IKEv2-ს ორი ხელმოწერა აქვს: სერტიფიკატი და IKE_AUTH
CA ხელს აწერს სერტიფიკატს, ხოლო პირი თავის IKE_AUTH გაცვლას საკუთარი სქემით აწერს ხელს. წაიკითხეთ თითოეული თავის ველში და ჩაწერეთ ორივე.
თქვენი ბილეთი ამბობს, რომ სერტიფიკატი SHA-256-ია, მაშინ როცა კარიბჭის ჟურნალი სხვა ხელმოწერის ალგორითმს ასახელებს და ვიღაცამ უკვე მოამზადა CA-ს ხელახლა გამოშვების მოთხოვნა. სანამ ეს მოთხოვნა სადმე წავა, გაყავით ორი ხელმოწერა: ერთი გამომცემლის ბეჭედია საჯარო გასაღებზე, მეორე კი პირის დამტკიცება, რომ IKE_AUTH-ის დროს ფლობს შესაბამის პირად გასაღებს. სხვადასხვა კომპონენტი ირჩევს მათ და ნებადართულია, რომ განსხვავდებოდეს. თითოეულის იქ წაკითხვას, სადაც ცხოვრობს, ორი ბრძანება და ერთი ცხრილი სჭირდება.
წაიკითხეთ გამომცემლის ხელმოწერა სერტიფიკატიდან
CA თავის ხელმოწერას ადებს იდენტობასა და გასაღებს შორის კავშირზე. ეს ხელმოწერა აღრიცხავს, რა გააკეთა CA-მ გამოშვებისას და არა რას გააკეთებს სუბიექტი დაკავშირებისას, ამიტომ მისი ალგორითმი აღწერს CA-ს საკუთარ ჰეშისა და გასაღების არჩევანს. ერთი ტიპის სუბიექტის გასაღები შეიძლება იყოს სხვა ტიპის CA გასაღების ქვეშ ყოველგვარი შეუსაბამობის გარეშე და CA გასაღების ბრუნვა ჩვეულებაა და არა ხარვეზი. წაიკითხეთ ორი ველი და გაქვთ ინვენტარის ნახევარი:
openssl x509 -in peer.pem -noout -text | grep -E "Signature Algorithm|Public Key Algorithm"ჩაწერეთ ორივე იარლიყი ცალკე ჩანაწერად. პირველი აღწერს CA-ს, მეორე სუბიექტის გასაღებს და არც ერთი არ იწინასწარმეტყველებს ონლაინ ხელმოწერას.
წაიკითხეთ ონლაინ ხელმოწერა IKE გაცვლიდან
ავთენტიფიკაციის დროს თითოეული პირი ხელს აწერს გაცვლის მონაცემებს საკუთარი პირადი გასაღებით და მოპირდაპირე მხარე ამოწმებს ამ დამტკიცებას სერტიფიკატის იდენტობის, ნდობის ჯაჭვისა და პოლიტიკის წინააღმდეგ. RSA-ში შიგთავსი და ჰეში ამ ონლაინ სქემას ეკუთვნის, ამიტომ უფრო გრძელი გასაღები ან ახალი SHA-256 სერტიფიკატი თავისით ვერ აირჩევს RSA-PSS-ს ავთენტიფიკაციის ხელმოწერისთვის. შეთანხმებული მეთოდი ჩანს დემონის ჟურნალში ან მისი კავშირების სიაში, არასოდეს სერტიფიკატში. ჰკითხეთ თითოეულ მხარეს, რაზეც შეთანხმდა, რადგან ორი მიმართულება შეიძლება განსხვავდებოდეს.
ipsec statusall | grep -i "auth\|proposal"როცა ერთი მხარე ასახელებს სქემას, რომელსაც მეორე ვერ აწარმოებს, იპოვეთ ის შეუსაბამობა, რომლის შესახებაც ბილეთი იყო. CA-ს ხელახლა გამოშვება ამისთვის არასწორი შეკეთებაა, რადგან სერტიფიკატი არასოდეს ყოფილა ის, რაც ჩავარდა.
