Cá bhfuil n, e, d, p agus q RSA ina gcónaí i gcomhad eochrach VPN

Ainmníonn na litreacha i míniú RSA réimsí taobh istigh d’aon rud amháin, ní comhaid a thugann uirlis PKI amach. Coinníonn comhad eochrach príobháidí struchtúr a bhfuil a chéad réimsí poiblí agus nach bhféadfadh a réimsí níos déanaí an meaisín a fhágann an tollán a fhágáil riamh. Idir an dá fhíric sin tá formhór na gceisteanna praiticiúla faoi cén comhad a fhreagraíonn cén cheist. Léann an lámhleabhar seo an struchtúr ar dtús, agus ansin na horduithe a scrúdaíonn é gan é a dhoirteadh.

Deimhnigh gur RSA an eochair sula lorgaíonn tú príomhuimhreacha

Cruthaíonn teastas go bhfuil eochair éigin ann agus go raibh sí sínithe; ní chruthaíonn sé gur RSA an eochair. Is féidir córais a thógáil ar chuaranna éilipseacha nó Ed25519, agus freastalaíonn an leagan amach céanna eolaire ar gach ceann acu. Seiceáil an algartam sula dtosaíonn tú ag lorg fachtóirí príomha nach raibh ann riamh.

Freagraíonn na trí ordú inléite amháin seo an cheist agus taifeadann siad leagan na huirlise.

openssl version
openssl x509 -in vpn-client.crt -noout -text
openssl pkey -in vpn-client.key -noout -text

Tá tábhacht leis an leagan mar gheall go bhfuil ainmneacha roghanna tar éis bogadh idir mórscaoilteanna. I dtorthaí an teastais, aimsigh an líne den algartam eochrach poiblí agus méid na heochrach; i dtorthaí na heochrach, priontálann eochair RSA modulus agus easpórt poiblí. Priontálann eochair chuar éilipseach cuar ainmnithe ina ionad, agus ní thabharfaidh aon chuardach n ná q as.

Léigh an struchtúr in ionad an base64

Is é PEM ná base64 fillte i línte ceannteidil, agus tugann a dhíchódú DER, is é sin struchtúr srathaithe seach aon slánuimhir ollmhór amháin. Taistealaíonn eochracha príobháideacha RSA i dhá choimeádán choitianta, PKCS#1 agus PKCS#8, agus réitíonn an dá cheann go dtí an tacar céanna uimhreacha.

I gcás dhá phríomhuimhir, iompraíonn an struchtúr príobháideach naoi réimse: leagan, an modulus n, an t-easpórt poiblí e, an t-easpórt príobháideach d, na príomhuimhreacha p agus q, dhá easpórt CRT agus comhéifeacht CRT. Sainmhíníonn RFC 8017 roinn A.1 na comhpháirteanna sin agus leagan amach ASN.1, agus ceadaíonn sé freisin níos mó ná dhá phríomhuimhir, agus sin an fáth gur féidir le parsálaí ginearálta iontrálacha príomha breise a phriontáil. Tabhair faoi deara an t-ord, mar míníonn sé botún coitianta: stóráiltear an leath poiblí taobh istigh den chomhad príobháideach, mar sin ní dhéanann láithreacht réimse phoiblí an comhad sin sábháilte le roinnt. Is é gach rud ina dhiaidh sin an t-ábhar a chaithfidh fanacht ar an óstach.

Cuireann an ionchódú ciseal leis atá éasca le meascadh leis an ábhar. Tarraingíonn openssl asn1parse an struchtúr mar chrann ionas go mbeidh ord na réimsí le feiceáil, agus ní dhíghréasann sé aon rud ná ní insíonn sé an bhfuil an eochair inúsáidte.

