ಹಳೆಯ P12 ಫೈಲ್ OpenSSL 3 ನಲ್ಲಿ ವಿಫಲವಾಗುತ್ತದೆ: ತಪ್ಪು ಪಾಸ್ಫ್ರೇಸ್ ಅಥವಾ ಹಳೆಯ ಸೈಫರ್?
ತಪ್ಪಾಗಿ ಟೈಪ್ ಮಾಡಿದ ಪಾಸ್ಫ್ರೇಸ್ ಅನ್ನು OpenSSL 3 ತೆರೆಯಲು ನಿರಾಕರಿಸುವ ಹಳೆಯ RC2 ಬಂಡಲ್ನಿಂದ ಪ್ರತ್ಯೇಕಿಸಿ, ನಂತರ ಕೀಲಿ ರಕ್ಷಣೆಯನ್ನು ತೆಗೆಯದೆ ಫೈಲ್ ಅನ್ನು ಮತ್ತೆ ಸೀಲ್ ಮಾಡಿ.
ಆಮದು ಸಂವಾದವು ನಿಮ್ಮ ಪಾಸ್ವರ್ಡ್ ತೆಗೆದುಕೊಂಡು ಒಂದು ಕ್ಷಣ ತಿರುಗಿ ನಂತರ ಬಂಡಲ್ ಓದಲು ಸಾಧ್ಯವಿಲ್ಲ ಎಂದು ಹೇಳುತ್ತದೆ. ನೀವು ಪಾಸ್ಫ್ರೇಸ್ ತಪ್ಪಾಗಿ ಟೈಪ್ ಮಾಡಿದ್ದೀರಾ ಅಥವಾ ಕ್ಲೈಂಟ್ ಇನ್ನು ಮುಂದೆ ಒದಗಿಸದ ಸೈಫರ್ನಿಂದ ಫೈಲ್ ಸೀಲ್ ಆಗಿದೆಯೇ ಎಂಬುದನ್ನು ಆ ಸಂದೇಶದಲ್ಲಿ ಏನೂ ಹೇಳುವುದಿಲ್ಲ. ಇವು ವಿಭಿನ್ನ ವೈಫಲ್ಯಗಳು ಮತ್ತು ವಿಭಿನ್ನ ಪರಿಹಾರಗಳು, ತಪ್ಪು ಆಯ್ಕೆ ಕ್ಲೈಂಟ್ ಡೌನ್ಗ್ರೇಡ್ಗೆ ಕಾರಣವಾಗಿ ನಿರ್ಧಾರವನ್ನು ಮುಂದೂಡುತ್ತದೆ. ಕ್ಲೈಂಟ್ ಎಲ್ಲಿ ನಿಲ್ಲುತ್ತದೆ ಎಂಬ ಹಂತವನ್ನು ಗಮನಿಸುವುದು ಅವುಗಳನ್ನು ಸುಮಾರು ಒಂದು ನಿಮಿಷದಲ್ಲಿ ಪ್ರತ್ಯೇಕಿಸುತ್ತದೆ.
ಸಂವಾದ ಮತ್ತು ಪ್ರಮಾಣಪತ್ರ ಪಟ್ಟಿಯ ನಡುವೆ ಏನಾಗುತ್ತದೆ
.p12 ಫೈಲ್ ಒಂದು ಕಂಟೇನರ್, ಪ್ರಮಾಣಪತ್ರವಲ್ಲ. ಒಳಗೆ ಒಂದು ಅಥವಾ ಹೆಚ್ಚು ಪ್ರಮಾಣಪತ್ರ ಚೀಲಗಳು ಮತ್ತು ನಿಮ್ಮ ಪಾಸ್ವರ್ಡ್ನಿಂದ ಪಡೆದ ಕೀಲಿಯಿಂದ ಎನ್ಕ್ರಿಪ್ಟ್ ಆದ ಖಾಸಗಿ ಕೀಲಿ ಚೀಲ, ಜೊತೆಗೆ ಇಡೀ ಫೈಲ್ ಮೇಲಿನ MAC ಎಂಬ ಸಮಗ್ರತೆ ಪರಿಶೀಲನೆ ಇರುತ್ತದೆ. ಅದನ್ನು ತೆರೆಯುವುದೆಂದರೆ ಆ MAC ಪರಿಶೀಲಿಸುವುದು, ಕೀಲಿ ಚೀಲವನ್ನು ಡೀಕ್ರಿಪ್ಟ್ ಮಾಡುವುದು ಮತ್ತು ಪ್ರಮಾಣಪತ್ರವನ್ನು ಹೊರಬರುವ ಕೀಲಿಗೆ ಹೊಂದಿಸುವುದು.
