Áður en þú umbreytir því: SSH-lykill eða OpenVPN-skírteini

Innflutningurinn mistekst með skírteinisvillu, svo augljósa skrefið lítur út eins og umbreyting. Þessi hvöt leiðir fólk á braut þar sem skráarendingin breytist og höfnunin stendur nákvæmlega óbreytt. Lína með ssh-ed25519 í authorized_keys og OpenVPN-biðlara-skírteini eru aðskildir auðkennishlutir, með mismunandi útgefendum, mismunandi kóðun og mismunandi afturköllunarleiðum. Að fara í gegnum þessar athuganir í röð segir þér innan mínútu hvort umbreyting geti yfirhöfuð hjálpað.

Hvaða hlut hefur þú í raun?

Það eru fimm hlutir sem fólk kallar lykil, og aðeins einn þeirra er það sem TLS-snið vill. SSH almennur lykill er ein textalína með tegundarforskeyti og base64-innihaldi. OpenSSH-skírteini er sá lykill auk undirskriftar, principals og valkosta, framleitt af ssh-keygen sem starfar sem sitt eigið litla CA. X.509-skírteini er allt önnur bygging: það ber viðfang, gildistíma, viðbætur og undirskrift frá skírteinisstofnun. Einkalykill er leyndi helmingurinn, og útgefið búnt er yfirleitt skírteini auk keðju þess auk einkalykilsins í einni skrá.

Fyrsta prófið kostar eina skipun. Beindu openssl að skránni og biddu það að þátta skírteinisbygginguna:

openssl x509 -in client.crt -noout -subject -issuer

Ef það mistekst með unable-to-load eða PEM-villu er skráin ekki X.509-skírteini, hvað sem þú kallaðir hana. Endurnefning skrifar ekki ASN.1-inu inni, og það gerir umbúðir almennrar lykillínu í PEM-haus texta ekki heldur.

Býður sniðið yfirhöfuð um skírteini?

Biðlaraskírteini eru ein auðkenningaraðferð af nokkrum, og mörg virk TLS-snið biðja aldrei um slíkt. Þjónn getur auðkennt notendur í gegnum viðbót, notandanafn og lykilorð eða tókenbakenda, en krefst samt að biðlarinn sannreyni auðkenni þjónsins. Ef sniðið ber ekki tilskipun um biðlaraskírteini verður aldrei beðið um skírteini, og engin umbreyting fær gáttina til að biðja um eitt.

Eldri stillingar með kyrrstæðum lykli eru þriðja tilvikið. Þær eru frá tímanum fyrir TLS-handabandið og gera ráð fyrir skrá með fyrirfram deildu leyndarmáli, og þess vegna getur að líma almennan lykil í þann reit heldur ekki virkað. Lestu hvað sniðið biður í raun um áður en þú ákveður að auðkennið sé rangt.

Hvað endurkóðun getur og getur ekki gert

Einkalyklar hafa sannarlega lögmæt varabirgða ílát. Sami RSA- eða EC-lykill getur verið skrifaður sem hefðbundið PEM, sem PKCS#8 eða inni í PKCS#12-búnti, og verkfæri umbreyta á milli þeirra fúslega. Almennir lyklar eiga svipaða sögu: ssh-keygen getur gefið út RFC 4716-form SSH-lykils, og OpenSSH skilur líka sitt eigið skírteinasnið. Allt þetta er framsetning, og framsetning er ekki traust.

Það sem umbreyting getur ekki gert er að búa til undirskrift frá skírteinisstofnun sem hefur aldrei séð lykilinn þinn. Skírteini er fullyrðing útgefanda um að tiltekinn almennur lykill tilheyri tilteknu viðfangi í tilteknum tilgangi. Endurkóðun varðveitir bætin í lyklinum og lætur fullyrðinguna vanta, svo gáttin hefur ekkert til að sannreyna gagnvart traustageymslu sinni.

Þetta er skrefið þar sem flestar tilraunir mistakast hljóðlaust: skráin endar nú á .crt, biðlarinn les hana án kvartana, og handabandið stöðvast samt því mótaðilinn getur ekki byggt keðju að traustum útgefanda.

Hvar skírteinisstofnunin kemur inn í myndina

Raunveruleg skráning byrjar á lykilpari sem þú stjórnar og skírteinisundirskriftarbeiðni sem ber viðfangið sem rekstraraðilinn væntir. Rekstraraðilinn sannreynir réttindin, undirritar beiðnina með CA-lyklinum og skilar útgefnu skírteini ásamt hvaða millikeðju sem biðlarinn verður að leggja fram. Síðan þarf biðlarinn CA-skírteinið sem undirritaði það, því það er það sem gerir honum kleift að staðfesta að þjónninn sem hann talar við tilheyri sömu uppsetningu.

Þá síðustu skrá er auðvelt að gleyma og ómögulegt að skipta út. Undirskriftarlykill CA sjálfs tilheyrir aldrei biðlarastillingunni, og engin staðbundin umbreyting framleiðir keðjuna sem þú áttir að fá.

Hvað endurnotkun SSH-lykilsins kostar þig

Segjum að umbreyting hafi í raun framleitt eitthvað ásættanlegt. Endurnotkun á einu lykilpari bæði fyrir SSH-aðgang og VPN-auðkenningu tengir samt tvear sjálfstæðar öryggisákvarðanir. Að fjarlægja færslu úr authorized_keys stöðvar SSH-innskráningar, og það gerir ekkert við skírteini sem VPN-CA hefur þegar gefið út fyrir sama almennan lykil. VPN-hliðin er afturkölluð með eigin kerfi, það er skírteinisafturköllunarlistanum eða skráningarfærslu rekstraraðilans.

Þannig að gátlistinn endar með stöðvunarskilyrði frekar en bragði. Ef openssl þáttar ekki skrána sem skírteini, stöðvaðu umbreytinguna og lýstu því sem þú hefur: SSH-lykill, SSH-skírteini, X.509-skírteini, einkalykill eða búnt. Ef sniðið biður ekki um biðlaraskírteini, stöðvaðu og spurðu hvaða auðkenningaraðferð þjónninn væntir. Aðeins þegar bæði svörin benda á X.509 verður skráningin næsta skref, og sú samræða gengur miklu hraðar með rétta nafnorðinu í fyrstu setningu.