Teipeann P12 sean ar OpenSSL 3: focal faire mícheart nó síothrú sean?

Tógann an dialóg allmhairithe do phasfhocal, casann sé ar feadh nóiméid, agus deir sé ansin nach féidir leis an bpacáiste a léamh. Ní insíonn aon rud sa teachtaireacht sin duit ar chlóscríobh tú an fhrása faire go mícheart nó ar séalaíodh an comhad le síothrú nach soláthraíonn an cliant a thuilleadh. Teipeanna difriúla iad sin le réitigh dhifriúla, agus má roghnaíonn tú go mícheart téann tú i muinín íosghrádaithe cliaint nach gcuireann ach an cinneadh ar athló. Má bhreathnaíonn tú ar an gcéim a stopann an cliant inti, scarann tú iad in aon nóiméad amháin.

Cad a tharlaíonn idir an dialóg agus an liosta teastas

Is coimeádán é comhad .p12, ní teastas. Istigh tá mála amháin nó níos mó teastas agus mála eochair phríobháidí atá criptithe le heochair a dhíorthaítear ó do phasfhocal, chomh maith le seiceáil sláine ar a dtugtar MAC ar an gcomhad ar fad. Chun é a oscailt caithfidh tú an MAC sin a fhíorú, an mála eochrach a dhíchriptiú agus an teastas a mheaitseáil leis an eochair a thagann amach.

Tagann fadhb phasfhocail ag an gcéim MAC. Tagann fadhb síothrú níos déanaí, nuair a chaithfear an mála eochrach a dhíphacáil agus nach bhfuil aon chur i bhfeidhm ag an leagan a dhéanann é sin don algartam a luaitear sa chomhad.

Tá an dara cás coitianta ar chórais reatha mar gheall gur bhog OpenSSL 3 grúpa algartam sean go soláthraí legacy roghnach. Is gnách go séalaíodh pacáistí a onnmhairíonn OpenSSL 1.x na teastais le RC2 40-giotán agus an eochair phríobháideach le Triple DES trí eochair. Fíoraíonn leagan réamhshocraithe OpenSSL 3 an MAC fós le do phasfhocal ceart agus teipeann sé ansin ar an mála, mar sin ní raibh an pasfhocal riamh mícheart agus ní athraíonn a athchlóscríobh aon rud.

Léigh an coimeádán gan eochair a scríobh amach

Iarr ar an leagan OpenSSL ar do mheaisín féin an comhad a pharsáil agus an pointe a léamh ina dtagann sé suas. Fágann iniúchadh gan comhad aschuir an eochair criptithe ar an diosca, agus sin an t-aon chúis go bhfuil an chéim seo sábháilte ar óstach roinnte.

openssl pkcs12 -in vpn-identity.p12 -info -noout

Ar phacáiste legacy leis an bpasfhocal ceart priontálann sé seo tréithe an mhála agus stopann sé ansin le digital envelope routines::unsupported. Le pasfhocal mícheart faigheann tú Mac verify error: invalid password? sula léitear aon mhála. Tá an dá theachtaireacht ag pointeáil i dtreonna contrártha, agus sin go beacht an t-eolas a choinnigh an cliant siar.

Más é teip an algartaim nach dtacaítear leis, rith an t-ordú céanna arís le -legacy curtha leis agus gan aon rud eile athraithe. Luchtaíonn an bhratach sin an soláthraí legacy don phróiseas aonair sin. Ní chuireann sé ar an gcliant VPN pacáistí sean a pharsáil, ní bhaineann sé le beartas cripte an chórais ar fad, agus is tomhas é seachas deisiú, mar caithfear an comhad a mhalartú fós.

Cén earráid a chiallaíonn cén chéim

Coinníonn tábla gairid na trí thoradh óna chéile, agus tá an fhoclaíocht níos tábhachtaí ná an áit ar tháinig an dialóg chun solais.

Ní bhaineann téacs ar nós not enough data nó header too long le ceachtar den chéad dá ghrúpa. Is fadhb fhormáide é: comhad DER a athainmníodh go .pem, cóip a mhilleadh ag eagarthóir a athscríobh deirí líne, nó íoslódáil neamhiomlán. Cuir an tseiceamhas i gcomparáid leis an gceann a sheol an t-eisitheoir sula dtosaíonn tú ag féachaint ar shíothrú.

