Hvar n, e, d, p og q RSA búa í VPN-lykilskrá

Bókstafirnir í RSA-skýringu nefna svið inni í einum hlut, ekki skrár sem PKI-tól afhendir. Einkalykilskrá heldur uppbyggingu þar sem fyrstu sviðin eru opinber og síðari sviðin mega aldrei yfirgefa vélina sem lýkur göngunum. Milli þessara tveggja staðreynda liggja flestar hagnýtar spurningar um hvaða skrá svarar hvaða spurningu. Þessi handbók les uppbygginguna fyrst og síðan skipanirnar sem skoða hana án að hellast yfir hana.

Staðfestu að lykillinn sé RSA áður en þú leitar að frumtölum

Vottorð sannar að einhver lykill sé til og hafi verið undirritaður; það sannar ekki að lykillinn sé RSA. Kerfi má byggja á sporgerlum eða Ed25519, og sama möppuskipan þjónar þeim öllum. Athugaðu reikniritið áður en þú byrjar að leita að frumþáttum sem voru aldrei þar.

Þessar þrjár leseinungis skipanir svara spurningunni og skrásetja útgáfu tólsins.

openssl version
openssl x509 -in vpn-client.crt -noout -text
openssl pkey -in vpn-client.key -noout -text

Útgáfan skiptir máli því valkostanöfn hafa færst milli aðalútgáfa. Í útkomu vottorðsins skaltu finna línuna um reiknirit opinbers lykils og stærð lykilsins; í útkomu lykilsins prentar RSA-lykill stuðul og opinberan veldisvísir. Lykill á sporgerli prentar þess í stað nefndan feril, og engin leit mun framleiða n eða q úr honum.

Lestu uppbygginguna í stað base64

PEM er base64 vafið í hauslínur, og afkóðun þess gefur DER, það er raðgreinda uppbyggingu en ekki eina risavaxna heiltölu. RSA-einkalyklar ferðast í tveimur algengum gámunum, PKCS#1 og PKCS#8, og báðir leysast í sama mengi talna.

Þegar um tvær frumtölur er að ræða ber einkauppbyggingin níu svið: útgáfu, stuðulinn n, opinberan veldisvísir e, einkaveldisvísir d, frumtölurnar p og q, tvo CRT-veldisvísa og CRT-stuðul. RFC 8017 kafli A.1 skilgreinir þessa hluta og ASN.1-skipanina, og leyfir einnig fleiri en tvær frumtölur, þess vegna getur almennur þáttari prentað aukafærslur frumtalna. Taktu eftir röðinni, því hún skýrir algenga villu: opinberi helmingurinn er geymdur inni í einkaskránni, svo nærvera opinbers sviðs gerir þá skrá ekki örugga til að deila. Allt sem kemur á eftir er efnið sem verður að vera á hýsilnum.

Kóðun bætir við lagi sem er auðvelt að rugla saman við innihaldið. openssl asn1parse teiknar uppbygginguna sem tré svo röð sviðanna verði sýnileg, og það afkóðar ekkert og segir ekki til um hvort lykillinn sé nothæfur.

Paraðu vottorð við lykil án að prenta lykilinn

Spurningin sem kemur næst er venjulega hvort vottorð og lykill eigi saman. Samanburður stuðla svarar því, en afritaði líka efni nálægt hinu einka í stöðvaruppskrift sem getur endað í miða. Samanburður opinberu helminganna svarar sömu spurningu án nokkurs viðkvæms á skjánum.

openssl pkey -in vpn-client.key -pubout -out /tmp/key.pub
openssl x509 -in vpn-client.crt -pubkey -noout > /tmp/cert.pub
cmp /tmp/key.pub /tmp/cert.pub && echo MATCH

Auðkennilegar skrár þýða að vottorðið ber opinberan helming þess lykils, og munur þýðir að þú heldur á röngu pari. Þessi misræmi er algengasta orsök göngu sem semur glaðleg og neitar síðan auðkenningu. Fjarlægðu því næst tvær tímabundnar skrár; þær geyma ekkert leynilegt, en hrein vinnumappa er auðveldari að hugsa um mitt í atviki.

Vitaðu hvað næstu skrár eru ekki

Vottorð er ekki dulkóðaður opinber lykill sem mótherji opnar með CA-vottorðinu; það er undirrituð tenging milli opinbers lykils og auðkennigagna. Einkaskriflykill CA helst aðskilinn frá eigin vottorði og hverjum biðlara lykli. Beiðni er heldur ekki vottorð: hún ber umbeðnar upplýsingar og opinberan lykil með undirskrift yfir beiðnina, sem gerir hana að skráningarinntaki en ekki sönnun réttinda.

Tvær þessara færslna ruglast við RSA-færibreytur nógu oft til að nefna þær tvisvar. Diffie-Hellman færibreytuskrá inniheldur hópafæribreytur fyrir lyklasköpun og engar RSA-frumtölur, þó hún prentist líka sem stór frumtala. Afturköllunarlisti birtir stöðu vottorða og er ekki staður þar sem einkaveldisvísir gæti falið sig.

Því ætti hver birgðalína að skrá fjóra hluti: tegund hlutar, eiganda, tilgang og hvort einkamál sé með. Síðasti dálkurinn ræður því hvert má afrita skrána, og hann er sá sem fólk sleppir.

Skráðu pörunina og staðfestu síðan handabandið

Áður en þú breytir nokkru skaltu vista staðfestingarúttak með dagsetningu og OpenSSL-útgáfu. Þá má bera síðari snúning saman við sönnunargögn en ekki minni.

openssl verify -CAfile ca.crt vpn-client.crt
openssl x509 -in vpn-client.crt -noout -subject -issuer -dates

Eftir samanburð opinbers lykils skaltu fara leiðina sem eyðir parinu: reisa göngin, staðfesta að vottorðið sé lagt fram og samþykkt, og athuga hvaða auðkenni gáttin skráði. Ef lykill og vottorð stemma og auðkenning mistekst samt, er gallinn í trausti, auðkenniskortlagningu eða aðgangsstefnu en ekki parinu.

Fyrir afturköllun skaltu halda fyrri lykli og vottorði í dagsettri möppu og endurheimta bæði saman, aldrei annað þeirra. Lykill án vottorðs síns og vottorð án lykils síns mistakast eins að utan, sem gerir hálfendurheimt pör dýr að greiða úr klukkan tvö að nóttu.