Inda n, e, d, p da q na RSA suke cikin fayil ɗin maɓallin VPN

Haruffan da ke cikin bayanin RSA suna ambaton filaye a cikin abu ɗaya, ba fayilolin da kayan aikin PKI ke bayarwa ba. Fayil ɗin maɓalli na sirri yana riƙe da tsari wanda filayensa na farko na jama’a ne kuma filayensa na gaba ba su isa su bar na’urar da ke ƙare ramin ba. Tsakanin waɗannan gaskiyoyi biyu akwai yawancin tambayoyin aiki game da wane fayil ke amsa wace tambaya. Wannan jagorar tana karanta tsarin da farko, sannan umarnin da ke bincika shi ba tare da zubar da shi ba.

Tabbatar maɓallin RSA ne kafin neman lambobin farko

Takardar shaida tana tabbatar da cewa wani maɓalli ya wanzu kuma an sa hannu a kai; ba ta tabbatar da cewa maɓallin RSA ne ba. Ana iya gina tsarin akan masu lanƙwasa na elliptical ko Ed25519, kuma tsarin adiresoshin iri ɗaya yana hidima ga dukansu. Duba algorithm ɗin kafin ka fara neman abubuwan farko waɗanda ba su taɓa kasancewa ba.

Waɗannan umarnin karatu kawai guda uku suna amsa tambayar kuma suna rubuta sigar kayan aikin.

openssl version
openssl x509 -in vpn-client.crt -noout -text
openssl pkey -in vpn-client.key -noout -text

Sigar tana da muhimmanci domin sunayen zaɓi sun ƙaura tsakanin manyan bugu. A cikin fitar da takardar shaida, nemo layin algorithm na maɓallin jama’a da girman maɓallin; a cikin fitar da maɓalli, maɓallin RSA yana buga modulus da mai nuni na jama’a. Maɓallin lanƙwasawa na elliptical yana buga wani lanƙwasa mai suna maimakon haka, kuma babu wani bincike da zai fitar da n ko q daga gare shi.

Karanta tsarin maimakon base64

PEM base64 ne da aka naɗe cikin layukan kan kai, kuma yin decoding ɗinsa yana ba da DER, wato tsari da aka jera ba wata babbar lamba ɗaya ba. Maɓallan RSA na sirri suna tafiya cikin kwantena biyu na gama gari, PKCS#1 da PKCS#8, kuma dukansu suna warwarewa zuwa tsarin lambobi ɗaya.

Idan akwai lambobin farko biyu, tsarin sirri yana ɗaukar filaye tara: siga, modulus n, mai nuni na jama’a e, mai nuni na sirri d, lambobin farko p da q, masu nuni na CRT biyu da ƙididdigar CRT. RFC 8017 sashe A.1 yana bayyana waɗannan ɓangarorin da tsarin ASN.1, kuma yana barin fiye da lambobin farko biyu, shi ya sa mai bincike na gama gari zai iya buga ƙarin bayanan farko. Lura da tsari, domin yana bayyana kuskure da ake yi sau da yawa: an ajiye rabin jama’a a cikin fayil ɗin sirri, don haka kasancewar filin jama’a ba ya sa wannan fayil ɗin ya zama amintacce don rabawa. Duk abin da ke bayansa shi ne kayan da ya kamata su tsaya a kan na’urar.

Encoding yana ƙara wani Layer wanda ke da sauƙin rikicewa da abun ciki. openssl asn1parse yana zana tsarin a matsayin itace domin tsarin filayen ya zama bayyane, kuma ba ya yin decrypt na kome kuma ba ya faɗin ko maɓallin yana da amfani.

Haɗa takardar shaida da maɓalli ba tare da buga maɓallin ba

Tambayar da ke biyo baya yawanci ita ce ko takardar shaida da maɓalli suna tare. Kwatanta modulus yana amsa hakan, amma yana kuma kwafin kayan da ke kusa da na sirri cikin rubutun terminal wanda zai iya ƙarewa a cikin tikiti. Kwatanta rabin jama’a yana amsa wannan tambaya ba tare da wani abu mai muhimmanci a kan allo ba.

openssl pkey -in vpn-client.key -pubout -out /tmp/key.pub
openssl x509 -in vpn-client.crt -pubkey -noout > /tmp/cert.pub
cmp /tmp/key.pub /tmp/cert.pub && echo MATCH

Fayiloli iri ɗaya suna nufin takardar shaida tana ɗauke da rabin jama’a na wannan maɓallin, kuma bambanci yana nufin kana riƙe da kuskuren biyu. Wannan rashin daidaituwa ita ce mafi yawan sanadin rami da ke yin shawarwari cikin jin daɗi sannan ya ƙi tabbatarwa. Bayan haka cire fayilolin wucin gadi guda biyu; ba su riƙe wani asiri ba, amma tsaftataccen babban fayil ɗin aiki yana da sauƙin yin tunani a tsakiyar wani lamari.

Ka san abin da fayilolin makwabta ba su ne ba

Takardar shaida ba maɓallin jama’a da aka ɓoye ba ne da takwaransa ke buɗewa da takardar shaidar CA; haɗi ne mai sa hannu tsakanin maɓallin jama’a da bayanan asali. Maɓallin sa hannu na sirri na CA yana kasancewa dabam daga takardar shaidarsa da kowane maɓallin abokin ciniki. Buƙata kuma ba takardar shaida ba ce: tana ɗauke da bayanin da aka nema da maɓallin jama’a tare da sa hannu a kan buƙatar, wanda ke mai da ita shigar rajista maimakon hujjar haƙƙi.

Biyu daga cikin waɗannan bayanan ana rikita su da sigogin RSA sosai har ana ambaton su sau biyu. Fayil ɗin sigar Diffie-Hellman yana ɗauke da sigogin rukuni don kafa maɓalli kuma babu lambobin farko na RSA, ko da yake ana buga shi ma a matsayin babban lamba na farko. Jerin sokewa yana wallafa matsayin takardun shaida kuma ba wuri ba ne da mai nuni na sirri zai iya ɓoye.

Don haka kowane layin lissafi ya kamata ya rubuta abubuwa huɗu: nau’in abu, mai shi, manufa da ko an haɗa kayan sirri. Shafi na ƙarshe ne ke yanke inda za a iya kwafin fayil ɗin, kuma shi ne abin da mutane ke tsallakewa.

Rubuta haɗin, sannan tabbatar da musayar hannu

Kafin ka canza wani abu, ajiye fitar da tabbatarwa tare da kwanan wata da sigar OpenSSL. Sannan za a iya kwatanta juyawa na gaba da hujja maimakon da ƙwaƙwalwa.

openssl verify -CAfile ca.crt vpn-client.crt
openssl x509 -in vpn-client.crt -noout -subject -issuer -dates

Bayan kwatanta maɓallin jama’a, gwada hanyar da ke cinye biyun: ɗaga ramin, tabbatar an gabatar da takardar shaida kuma an karɓa ta, kuma duba wace asali ƙofar ta rubuta. Idan maɓalli da takardar shaida sun dace kuma tabbatarwa ta kasa, kuskuren yana cikin amincewa, taswirar asali ko manufar shiga ba a cikin biyun ba.

Don komawa baya, ajiye tsohon maɓalli da takardar shaida a cikin babban fayil mai kwanan wata kuma maido duka biyu tare, kada ka taɓa maido ɗaya daga cikin biyu. Maɓalli ba tare da takardar shaidarsa ba da takardar shaida ba tare da maɓallinsa ba suna kasawa iri ɗaya daga waje, wanda ke sa buɗe rabin da aka maido da su da tsada da tsakar dare biyu.