VPN სერტიფიკატის კოპირება გასაღებს არ აკოპირებს

მიმოხილვა იწყება კლიენტის სერტიფიკატების სიაში, სადაც ჩანაწერი აჩვენებს სახელს, გამომცემელსა და ვადის გასვლის თარიღს და მეტს არაფერს. გაიტანეთ ის, შემოიტანეთ მეორე მოწყობილობაზე და კავშირი უარყოფილია, რადგან კლიენტს არ შეუძლია პირადი გასაღების ფლობის დამტკიცება. ფაილი სრულად იყო დაკოპირებული; შეცდომა ის არის, რომ სერტიფიკატისგან მისივე გასაღების ტარებას ველოდებით. წაიკითხეთ ექსპორტის დიალოგი ფორმატის არჩევამდე, შემდეგ შეამოწმეთ ის ფაილი, რომელიც ნამდვილად მიიღეთ.

ორი დაწკაპუნება, ორი სრულიად განსხვავებული არტეფაქტი.

წაიკითხეთ ექსპორტის დიალოგი და არა ფაილის გაფართოება

DER ან PEM სერტიფიკატის ექსპორტი შეიცავს საჯარო გასაღებსა და ხელმოწერილ იდენტობის მტკიცებებს, რაც სერვერს სჭირდება თქვენს სანდოდ და კლიენტს — სერვერის გადასამოწმებლად. PKCS#12 პაკეტი კონტეინერია, რომელსაც შეუძლია შეინახოს სერტიფიკატი, მისი ჯაჭვი და შესაბამისი პირადი გასაღები, დაცული პაროლით, თუმმც მისი შექმნა გასაღების გარეშეც შეიძლება.

PEM მხოლოდ ტექსტური კოდირებაა და არა შინაარსის დაპირება. ერთი და იგივე გაფართოება შეიძლება აღწერდეს ერთ სერტიფიკატს ან რამდენიმე იარლიყიანი ბლოკის მქონე ფაილს, და რომელია, ამას ექსპორტის პარამეტრები წყვეტს.

ამიტომ სასარგებლო კითხვა არასოდეს არის, რომელი გაფართოება მიიღეთ, არამედ — რომელი ბლოკებია ფაილში. გასაღების გარეშე ექსპორტირებული პაკეტი მაინც პაკეტია. შეამოწმეთ შიგთავსი და არა ფორმატის პოპულარობა.

შეამოწმეთ, რა მიიღეთ სინამდვილეში

მოძებნეთ იარლიყები, სანამ რამეს შემოიტანთ, შემდეგ წაიკითხეთ სერტიფიკატის ველები, რომ დაადასტუროთ, რომელი იდენტობა გიჭირავთ. შემოწმებები ჩაატარეთ იმ ფაილზე, რომელიც ნამდვილად შემოვა. გაიმეორეთ ისინი ყოველი ხელახალი ექსპორტის შემდეგ, რადგან პარამეტრები შეიძლება განსხვავდებოდეს.

grep -E 'BEGIN (CERTIFICATE|PRIVATE KEY|ENCRYPTED PRIVATE KEY)' bundle.pem
openssl x509 -in client.crt -noout -subject -issuer -dates
openssl pkey -in client.key -noout -text | head -5
openssl pkcs12 -info -in client.p12 -noout

მხოლოდ სერტიფიკატის ბლოკის მქონე ექსპორტი საჯარო ობიექტია და ვერ აუთენტიფიკაციებს. სერტიფიკატის გარეშე გასაღების ბლოკი გტოვებთ სერვერის მოსალოდნელი ჯაჭვის გარეშე. PKCS#12-ის საინფორმაციო გამოსავალი ასევე იუწყება, არის თუ არა გასაღები, რაც ამ ფორმატისთვის კითხვას წყვეტს. ის ასევე ასახელებს ალგორითმსა და გასაღების ზომას და მთლიანად ფარდება, როცა გასაღები არ არის.

არასოდეს ჩასვათ პირადი გასაღების შემცველი ფაილი მხარდაჭერის თემაში, პრობლემების ტრეკერში ან ჩატში, მაშინაც კი, როცა ის იმ სერტიფიკატს ჰგავს, რომელსაც უკვე აზიარებდით. გასაღების პანელის ეკრანის სურათები იმავე სიფრთხილეს იმსახურებს.

გასაღები შეიძლება იყოს იქ, საიდანაც ვერ დააკოპირებთ

მართულ მოწყობილობებზე პირადი გასაღები შეიძლება იყოს ოპერაციული სისტემის გასაღებების კრებულში, აპარატურულ ტოკენში ან უსაფრთხო ანკლავში, და პოლიტიკა მას არაექსპორტირებად აღნიშნავს. მაშინ სერტიფიკატების მმართველი აჩვენებს საჯარო ობიექტს, საიდუმლო კი ადგილზე რჩება და არც ერთი ექსპორტის ბრძანება არ შექმნის გადატანად კოპიას. მობილური მოწყობილობების მართვით რეგისტრაცია ხშირად სწორედ ასე მუშაობს.

ეს კონტროლია და არა დაბრკოლება, რომელიც უნდა ავუაროთ. საჯარო სერტიფიკატიდან პირადი გასაღების აღდგენა შეუძლებელია და ნებისმიერი ხელსაწყო, რომელიც ამას აცხადებს, სხვა რამეს აკეთებს.

დაარეგისტრირეთ ახალი იდენტობა კოპირების ნაცვლად

მხარდაჭერილი გზა ჩვეულებრივ ასეთია: ახალი მოწყობილობისთვის ცალკე იდენტობის დარეგისტრირება და ძველის გაუქმება, როცა ის პენსიაში გადის, რათა თითოეული მოწყობილობა დამოუკიდებლად გამოვიხსნათ. სადაც გასაღებით ექსპორტი ნამდვილად დაშვებულია, მიღებულ ფაილსა და მის პაროლს მოეპყარით როგორც სერთიფიკატებს: დაშიფრული მოსვენებაში, გადაცემული სანდო არხით და წაშლილი რეგისტრაციის დასრულებისას.

გადაამოწმეთ შემოტანილი იდენტობით აუთენტიფიკაციით და არა იმის ყურებით, რომ შემოტანა წარმატებით დასრულდა. კლიენტს, რომელიც საჯარო სერტიფიკატს თავის საცავში იღებს, გასაღების შესახებ არაფერი დაუმტკიცებია.

დაასრულეთ იმის დადასტურებით, რომ სერვერი ახალ იდენტობას იღებს და ძველი კვლავ პოლიტიკის მიხედვით იქცევა. ასე სრულდება მიმოხილვა მტკიცებულებით და არა ფაილით, რომელიც სწორად გამოიყურება.