IKEv2 hefur tvær undirskriftir: skírteini og IKE_AUTH
CA undirritar skírteinið og jafninginn undirritar IKE_AUTH-skiptin sín með eigin fyrirkomulagi. Lestu hvora úr sínu sviði og skráðu báðar.
Miðinn þinn segir að skírteinið sé SHA-256 en annál gáttarinnar nefnir annan undirskriftaralgrím, og einhver hefur þegar samið beiðni um að endurgefa CA. Áður en sú beiðni fer eitthvert, aðskildu undirskriftirnar tvær: önnur er stimpill útgefandans á opinberum lykli, hin er sönnun jafningsins um að hann hafi samsvarandi einkalykilinn á meðan IKE_AUTH stendur. Ólíkir hlutar velja þær og þeim er leyft að vera ólíkar. Að lesa hvora á þeim stað þar sem hún býr krefst tveggja skipana og einnar töflu.
Lestu undirskrift útgefandans úr skírteininu
CA setur undirskrift sína á tengingu milli auðkennis og lykils. Sú undirskrift skráir hvað CA gerði við útgáfu, ekki hvað viðfangið gerir þegar það tengist, því algrím hennar lýsir eigin vali CA á hakki og lykli. Lykill viðfangs af einni gerð getur verið undir CA-lykli af annarri gerð án nokkurrar ósamkvæmni, og snúningur CA-lykils er venja en ekki bilun. Lestu sviðin tvö og þú hefur helming skrárinnar:
openssl x509 -in peer.pem -noout -text | grep -E "Signature Algorithm|Public Key Algorithm"Skrifaðu bæði merkin sem aðskildar færslur. Fyrra lýsir CA, annað lýsir lykli viðfangsins, og hvort tveggja spáir ekki fyrir um undirskriftina á netinu.
Lestu undirskriftina á netinu úr IKE-skiptunum
Við auðkenningu undirritar hver jafningur skiptigögnin með eigin einkalykli, og hin hliðin staðfestir þá sönnun gegn auðkenni, traustkeðju og stefnu skírteinisins. Hjá RSA tilheyra fyllingin og hakkið þessu fyrirkomulagi á netinu, þannig að lengri lykill eða nýtt SHA-256 skírteini getur ekki af sjálfu sér valið RSA-PSS fyrir auðkenningarundirskriftina. Aðferðin sem samið var um birtist í annál daemonsins eða í tengilistanum, aldrei í skírteininu. Spurðu hvorri hlið hvað hún samdi um, því stefnurnar tvær geta verið ólíkar.
ipsec statusall | grep -i "auth\|proposal"Þegar önnur hlið nefnir fyrirkomulag sem hin getur ekki framleitt, hefur þú fundið ósamræmið sem miðinn fjallaði um. Að endurgefa CA er röng viðgerð fyrir það, því skírteinið var aldrei það sem brást.
Hvað RFC 7427 breytir og hvað ekki
Upprunalegu aðferðirnar eru númeraðar eftir samsetningu algríma í RFC 7296. Síðari RFC 7427 undirskriftarviðbótin bætir við almennri Digital Signature aðferð með merkjagjöf um stuðning við undirskriftarhak, þannig að nýtt hak þarf ekki lengur eigið aðferðarnúmer. Það er samið um það, ekki gert ráð fyrir: jafningur fær viðbótina ekki vegna þess að safnið hans getur þáttað sömu skírteini, og jafningur sem innleiðir aðeins upprunalegu aðferðirnar neyðir gáttina til að halda einni þeirra. Það er stefnuskipti með samhæfingarkostnaði, ekki galli.
Stuðningur er eftir stefnu og eftir tengingu, svo prófaðu bygginguna sem er fyrir framan þig í stað þess að treysta fullyrðingu á fjölskyldustigi. Hæfnifylki sem var skrifað fyrir þremur árum lýsir þriggja ára gömlum byggingum.
Settu fjórar línur í skrána
Færslan sem lýkur deilunni hefur fjórar línur, hver lesin á öðrum stað og hver breytt af öðru fólki. Fylltu hana út áður en þú ákveður nokkuð, því lína sem er röng er sú sem velur viðgerðina.
| Hlutur | Hvaðan lesið | Hver breytir |
|---|---|---|
| undirskrift útgefanda skírteinis | sviðið Signature Algorithm í skírteininu | stjórnandi CA, við útgáfu |
| opinber lykill viðfangs | sviðið Public Key Algorithm í skírteininu | sá sem býr til lykil viðfangsins |
| auðkenningarfyrirkomulag IKE | annáll daemons eða tengilisti, tilkynning auth og signature-hash | IKE-sniðið á báðum jafningum |
| verndaralgrím IKE og ESP | tillögulisti tengingarinnar | IPsec-sniðið, eftir stefnu |
Hver lína ber sína eigin samhæfingarafleiðingu. Breyting á ESP dulritun velur ekki undirskrift útgefandans, og slökun á CA-staðfestingu bætir ekki við aðferð á netinu sem jafningjarnir sömdu aldrei um. Þegar miði heldur fram ósamræmi í undirskrift er línan sem er í raun röng næstum aldrei sú fyrsta.
Leystu gamla málið án þess að veikja PKI
Eldri jafningur býður kannski aðeins fyrirkomulag sem stefna þín leyfir ekki lengur. Valið er tímabundin samhæfingarundantekning, uppfærsla biðlara eða önnur auðkenningaruppsetning fyrir þann jafning einan. Að endurbyggja PKI í kringum veikari skírteinisundirskrift lagar ekki takmörkun í skiptunum á netinu og veikir öll önnur þjónustu sem treystir sama CA. Skráðu hvaða línu þú breyttir og hvenær undantekningin rennur út.
Keyrðu síðan báðar lestrarnar aftur frá upphafi, því breyting á einni línu getur fært til það sem samið er um í annarri. Öll skráin er tvær skipanir og ein tafla, og það er sama vinnan hvort jafningurinn er beinir, fartölva eða tæki.