Flytja út skilríkin úr P12 án einkalykilsins

Stuðningsmiðinn spyr hvaða skilríki liggja í VPN-safninu, og fyrsta hvatningin er að flytja út allt og hengja við. P12-skrá pakkar skilríkjum og einkalyklaefni í einn gám, þannig að að flytja út allt er einmitt það sem þú vilt ekki senda. Skipunin sem svarar spurningunni er úrvalsvandamál, ekki umbreytingarvandamál. Fjögur flögg ákvarða hvaða helming gámsins þú fær, og tvö þeirra hljóma öruggari en þau eru.

Byrjaðu á að lesa gáminn í stað þess að tæma hann.

Hvað PKCS12-skrá geymir í raun

PKCS12-gámur geymir eitt eða fleiri skilríki, mögulega einkalykil og message authentication code yfir innihaldið. Skilríkin geta innihaldið blaðskilríkið fyrir auðkenni biðlarans og milliskilríkin sem tengja það við CA. Lykillinn, þegar hann er til staðar, er það sem gerir skrána að leyndarmáli í stað skjals.

Sá munur er ástæðan fyrir því að -nokeys er til og fyrir því að það er flaggið sem þetta verk þarf.

Lesa safnið án þess að skrifa lykilinn út

Skoðunarformið prentar uppbyggingu og upplýsingar um reiknirit og skrifar ekkert: openssl pkcs12 -in client.p12 -info -noout. Það biður um innflutningslykilorðið, sem er rétti staðurinn fyrir það gildi, og það segir þér hvort skráin geymi yfirleitt lykil. Notaðu -passin env:PKCS12_PASS þegar ekki er hægt að slá lykilorðið inn, því lykilorð í shell-skipun er lykilorð í ferlalistanum. Þetta skref flytur ekkert út, sem er einmitt málið.

Lestu úttakið með tilliti til þriggja hluta: hversu mörg skilríki, hvort lykill er til staðar og hvaða reiknirit vernda hann.

Notaðu -nokeys og ruglaðu því ekki saman við -nocerts

-nokeys útilokar einkalykla og skilur skilríkin eftir. -clcerts þrengir það að biðlaraskilríkjum, -cacerts þrengir það að CA-skilríkjum, og þau tvö eru síur frekar en valkostir. -nocerts hljómar eins og örugga stafsetningin á sömu hugmynd og þýðir hið gagnstæða: engin skilríki, sem skilur aðeins lykla eftir. Að blanda því í skilríkjaútflutning er hvernig einkalykill endar á disknum.

Tvær línur sem framleiða skilríkjaskrá og CA-skrá, og ekkert annað, eru:

openssl pkcs12 -in client.p12 -nokeys -clcerts -out client-certificates.pem
openssl pkcs12 -in client.p12 -nokeys -cacerts -out ca-certificates.pem

Eldri söfn þurfa -legacy á OpenSSL 3 til að lesa eldri dulkóðun sína, og það flagg breytir því sem þáttarinn samþykkir, ekki því sem hann sendir frá sér. Ef þáttun mistekst með villu um óstudd reiknirit er rétta fyrsta skrefið að bæta við -legacy, og að sleppa MAC-prófuninni er það ekki.

Athugaðu úttakið, ekki útgangskóðann

Útgangsstaða núll segir að skipunin hafi keyrt, ekki að skráin innihaldi það sem þú býst við. Teldu skilríkin í úttakinu og lestu subject og dagsetningar: openssl x509 -in client-certificates.pem -noout -subject -dates -fingerprint. Berðu fingrafarið saman við það sem stuðningsteymið býst við, því safn með tveimur biðlaraskilríkjum framleiðir skrá með tveimur blokkum og flest verkfæri lesa aðeins fyrstu. Tilgangur, traust og lyklapörun eru aftur aðskilin próf.

Skilríki sem tekst að þátta er skilríki sem tekst að þátta. Það er ekki skilríki sem VPN-ið samþykkir.

Ákveddu hvort þú þarft skrár yfirleitt

Ef biðlarinn sem tekur við flytur PKCS12 inn beint er einfaldara að senda upprunalega safnið um samþykka leið með lykilorðið geymt fyrir sig, og verndin haldist. Útdráttur er fyrir skoðun, fyrir biðlara sem þarf PEM eða fyrir stuðningsmál sem bað um tiltekið efni. Sérhver útdráttur fjarlægir eitt lag og ætti að hafa ástæðu.

Opinber skilríki innihalda ekki einkalykilinn, en þau innihalda nöfn og upplýsingar um fyrirtækið. Deildu reitunum sem miðinn bað um í stað skrárinnar, nema skráin hafi verið það sem beðið var um.