strongSwan: gako mota, kargatzailea eta backend okerra

PEM edukiontzi bat da, ez gako mota bat. Konparatu ziurtagiriaren gako publikoa pribatuarekin, eta gero kargatu benetan irakurtzen duen backendaren bidez.

Fitxategi-luzapenek ez dituzte gako-algoritmoak identifikatzen, eta .pem bilgarri batek RSA edo ECDSA materiala eduki dezake. PEMek byteak nola bilduta dauden deskribatzen du, RSAk eta ECDSAk algoritmo desberdinak izendatzen dituzten bitartean, eta PKCS12 fitxategia hirugarren gauza bat da. strongSwanek kredentzialak plugin eta konfigurazioko backend baten bidez kargatzen ditu, beraz ziurtagiri bat zerrendan ager daiteke gako pribatua inoiz erabilgarri bihurtu gabe. Bereizi geruza horiek edozein sekretu editatu aurretik.

Kodeketa, algoritmoa eta paketatzea hiru geruza dira

Gako-fitxategi batek kodeketa, algoritmo eta askotan edukiontzi bat du. PEM base64 bilgarri ezaguna da; DER haren bertsio bitarra da; PKCS12k ziurtagiri bat bere gakoarekin eta katearekin batera biltzen du. Ziurtagiri-kate fitxategia beste edukiontzi bat da, eta normalean ez du gako pribaturik izaten. Etiketa horietako batek ere ez du esaten barruko materiala RSA edo ECDSA den.

Irakurri algoritmoa objektutik bertatik. Hornitzaile baten marketin-izena edo fitxategi-luzapen bat ez dira froga, igorle berak gako mota desberdinak eman baititzake.

Konparatu gako publikoak kargatzailea errudun egin aurretik

Kargatzen den ziurtagiri batek ziurtagiria analizatu dela frogatzen du, ez bere gako pribatua dagoenik edo erabilgarria denik. Atera gako publikoa ziurtagiritik eta proposatutako gako pribatutik, eta gero konparatu bi digests. Edozein erauzketa huts egiten badu, gelditu hor, irteera huts baten digestak ezer ez baitu frogatzen. Bat datozen digestek bikotea elkarrekin doala frogatzen dute, eta ezer gehiago ziurtagiria lanerako egokia den ala ez.

openssl x509 -in server.crt -pubkey -noout |
    openssl pkey -pubin -outform DER |
    openssl dgst -sha256

openssl pkey -in server-key.pem -pubout -outform DER |
    openssl dgst -sha256

Bigarren komandoak zure makinako material pribatua ukitzen du, baina erdi publikoa baino ez du igortzen. Eutsi horrela, eta inoiz ez itsatsi gako pribatu bat tiket batean. Gakoa enkriptatuta badago, utzi tresna onartuari pasahitza eskatzen, komando-lerroan jarri beharrean, non prozesuen zerrendak agerian utzi dezakeen.

ipsec.secrets zaharra edo swanctl kredentzialak

strongSwanek bi kredentzial-bide ohiko ditu. starter pila zaharrak mota espezifikoko sarrerak irakurtzen ditu ipsec.secrets, eta sarrera bakoitzak materialerako mota zuzena adierazi behar du. swanctl eta vici pilak bere kredentzial-direktorioetatik kargatzen ditu gakoak, bere konfigurazioaren bidez. Exekutatzen ari den backendak irakurtzen ez duen fitxategia editatzeak ez du ezer aldatzen.

: ECDSA "/etc/ipsec.d/private/server-key.pem"

Ezagutu zein backend ari den benetan exekutatzen, eta gero jarri gakoa backend horrek begiratzen duen tokian. strongSwan 5.9 eskuliburu zaharra mota espezifikoko sekretu-sarrerak definitzen ditu, eta ez da swanctl dokumentazioa. Biak nahasteak administratzaileak autoritatetzat jotzen duen fitxategia alde batera uzten duen daemon bat sortzen du. Errorerik jakinarazten ez duen berriz kargatzeak konfigurazioa analizatu dela baino ez du esan nahi.

Irakurri karga-gertaera eta autentifikazioaren emaitza

Berriz karga kontrolatu baten ondoren, irakurri daemonaren beraren karga-irteera gako zehatzarentzat. Egoera-bilketan zerrendatutako ziurtagiri batek ez du erakusten gako pribatua harekin parekatu zenik.

Bezeroak oraindik huts egiten badu, eduki bereizita zerbitzariaren gertaera eta bezeroaren errorea. Katearen balidazioa, identitatearen parekatzea eta metodoen bateragarritasuna geroko galderak dira, beren frogekin. Idatzi emaitza gako-bide zehatzarekin eta konparatu duzun digestarekin, bestela hurrengo txandak berriz karga bera errepikatuko baitu. CA ordezkatzea ez da kargatzailearen desadostasunari emandako lehen erantzuna.

Erlazionatutako artikuluak