Péireáil teastas le heochair gan an eochair a phriontáil

Is é an cheist a leanann de ghnáth an mbaineann teastas agus eochair le chéile. Freagraíonn comparáid moduli é sin, ach cóipeálann sí freisin ábhar atá gar don phríobháideach isteach i dtras-scríobh teirminéil a d’fhéadfadh deireadh a chur i dticéad. Freagraíonn comparáid na leathanna poiblí an cheist chéanna gan aon rud íogair ar an scáileán.

openssl pkey -in vpn-client.key -pubout -out /tmp/key.pub
openssl x509 -in vpn-client.crt -pubkey -noout > /tmp/cert.pub
cmp /tmp/key.pub /tmp/cert.pub && echo MATCH

Ciallaíonn comhaid chomhionanna go n-iompraíonn an teastas leath phoiblí na heochrach sin, agus ciallaíonn difríocht go bhfuil an péire mícheart agat. Is é an neamhréir sin an chúis is coitianta le tollán a chaidreamh go sásta agus a dhiúltaíonn an fhíordheimhniú ansin. Bain na dhá chomhad shealadacha ansin; ní choinníonn siad aon rud rúnda, ach is fusa réasúnaíocht a dhéanamh faoi eolaire oibre glan i lár eachtra.

Bíodh a fhios agat cad nach bhfuil sna comhaid chomharsanachta

Ní heochair phoiblí chriptithe é teastas a osclaíonn an piara leis an teastas CA; is ceangal sínithe é idir eochair phoiblí agus sonraí aitheantais. Fanann eochair shíniúcháin phríobháideach an CA ar leithligh óna teastas féin agus ó gach eochair cliaint. Ní teastas é iarratas ach an oiread: iompraíonn sé an fhaisnéis a iarradh agus an eochair phoiblí le síniú os cionn an iarratais, rud a fhágann gur ionchur clárúcháin é seach cruthúnas ar theideal.

Measctar dhá cheann de na hiontrálacha sin le paraiméadair RSA go minic go leor chun iad a ainmniú faoi dhó. Coinníonn comhad paraiméadar Diffie-Hellman paraiméadair ghrúpa le haghaidh bunú eochrach agus aon phríomhuimhir RSA, cé go bpriontáiltear é freisin mar phríomhuimhir mhór. Foilsíonn liosta cúlghairme stádas teastas agus ní háit é ina bhféadfadh easpórt príobháideach dul i bhfolach.

Mar sin ba cheart do gach líne fardail ceithre rud a thaifeadadh: cineál ruda, úinéir, cuspóir agus an bhfuil ábhar príobháideach san áireamh. Cinneann an colún deireanach cá féidir an comhad a chóipeáil, agus is é sin an ceann a scipeálann daoine.

Taifead an phéireáil, ansin fíoraigh an croitheadh lámh

Sula n-athraíonn tú aon rud, sábháil aschur an fhíoraithe leis an dáta agus leagan OpenSSL. Ansin is féidir rothlú níos déanaí a chur i gcomparáid le fianaise seach le cuimhne.

openssl verify -CAfile ca.crt vpn-client.crt
openssl x509 -in vpn-client.crt -noout -subject -issuer -dates

Tar éis comparáid na heochrach poiblí, cleacht an cosán a ídíonn an péire: tóg an tollán, deimhnigh go gcuirtear an teastas i láthair agus go nglactar leis, agus seiceáil cén t-aitheantas a thaifead an geata. Má thagann an eochair agus an teastas le chéile agus má theipeann ar an bhfíordheimhniú fós, tá an locht in iontaoibh, i mapáil aitheantais nó i mbeartas rochtana seach sa phéire.

Le haghaidh aisiompaithe, coinnigh an eochair agus an teastas roimhe seo in eolaire dátaithe agus cuir an dá cheann ar ais le chéile, riamh ceann amháin den dá cheann. Teipeann eochair gan a teastas agus teastas gan a eochair go comhionann ón taobh amuigh, rud a fhágann péirí leath-aisiompaithe costasach le réiteach ag a dó ar maidin.