzari zer adostu duen, bi norabideak desberdinak izan baitaitezke.
ipsec statusall | grep -i "auth\|proposal"Alde batek besteak ekoiztu ezin duen eskema bat izendatzen duenean, tiketaren gaia zen desadostasuna aurkitu duzu. CA berriro igortzea konponketa okerra da horretarako, ziurtagiria ez baitzen inoiz huts egin zuena.
Zer aldatzen duen RFC 7427k, eta zer ez
Jatorrizko metodoak algoritmo-konbinazioaren arabera zenbakituta daude RFC 7296n. Geroagoko RFC 7427 sinadura-hedapenak Digital Signature metodo orokorra gehitzen du sinadura-hasharen euskarriaren seinaleztapenarekin, beraz hash berri batek ez du jada metodo-zenbaki propiorik behar. Adosten da, ez da suposatzen: pare batek ez du hedapena irabazten bere liburutegiak ziurtagiri berak analiza ditzakeelako, eta jatorrizko metodoak soilik inplementatzen dituen pare batek atebidea horietako bat mantentzera behartzen du. Politika-trukea da, bateragarritasun-kostuarekin, ez akatsa.
Euskarria norabide eta konexio bakoitzeko da, beraz probatu aurrean duzun eraikuntza, familia mailako baieztapen batean fidatu beharrean. Duela hiru urte idatzitako gaitasun-matrize batek hiru urteko eraikuntzak deskribatzen ditu.
Jarri lau errenkada inbentarioan
Eztabaida amaitzen duen erregistroak lau lerro ditu, bakoitza leku desberdin batetik irakurria eta bakoitza pertsona desberdin batek aldatua. Bete ezazu ezer erabaki aurretik, oker dagoen errenkada baita konponketa hautatzen duena.
| Objektua | Nondik irakurri | Norbaitek aldatua |
|---|---|---|
| ziurtagiriaren igorlearen sinadura | ziurtagiriaren Signature Algorithm eremua | CA operadorea, igorpenean |
| subjektuaren gako publikoa | ziurtagiriaren Public Key Algorithm eremua | subjektuaren gakoa sortzen duenak |
| IKE autentifikazio-eskema | daemonaren erregistroa edo konexio-zerrenda, auth eta signature-hash jakinarazpena | IKE profila bi pareetan |
| IKE eta ESP babes-algoritmoak | konexioaren proposamen-zerrenda | IPsec profila, norabide bakoitzeko |
Errenkada bakoitzak bere bateragarritasun-ondorioa dakar. ESP zifraren aldaketak ez du igorlearen sinadura hautatzen, eta CA egiaztapena lasaitzeak ez du pareek inoiz adostu ez zuten lineako metodorik gehitzen. Tiket batek sinadura-desadostasuna dioenean, benetan oker dagoen errenkada ia inoiz ez da lehenengoa.
Konpondu kasu zaharra PKI ahuldu gabe
Pare zaharrago batek zure politikak jada onartzen ez duen eskema bakarrik eskain dezake. Aukerak denboran mugatutako bateragarritasun-salbuespena, bezeroaren eguneratzea edo pare horrentzat soilik beste autentifikazio-antolamendu bat dira. PKI sinadura ahulago baten inguruan berreraikitzeak ez du lineako trukeko muga konpontzen eta CA berari konfiantza ematen dioten gainerako zerbitzu guztiak ahultzen ditu. Idatzi zein errenkada aldatu duzun eta noiz iraungo duen salbuespenak.
Ondoren, exekutatu berriro bi irakurketak goitik, errenkada bateko aldaketak beste batean adosten dena mugi baititzake. Inbentario osoa bi komando eta taula bat da, eta lan bera da parea bideratzailea, eramangarria edo gailua izan.