It kopiearjen fan in VPN-sertifikaat kopiearret de kaai net

De rûnlieding begjint by de sertifikaatlist fan de klant, dêr't de ynskriuwing in namme, in útjouwer en in ferfaldatum sjen lit en fierder neat. Eksportearje it, ymportearje it op it twadde apparaat, en de ferbining wurdt wegere om't de klant net bewize kin dat er de privee kaai besit. It bestân is hielendal kopiearre; de flater is te ferwachtsjen dat in sertifikaat syn eigen kaai meinimt. Lês de eksportdialooch foardat jo it formaat kieze, en ûndersykje dan it bestân dat jo wier krigen hawwe.

Twa klikken, twa hiel ferskillende artefakten.

Lês de eksportdialooch, net de bestânsúteinen

In DER- of PEM-sertifikaateksport befettet in iepenbiere kaai en de ûndertekene identiteitsbewearings, dat is wat in tsjinner nedich hat om jo te fertrouwen en wat in klant nedich hat om in tsjinner te ferifiearjen. In PKCS#12-pakket is in kontener dy't in sertifikaat, syn keatling en de byhearrende privee kaai befetsje kin, beskerme troch in wachtwurd, al kin it ek sûnder de kaai makke wurde.

PEM is allinnich in tekstkodearring, gjin belofte oer de ynhâld. Deselde úteinen kin in inkeld sertifikaat of in bestân mei ferskate labelde blokken beskriuwe, en de eksportopsjes beslisse hokker.

De nuttige fraach is dus nea hokker útwreiding jo krigen hawwe, mar hokker blokken it bestân befettet. In pakket dat sûnder syn kaai eksportearre is, is noch altyd in pakket. Kontrolearje de ynhâld ynstee fan de populariteit fan it formaat.

Ûndersykje wat jo wier krigen hawwe

Sykje de labels foardat jo wat ymportearje, en lês dan de sertifikaatfjilden om te befêstigjen hokker identiteit jo yn de hân hâlde. Fier de kontrôles út op it bestân dat wier ymportearre wurde sil. Werhelje se nei elke nije eksport, om't de opsjes ferskille kinne.

grep -E 'BEGIN (CERTIFICATE|PRIVATE KEY|ENCRYPTED PRIVATE KEY)' bundle.pem
openssl x509 -in client.crt -noout -subject -issuer -dates
openssl pkey -in client.key -noout -text | head -5
openssl pkcs12 -info -in client.p12 -noout

In eksport mei allinnich in sertifikaatblok is in iepenbier objekt en kin net autentisearje. In kaai blok sûnder sertifikaat lit jo sûnder de keatling dy't de tsjinner ferwachtet. De PKCS#12-ynformaasjeútfier meldt ek oft der in kaai is, wat de fraach foar dat formaat beslist. It neamt ek it algoritme en de kaai grutte, en it mislearret folslein as der gjin kaai is.

Plak nea in bestân mei in privee kaai yn in stipe-tried, in probleemtracker of in chat, sels as it liket op it sertifikaat dat jo al diele. Skermôfbyldings fan in kaaipaniel fertsjinje deselde soarch.

De kaai kin wenje op in plak dat jo net kopiearje kinne

Op behearde apparaten kin de privee kaai yn de kaaihinger fan it bestjoeringssysteem, in hardwaretoken of in feilige enklave sitte, mei in belied dat him net-eksportearber markearret. De sertifikaatbehearder lit dan it iepenbiere objekt sjen wylst it geheim bliuwt dêr't it is, en gjin eksportopdracht sil in draachbere kopy meitsje. Ynskriuwing fia behear fan mobile apparaten wurket faak sa fanwege it ûntwerp.

Dat is in kontrôle, gjin obstakel om omhinne te gean. It is net mooglik in privee kaai út it iepenbiere sertifikaat wer op te bouwen, en elk ark dat dat beweart docht wat oars.

Skriuw in nije identiteit yn ynstee fan te kopiearjen

It stipe paad is meastentiids in aparte identiteit foar it nije apparaat ynskriuwe en de âlde ynlûke as dy ôffierd wurdt, sadat elk apparaat ûnôfhinklik weromlutsen wurde kin. Wêr't in eksport mei de kaai wier goedkard is, behannelje it resultearjende bestân en syn wachtwurd as bewiisstikken: fersifere yn rêst, oerbrocht oer in fertroude kanaal, en wiske as de ynskriuwing dien is.

Ferifiearje troch te autentisearjen mei de ymportearre identiteit, net troch te sjen dat de ymport slagget. In klant dy't in iepenbier sertifikaat yn syn opslach akseptearret, hat neat oer de kaai bewiisd.

Einigje troch te befêstigjen dat de tsjinner de nije identiteit akseptearret en dat de âlde him noch hâldt en draacht sa't it belied bedoelt. Sa einiget de rûnlieding mei bewiis, ynstee fan mei in bestân dat der goed útsjocht.