A tanúsítványok exportálása egy P12-ből a privát kulcs nélkül

A támogatási jegy azt kérdezi, melyik tanúsítvány van a VPN-csomagban, és az első ösztön az, hogy mindent exportáljunk és mellékeljünk. A P12-fájl a tanúsítványokat és a privát kulcs anyagát egyetlen konténerbe csomagolja, tehát mindent exportálni pontosan az, amit nem szabad elküldeni. A kérdésre válaszoló parancs kiválasztási probléma, nem konvertálási probléma. Négy kapcsoló dönti el, a konténer melyik felét kapja, és ezek közül kettő biztonságosabbnak hangzik, mint amilyen.

Kezdje a konténer olvasásával, ne az ürítésével.

Mit hordoz valójában egy PKCS12-fájl

Egy PKCS12-konténer egy vagy több tanúsítványt, esetleg egy privát kulcsot és a tartalom fölötti message authentication code-ot tartalmaz. A tanúsítványok között lehet az ügyfél-identitás levél-tanúsítványa és a láncot egy CA-hoz kötő köztes tanúsítványok. A kulcs, ha jelen van, az teszi a fájlt titokká, nem dokumentummá.

Ez a megkülönböztetés az oka annak, hogy létezik -nokeys, és hogy ez a feladat számára szükséges kapcsoló.

A csomag olvasása a kulcs kiírása nélkül

Az ellenőrző forma kiírja a szerkezetet és az algoritmus részleteit, és semmit nem ír: openssl pkcs12 -in client.p12 -info -noout. Bekéri az importálási jelszót, ami a megfelelő hely ennek az értéknek, és megmondja, hogy a fájl tartalmaz-e egyáltalán kulcsot. Használja a -passin env:PKCS12_PASS kapcsolót, ha a jelszót nem lehet beírni, mert a shell-parancsban lévő jelszó jelszó a folyamatlistában. Ez a lépés nem exportál semmit, és éppen ez a lényeg.

Három dologra olvassa a kimenetet: hány tanúsítvány van, van-e jelen kulcs, és mely algoritmusok védik.

Használja a -nokeys kapcsolót, és ne keverje össze a -nocerts kapcsolóval

-nokeys kizárja a privát kulcsokat, és meghagyja a tanúsítványokat. -clcerts ügyfél-tanúsítványokra szűkíti ezt, -cacerts CA-tanúsítványokra szűkíti, és ez a kettő szűrő, nem alternatíva. -nocerts ugyanannak az ötletnek a biztonságos írásmódjaként olvasható, és az ellenkezőjét jelenti: nincsenek tanúsítványok, ami csak kulcsokat hagy. Tanúsítvány-exportba keverni így kerül a privát kulcs a lemezre.

A két soros forma, amely tanúsítványfájlt és CA-fájlt állít elő, és semmi mást, ez:

openssl pkcs12 -in client.p12 -nokeys -clcerts -out client-certificates.pem
openssl pkcs12 -in client.p12 -nokeys -cacerts -out ca-certificates.pem

A régi csomagoknak -legacy kell az OpenSSL 3 alatt a régebbi titkosításuk olvasásához, és ez a kapcsoló azt változtatja meg, mit fogad el a parser, nem azt, mit ad ki. Ha az elemzés nem támogatott algoritmusra vonatkozó hibával meghiúsul, a -legacy hozzáadása a helyes első lépés, a MAC-ellenőrzés kihagyása pedig nem.

A kimenetet ellenőrizze, ne a kilépési kódot

A nulla kilépési állapot azt mondja, hogy a parancs lefutott, nem azt, hogy a fájl azt tartalmazza, amit vár. Számolja meg a tanúsítványokat a kimenetben, és olvassa el a subjectet és a dátumokat: openssl x509 -in client-certificates.pem -noout -subject -dates -fingerprint. Hasonlítsa össze az ujjlenyomatot azzal, amit a támogató csapat vár, mert a két ügyfél-tanúsítványt tartalmazó csomag két blokkos fájlt eredményez, és a legtöbb eszköz csak az elsőt olvassa. A cél, a bizalom és a kulcsegyezés ismét külön tesztek.

A tanúsítvány, amely elemezhető, elemezhető tanúsítvány. Nem olyan tanúsítvány, amelyet a VPN elfogad.

Döntse el, kellenek-e egyáltalán fájlok

Ha a fogadó ügyfél közvetlenül importálja a PKCS12-t, egyszerűbb az eredeti csomagot jóváhagyott csatornán elküldeni, a jelszót külön tartva, és a védelem megmarad. A kinyerés ellenőrzéshez, PEM-et igénylő ügyfélhez vagy konkrét terméket kérő támogatási esethez való. Minden kinyerés egy réteget távolít el, és legyen rá ok.

A nyilvános tanúsítványok nem tartalmazzák a privát kulcsot, de neveket és szervezeti adatokat igen. Ossza meg a jegy által kért mezőket a fájl helyett, hacsak nem a fájlt kérték.