Caith le Mac verify error mar fhianaise faoin bpasfhocal amháin. Ciallaíonn sé nach meaitseálann an MAC a ríomhtar ón méid a chlóscríobh tú an luach stóráilte, rud a tharlaíonn le clóscríobh mícheart, le pasfhocal atá i dtaisce ó allmhairiú níos luaithe, nó le comhad a ath-onnmhairíodh faoi fhrása faire eile. Ní deir sé aon rud faoi cé acu atá na halgartaim istigh sean.

Tóg pacáiste ar féidir leis an gcliant a oscailt i ndáiríre

Nuair a dhearbhaíonn an parsálaí legacy go bhfuil an comhad sásta, is é an deisiú buan ionadaí a dtacaíonn an cliant sprice lena algartaim: AES-256-CBC do na málaí eochrach agus teastas, PBKDF2 le SHA-256 don díorthú agus SHA-256 don MAC. Is féidir le do riarthóir PKI é sin a onnmhairiú ón ábhar eochrach céanna, agus fanann an teastas istigh mar an ceann a bhfuil muinín ag do fhreastalaithe as cheana.

Nuair a chaithfidh tú tiontú go háitiúil, iarr ar an uirlis pkcs12 na málaí a athshéalú in ionad iad a dhumpáil ar dtús. Coinnigh an dá fhrása faire as stair do bhlaosc trí iad a léamh ó chomhad.

openssl pkcs12 -in vpn-identity.p12 -out vpn-identity-aes.p12 \
  -keypbe AES-256-CBC -certpbe AES-256-CBC -macalg sha256 \
  -passin file:old.pass -passout file:new.pass

Ní deir tiontú rathúil aon rud faoi dhul in éag, faoi úsáid eochrach, faoi mheaitseáil na heochrach príobháidí ná faoi cé acu a bhfuil muinín ag an bhfreastalaí as an slabhra eisithe. Is athrú iompair é athphacáil, ní athnuachan, agus tá a sheiceáil féin ag teastáil ó gach ceann díobh fós.

Léim thar aon oideas a scríobhann eochair idirmheánach gan chosaint nó pasfhocal aschuir folamh díreach mar gur ghlac an cliant leis an gcomhad ina dhiaidh sin. Is toradh níos measa é pacáiste inléite a bhfuil an chosaint bainte de ná an teip allmhairithe ar thosaigh tú léi.

Deimhnigh gur allmhairigh an cliant an comhad a thóg tú

Cruthaíonn parsáil ghlan i dteirminéal go bhfuil an coimeádán bailí. Ní chruthaíonn sé gur roghnaigh an cliant é, mar is féidir le próifíl a fágadh ina dhiaidh sin leanúint ag pointeáil chuig an sean-chomhad, agus cuireann roinnt cliant féiniúlacht allmhairithe i dtaisce faoi ainm nár roghnaigh tú.

Priontáil an fhéiniúlacht atá tú ar tí a hallmhairiú agus cuir i gcomparáid léi an méid a thaispeánann an cliant ina amharc teastas.

openssl pkcs12 -in vpn-identity-aes.p12 -clcerts -nokeys -passin file:new.pass \
  | openssl x509 -noout -subject -dates -fingerprint -sha256

Bain an iontráil próifíle atá as dáta ar dtús, ansin allmhairigh. Má logálann an cliant an t-ábhar nó an mhéarlorg a lódáil sé, meaitseáil leis an líne thuas é; mura dtaispeánann sé ach ainm cairdiúil, seiceáil an dáta dul in éag ina ionad, mar is deacra é a mheascadh le teastas eile ón eisitheoir céanna.

Liostaíonn tagairt PKCS12 na roghanna soláthraí, frása faire agus aschuir a úsáidtear anseo. Is é an pointe an soláthraí legacy a choinneáil amuigh as timpeallacht an chliaint: tomhais leis, seol gan é, agus fág an eochair phríobháideach cosanta ar an diosca.