A VPN-tanúsítvány másolása nem másolja a kulcsot

A végigvezetés a kliens tanúsítványlistájánál kezdődik, ahol a bejegyzés csak egy nevet, egy kiállítót és egy lejárati dátumot mutat, semmi mást. Exportálja, importálja a második eszközön, és a kapcsolat elutasításra kerül, mert a kliens nem tudja bizonyítani a privát kulcs birtoklását. A fájl teljesen átmásolódott; a hiba az a várakozás, hogy a tanúsítvány a saját kulcsát is magával hozza. Olvassa el az export párbeszédablakot a formátum kiválasztása előtt, majd vizsgálja meg a fájlt, amelyet valójában kapott.

Két kattintás, két nagyon különböző termék.

Az export párbeszédablakot olvassa, ne a fájlkiterjesztést

A DER vagy PEM tanúsítványexport nyilvános kulcsot és aláírt identitásállításokat tartalmaz, erre van szüksége a kiszolgálónak, hogy megbízzon önben, és a kliensnek, hogy ellenőrizzen egy kiszolgálót. A PKCS#12 csomag olyan tároló, amely tartalmazhat tanúsítványt, annak láncát és a hozzá tartozó privát kulcsot, jelszóval védve, bár kulcs nélkül is létrehozható.

A PEM csak szövegkódolás, nem ígéret a tartalomról. Ugyanaz a kiterjesztés leírhat egyetlen tanúsítványt vagy több címkézett blokkot tartalmazó fájlt, és az exportbeállítások döntik el, melyiket.

A hasznos kérdés tehát soha nem az, milyen kiterjesztést kapott, hanem az, milyen blokkok vannak a fájlban. A kulcsa nélkül exportált csomag is csomag. A tartalmat ellenőrizze, ne a formátum népszerűségét.

Vizsgálja meg, mit kapott valójában

Keresse meg a címkéket, mielőtt bármit importál, majd olvassa el a tanúsítvány mezőit, hogy megerősítse, melyik identitás van a kezében. Futtassa az ellenőrzéseket azon a fájlon, amelyet valóban importálni fognak. Ismételje meg őket minden újabb export után, mert a beállítások eltérhetnek.

grep -E 'BEGIN (CERTIFICATE|PRIVATE KEY|ENCRYPTED PRIVATE KEY)' bundle.pem
openssl x509 -in client.crt -noout -subject -issuer -dates
openssl pkey -in client.key -noout -text | head -5
openssl pkcs12 -info -in client.p12 -noout

A csak tanúsítványblokkot tartalmazó export nyilvános objektum, és nem tud hitelesíteni. A tanúsítvány nélküli kulcsblokk magára hagyja a kiszolgáló által elvárt lánc nélkül. A PKCS#12 információ kimenete azt is jelzi, van-e kulcs, ami eldönti a kérdést ennél a formátumnál. Megnevezi az algoritmust és a kulcsméretet is, és teljesen meghiúsul, ha nincs kulcs.

Soha ne illesszen be privát kulcsot tartalmazó fájlt támogatási szálba, hibakövetőbe vagy csevegésbe, akkor sem, ha úgy néz ki, mint a korábban megosztott tanúsítvány. A kulcspanel képernyőképei ugyanilyen óvatosságot érdemelnek.

A kulcs olyan helyen is lehet, ahonnan nem tudja másolni

Kezelt eszközökön a privát kulcs lehet az operációs rendszer kulcstartójában, hardveres tokenben vagy biztonságos enklávéban, és egy szabályzat nem exportálhatónak jelöli. A tanúsítványkezelő ekkor a nyilvános objektumot mutatja, miközben a titok a helyén marad, és semmilyen exportparancs nem hoz létre hordozható másolatot. A mobileszköz-kezelésen keresztüli regisztráció gyakran éppen így működik.

Ez egy kontroll, nem pedig akadály, amelyet meg kell kerülni. Privát kulcsot a nyilvános tanúsítványból rekonstruálni nem lehet, és minden eszköz, amely ezt állítja, valami mást tesz.

Masolás helyett regisztráljon új identitást

A támogatott út általában az, hogy külön identitást regisztrál az új eszköz számára, és visszavonja a régit, amikor kivonják a használatból, így minden eszköz önállóan visszavonható. Ahol a kulccsal való export valóban engedélyezett, kezelje a keletkező fájlt és annak jelszavát hitelesítő adatként: nyugalmi állapotban titkosítva, megbízható csatornán átvive és törölve, amikor a regisztráció elkészült.

Hitelesítéssel ellenőrizze az importált identitással, ne annak nézésével, hogy sikerült-e az importálás. Az a kliens, amely nyilvános tanúsítványt fogad el a tárolójába, semmit nem bizonyított a kulcsról.

Fejezze be annak megerősítésével, hogy a kiszolgáló elfogadja az új identitást, és a régi továbbra is úgy viselkedik, ahogy a szabályzat szánja. Ezzel a végigvezetés bizonyítékkal zárul, nem pedig egy helyesnek látszó fájllal.