PKCS12, PEM nó DER: cad atá de dhíth ar chliant VPN i ndáiríre
Socraíonn an phacáil an iompórtálann do chliant an t-aitheantas, ní cé acu atá muinín agat as. Cuir PKCS12, PEM agus DER i gcomparáid, ansin fíoraigh.
Tá dhá éileamh ag scaipeadh i bhfóraim na dteastas. Is é an chéad cheann gurb é .p12 an rogha láidir agus gurb é .pem an ceann scaoilte; is é an dara ceann go gcaithfidh comhad téacs a bheith sábháilte le seoladh toisc gur féidir leat é a léamh. Ní thagann ceachtar acu slán ón scrúdú nóiméid.
Déanann PKCS12, PEM agus DER cur síos ar an gcaoi a ndéantar réada teastais a phacáil agus a ionchódú. Ní shocraíonn siad cé hé an piara, an bhfuil muinín ag an eisitheoir, ná an dteastaíonn pasfhocal ón gcomhad.
Is ceist chomhoiriúnachta é an rud a ghlacann an cliant. Is ceist aitheantais é an rud atá sa chomhad. Coinnigh iad siúd óna chéile agus stopfaidh an chuid is mó de na hearráidí iompórtála a bheith mistéireach.
Trí choimeádán, múnla réada amháin
Tosaigh leis an rud atá agat i ndáiríre. Is éard is teastas ann ráiteas sínithe faoi eochair phoiblí. Is ábhar ar leith í an eochair phríobháideach a chruthaíonn go rialaíonn tú an eochair sin. Is éard is slabhra ann an tacar eisitheoirí a nascann do theastas le fréamh a bhfuil muinín ag an gcliant aisti. Tá an triúr ann beag beann ar an bpacáil.
Is coimeádán é comhad PKCS12, de ghnáth .p12 nó .pfx, a shainmhínítear in RFC 7292 agus is féidir leis eochair phríobháideach, teastas amháin nó níos mó agus an slabhra a iompar i mbloc amháin atá cosanta ag pasfhocal, le halias a ainmníonn an t-aitheantas. Is fráma téacs é comhad PEM a shainmhínítear in RFC 7468: comhlacht base64 idir línte BEGIN agus END, agus is féidir le comhad amháin roinnt bloc a choinneáil ina dhiaidh a chéile. Is é DER ionchódú dénártha na struchtúr ASN.1 céanna, agus is é comhlacht PEM go litriúil DER atá fillte le base64.
Is fiú an abairt dheireanach sin a mheabhrú. Athscríobhann tiontú PEM go DER an fráma, ní an t-ábhar, agus tugann an tiontú ar ais na bunchlóis.
| Container | Can hold | Does not decide |
|---|---|---|
| PKCS12 (.p12, .pfx) | Key, leaf certificate, chain, alias, password | Which root the client trusts |
| PEM (.pem, .crt, .cer) | Any number of base64 blocks | Whether the private key is present |
| DER (.der, .cer) | One binary structure | The object type, whatever the extension says |
Ní criptiú é ionchódú
Aibítir iompair is ea base64. Ní cheileann sé aon rud, agus is féidir le haon duine bloc PEM a dhíchódú i sliogán. Tá comhad DER dénártha agus chomh poiblí céanna. Ní cosaint ceachtar den dá airí, agus ní thugann ceachtar le tuiscint go bhfuil pasfhocal ann.
Tá an fhíorchosaint san ábhar eochrach. Is féidir le beartán PKCS12 a ábhar a chriptiú faoi eochair a dhíorthaítear ó phasfhocal. Is féidir eochair phríobháideach PEM a chriptiú le seancheannbloc nó a choinneáil i PKCS#8 EncryptedPrivateKeyInfo. Ní choinníonn teastas leis féin aon rud rúnda, agus mar sin fágann onnmhairiú nár tháirg ach teastas an cliant gan cumas chun fíordheimhniú, cibé formáid a chuirfidh tú timpeall air.
Is leid í an síneadh, ní conradh. Tagann comhaid a chríochnaíonn le .cer agus .crt sa dá ionchódú, agus onnmhairíonn fearais teastais DER faoi ainmneacha .pem chomh minic sin go gcosnaíonn buille faoi thuairim ón iarmhír tráthnóna amháin. Léigh na chéad chlóis ina ionad: osclaíonn comhad PEM le líne BEGIN, agus tosaíonn DER le 0x30 toisc gurb é SEQUENCE an struchtúr seachtrach.
Cén fáth a dteipeann ar an iompórtáil i ndáiríre
Comhbhrúnn teachtaireachtaí earráide an chliaint roinnt fadhbanna éagsúla in aon abairt amháin faoi theastas neamhbhailí, mar sin deighil iad de réir cúise. Is é an ceann is coitianta mí-oiriúnú ionchódaithe: filleann cliant a pharsálann PEM earráid pharsála ar chomhad DER, agus is tiontú an réiteach seachas teastas nua. Is é an dara ceann eochair ar iarraidh, áit a bhfuil an teastas ceart agus nach féidir an t-aitheantas a chruthú. Is é an tríú ceann an slabhra, áit a bhféachann beartán gan a idirmheánach ceart sa dialóg iompórtála agus a theipeann le linn an chroitheadh láimhe.