რას ცვლის RFC 7427 და რას არა
საწყისი მეთოდები დანომრილია ალგორითმების კომბინაციის მიხედვით RFC 7296-ში. გვიანდელი RFC 7427 ხელმოწერის გაფართოება ამატებს ზოგად Digital Signature მეთოდს ხელმოწერის ჰეშის მხარდაჭერის სიგნალიზაციით, ამიტომ ახალ ჰეშს აღარ სჭირდება საკუთარი მეთოდის ნომერი. ეს შეთანხმების საგანია და არა ვარაუდის: პირი ვერ იღებს გაფართოებას იმიტომ, რომ მის ბიბლიოთეკას იგივე სერტიფიკატების გარჩევა შეუძლია, და პირი, რომელიც მხოლოდ საწყის მეთოდებს ახორციელებს, კარიბჭეს აიძულებს ერთი მათგანი შეინარჩუნოს. ეს თავსებადობის ღირებულების მქონე პოლიტიკის გაცვლაა და არა ხარვეზი.
მხარდაჭერა თითოეული მიმართულებისა და კავშირის მიხედვითაა, ამიტომ გამოსცადეთ თქვენ წინ არსებული აწყობა და ნუ დაეყრდნობით ოჯახის დონის მტკიცებას. სამი წლის წინ დაწერილი შესაძლებლობების მატრიცა სამი წლის ასაკის აწყობებს აღწერს.
ჩადეთ ოთხი სტრიქონი ინვენტარში
ჩანაწერს, რომელიც კამათს ამთავრებს, ოთხი სტრიქონი აქვს, თითოეული სხვა ადგილიდან წაკითხული და თითოეული სხვა ადამიანის მიერ შეცვლილი. შეავსეთ იგი სანამ რამეს გადაწყვეტთ, რადგან სწორედ არასწორი სტრიქონი ირჩევს შეკეთებას.
| ობიექტი | საიდან წაიკითხოს | ვინ ცვლის |
|---|---|---|
| სერტიფიკატის გამომცემლის ხელმოწერა | სერტიფიკატის Signature Algorithm ველი | CA-ს ოპერატორი, გამოშვებისას |
| სუბიექტის საჯარო გასაღები | სერტიფიკატის Public Key Algorithm ველი | ვინც სუბიექტის გასაღებს ქმნის |
| IKE ავთენტიფიკაციის სქემა | დემონის ჟურნალი ან კავშირების სია, auth და signature-hash შეტყობინება | IKE პროფილი ორივე პირზე |
| IKE და ESP დაცვის ალგორითმები | კავშირის შეთავაზებების სია | IPsec პროფილი, მიმართულების მიხედვით |
თითოეული სტრიქონი თავის თავსებადობის შედეგს ატარებს. ESP შიფრის შეცვლა არ ირჩევს გამომცემლის ხელმოწერას და CA-ს შემოწმების შესუსტება არ ამატებს ონლაინ მეთოდს, რაზეც პირები არასოდეს შეთანხმებულან. როცა ბილეთი ხელმოწერის შეუსაბამობას ამტკიცებს, ნამდვილად არასწორი სტრიქონი თითქმის არასოდეს არის პირველი.
მოაგვარეთ ძველი შემთხვევა PKI-ის შესუსტების გარეშე
უფრო ძველმა პირმა შეიძლება შემოგთავაზოთ მხოლოდ ის სქემა, რომელსაც თქვენი პოლიტიკა აღარ იძლევა. არჩევანია დროით შეზღუდული თავსებადობის გამონაკლისი, კლიენტის განახლება ან მხოლოდ იმ პირისთვის განსხვავებული ავთენტიფიკაციის მოწყობა. PKI-ის გადაკეთება უფრო სუსტი სერტიფიკატის ხელმოწერის გარშემო არ ასწორებს ონლაინ გაცვლის შეზღუდვას და ასუსტებს ყველა სხვა სერვისს, რომელიც იმავე CA-ს ენდობა. ჩაწერეთ, რომელი სტრიქონი შეცვალეთ და როდის იწურება გამონაკლისი.
შემდეგ თავიდან გაუშვით ორივე წაკითხვა, რადგან ერთ სტრიქონში ცვლილებამ შეიძლება გადაიტანოს ის, რაზეც მეორეში შეთანხმდებიან. მთელი ინვენტარი ორი ბრძანება და ერთი ცხრილია და ეს იგივე სამუშაოა, იქნება პირი მარშრუტიზატორი, ლეპტოპი თუ მოწყობილობა.