Afritun VPN-vottorðs afritar ekki lykilinn

Gegnumgangan hefst á vottorðalista biðlarans, þar sem færslan sýnir nafn, útgefanda og gildisdag og ekkert annað. Flyttu hana út, flyttu hana inn á hinu tækinu, og tengingunni er hafnað vegna þess að biðlarinn getur ekki sannað að hann eigi einkalykilinn. Skráin var afrituð að fullu; mistökin eru að búast við því að vottorð beri sinn eigin lykil. Lestu útflutningsgluggann áður en þú velur sniðið og skoðaðu svo skrána sem þú fékkst í raun.

Tveir smellir, tveir mjög ólíkir hlutir.

Lestu útflutningsgluggann, ekki skráarendinguna

DER- eða PEM-vottorðsútflutningur inniheldur opinberan lykil og undirritaðar auðkennisyfirlýsingar, sem er það sem þjónn þarf til að treysta þér og það sem biðlari þarf til að sannprófa þjón. PKCS#12-pakki er geymir sem getur haldið vottorði, keðju þess og samsvarandi einkalykli, varin með lykilorði, þótt hann megi einnig búa til án lykilsins.

PEM er aðeins textakóðun, ekki loforð um innihaldið. Sama ending getur lýst einu vottorði eða skrá með nokkrum merktum blokkum, og útflutningsvalkostirnir ráða því hvoru.

Gagnlega spurningin er því aldrei hvaða viðbót þú fékkst, heldur hvaða blokkir skráin inniheldur. Pakki sem fluttur er út án lykilsins er enn pakki. Athugaðu innihaldið frekar en vinsældir sniðsins.

Skoðaðu hvað þú fékkst í raun

Leitaðu að merkjunum áður en þú flytur eitthvað inn, lestu svo vottorðssviðin til að staðfesta hvaða auðkenni þú heldur á. Keyrðu prófanirnar á þeirri skrá sem verður í raun flutt inn. Endurtaktu þær eftir hvern nýjan útflutning, því valkostirnir geta verið frábrugðnir.

grep -E 'BEGIN (CERTIFICATE|PRIVATE KEY|ENCRYPTED PRIVATE KEY)' bundle.pem
openssl x509 -in client.crt -noout -subject -issuer -dates
openssl pkey -in client.key -noout -text | head -5
openssl pkcs12 -info -in client.p12 -noout

Útflutningur með aðeins vottorðsblokk er opinber hlutur og getur ekki sannvottað. Lyklisblokk án vottorðs skilur þig eftir án þeirrar keðju sem þjónninn væntir. PKCS#12-upplýsingaúttakið greinir einnig frá því hvort lykill sé til staðar, sem leysir spurninguna fyrir það snið. Það nefnir einnig reikniritið og stærð lykilsins og mistekst algjörlega þegar enginn lykill er til staðar.

Límdu aldrei skrá sem inniheldur einkalykil inn í stuðningsþráð, villuskrá eða spjall, jafnvel þótt hún líti út eins og vottorðið sem þú varst þegar að deila. Skjáskot af lyklaspjaldi eiga sama varúð skilið.

Lykillinn getur verið á stað sem þú getur ekki afritað

Á stýrðum tækjum getur einkalykillinn verið í lyklakippu stýrikerfisins, vélbúnaðartákni eða öruggri einangrun, og stefna merkir hann sem ekki útflutningshæfan. Vottorðsstjórinn sýnir þá opinbera hlutinn á meðan leyndarmálið verður á sínum stað, og engin útflutningsskipun framleiðir flytjanlegt afrit. Skráning í gegnum stýringu farsímabúnaðar virkar oft einmitt þannig að hönnun.

Þetta er stýring, ekki hindrun sem á að fara framhjá. Ekki er hægt að endurgera einkalykil úr opinbera vottorðinu, og hvert tól sem segist gera það er að gera eitthvað annað.

Skráðu nýtt auðkenni í stað þess að afrita

Studda leiðin er venjulega að skrá sérstakt auðkenni fyrir nýja tækið og afturkalla það gamla þegar það er tekið úr notkun, svo hægt sé að draga hvert tæki til baka sjálfstætt. Þar sem útflutningur með lyklinum er raunverulega samþykktur skaltu meðhöndla skrána sem verður til og lykilorð hennar sem skírteini: dulkóðuð í hvíld, flutt um traustan rás og eytt þegar skráningunni er lokið.

Sannprófaðu með því að sannvotta með innflutta auðkenninu, ekki með því að horfa á innflutninginn takast. Biðlari sem tekur opinbert vottorð inn í geymslu sína hefur ekkert sannað um lykilinn.

Ljúktu með því að staðfesta að þjónninn taki við nýja auðkenninu og að það gamla hagi sér enn eins og stefnan gerir ráð fyrir. Þannig lýkur gegnumgangan með sönnun en ekki með skrá sem lítur út fyrir að vera rétt.