Cruthaíonn paraiméadair chriptithe an ceathrú ceann, agus féachann sé go beacht cosúil le pasfhocal mícheart. Onnmhairíodh fearais níos sine comhaid PKCS12 le RC2-40 agus 3DES, a dhiúltaíonn OpenSSL 3 mura bhfuil an soláthraí legacy lódáilte. Is é an t-ath-onnmhairiú ón bhfearas le AES-256-CBC agus PBKDF2 an réiteach marthanach. Is droch-mhalartú é seancheifreacha a fhágáil cumasaithe go buan ar mheaisín cliaint chun freastal ar chomhad amháin.
Is é an cúigiú ceann débhríocht. Cuireann coimeádán a bhfuil dhá eochair agus dhá theastas ann, nó comhad PEM le trí bhloc CERTIFICATE, iallach ar an gcliant rogha a dhéanamh, agus is minic nach mbíonn ina rogha ach an chéad mhír. Nuair a éiríonn tollán le haitheantas mícheart, is gnách gurb é sin an chúis.
Scrúdaigh sula ndéanann tú tiontú
Léigh an struchtúr gan rúin a phriontáil. Tuairiscíonn openssl pkcs12 -in bundle.p12 -info -noout na halgartaim chriptithe agus na haliasanna agus cuireann sé aschur eochrach agus teastais faoi chois, agus déanann lámhleabhar openssl-pkcs12 na bratacha a dhoiciméadú. Is éard atá i mbaint -noout agus i gcur -nodes ná comhaid a tháirgeadh a bhfuil tú ag iarraidh iad a choinneáil, ní le haghaidh sracfhéachana, mar scríobhann sé an eochair phríobháideach go soiléir.
I gcás teastais, freagraíonn openssl x509 -in cert.pem -noout -subject -issuer -dates an rud nach bhfreagróidh dialóg iompórtála, agus taispeánann -ext subjectAltName curtha leis na hainmneacha a bhfuil an teastas bailí dóibh i ndáiríre. Más comhad DER é, cuir -inform DER leis; réitíonn an bratach amháin sin an chuid is mó de na hearráidí unable-to-load.
Is meicniúil é eochair a mheaitseáil le teastas, agus is fiú é a dhéanamh roimh aon iompórtáil:
openssl x509 -in cert.pem -noout -pubkey | openssl sha256openssl pkey -in key.pem -pubout | openssl sha256
Ciallaíonn díleáiteanna comhionanna gur le chéile don phéire. Ciallaíonn díleáiteanna éagsúla go bhfuil an eochair mhícheart agat, agus ní athróidh aon tiontú formáide sin.
An rud nach n-athraíonn an fhormáid riamh
Tarlaíonn cinntí muiníne os cionn an choimeádáin. Siúlann an cliant an slabhra go fréamh ina stór, seiceálann sé an fhuinneog bhailíochta, seiceálann sé úsáid leathnaithe na heochrach le haghaidh fíordheimhnithe cliaint, agus ar thaobh an fhreastalaí seiceálann sé go bhfuil an t-ainm ar a ghlaoigh sé le feiceáil sa teastas. Ní léann aon cheann de na céimeanna sin síneadh comhaid.
Sin é an fáth a bhfuil athainmniú comhaid go dtí go n-imíonn earráid ina bhealach chomh hiontaofa sin chun am a chur amú. Éiríonn leis an iompórtáil, tá an t-aitheantas mícheart fós, agus tagann an teip ar ais le linn an chroitheadh láimhe áit a bhfuil an teachtaireacht níos lú cabhrach. Sin freisin an fáth a n-iompórtáiltear beartán a onnmhairíodh dhá bhliain ó shin go glan agus a ndiúltaítear dó mar sin féin: thaistil an dáta éaga laistigh den teastas, ní in ainm an chomhaid.
Ord a sheachnaíonn athshaothar
Fiafraigh de dhoiciméadú an chliaint cé na hionchóduithe a ghlacann sé agus cén coimeádán a bhfuil súil aige leis le haghaidh aitheantais cliaint, agus ansin féach ar an rud a tugadh duit. Más mian leis an gcliant aitheantas amháin in-iompórtála agus má tá comhaid PEM scaoilte agat, tóg an beartán uair amháin le pasfhocal a rialaíonn tú agus coinnigh na foinsí. Más mian leis PEM, bain an eochair agus an slabhra amach, agus ansin bain na comhaid idirmheánacha tríd an bpróiseas láimhseála dintiúir a úsáideann do fhoireann cheana féin.
Tar éis an iompórtála, fíoraigh an t-aitheantas seachas an dialóg: ábhar, eisitheoir, éag agus an t-ainm a chuirfidh an cliant i láthair. Is lipéad é ainm cairdiúil i liosta, ní aitheantas fíoraithe. Má theipeann ar an tollán ansin, tá tú ag dífhabhtú fíordheimhnithe nó ródaithe in ionad pacála, rud ar comhrá i bhfad níos giorra é.