ಪಾಸ್ವರ್ಡ್ ಸಮಸ್ಯೆ MAC ಹಂತದಲ್ಲಿ ಬರುತ್ತದೆ. ಸೈಫರ್ ಸಮಸ್ಯೆ ನಂತರ ಬರುತ್ತದೆ, ಕೀಲಿ ಚೀಲವನ್ನು ಬಿಚ್ಚಬೇಕಾದಾಗ ಮತ್ತು ಬಿಚ್ಚುವ ಬಿಲ್ಡ್ನಲ್ಲಿ ಫೈಲ್ನಲ್ಲಿ ಹೆಸರಿಸಿದ ಅಲ್ಗಾರಿದಮ್ನ ಅನುಷ್ಠಾನ ಇಲ್ಲದಿದ್ದಾಗ.
ಎರಡನೆಯ ಸಂದರ್ಭ ಪ್ರಸ್ತುತ ವ್ಯವಸ್ಥೆಗಳಲ್ಲಿ ಸಾಮಾನ್ಯ ಏಕೆಂದರೆ OpenSSL 3 ಹಳೆಯ ಅಲ್ಗಾರಿದಮ್ಗಳ ಗುಂಪನ್ನು ಐಚ್ಛಿಕ legacy provider ಗೆ ಸರಿಸಿತು. OpenSSL 1.x ರಫ್ತು ಮಾಡಿದ ಬಂಡಲ್ಗಳು ಸಾಮಾನ್ಯವಾಗಿ ಪ್ರಮಾಣಪತ್ರಗಳನ್ನು 40-ಬಿಟ್ RC2 ಮತ್ತು ಖಾಸಗಿ ಕೀಲಿಯನ್ನು ಮೂರು ಕೀಲಿಯ Triple DES ನಿಂದ ಸೀಲ್ ಮಾಡಿದ್ದವು. ಡೀಫಾಲ್ಟ್ OpenSSL 3 ಬಿಲ್ಡ್ ನಿಮ್ಮ ಸರಿಯಾದ ಪಾಸ್ವರ್ಡ್ನಿಂದ MAC ಪರಿಶೀಲಿಸಿ ನಂತರ ಚೀಲದಲ್ಲಿ ವಿಫಲವಾಗುತ್ತದೆ, ಆದ್ದರಿಂದ ಪಾಸ್ವರ್ಡ್ ಎಂದೂ ತಪ್ಪಾಗಿರಲಿಲ್ಲ ಮತ್ತು ಮತ್ತೆ ಟೈಪ್ ಮಾಡುವುದರಿಂದ ಏನೂ ಬದಲಾಗುವುದಿಲ್ಲ.
ಕೀಲಿಯನ್ನು ಹೊರಗೆ ಬರೆಯದೆ ಕಂಟೇನರ್ ಓದುವುದು
ನಿಮ್ಮ ಗಣಕದಲ್ಲಿನ OpenSSL ಬಿಲ್ಡ್ ಅನ್ನು ಫೈಲ್ ಅನ್ನು ವಿಶ್ಲೇಷಿಸಿ ಅದು ಎಲ್ಲಿ ಬಿಟ್ಟುಬಿಡುತ್ತದೆ ಎಂಬುದನ್ನು ಓದಲು ಕೇಳಿ. ಔಟ್ಪುಟ್ ಫೈಲ್ ಇಲ್ಲದೆ ಪರಿಶೀಲನೆ ಕೀಲಿಯನ್ನು ಡಿಸ್ಕ್ನಲ್ಲಿ ಎನ್ಕ್ರಿಪ್ಟ್ ಆಗಿಯೇ ಬಿಡುತ್ತದೆ, ಹಂಚಿಕೆಯ ಹೋಸ್ಟ್ನಲ್ಲಿ ಈ ಹಂತ ಸುರಕ್ಷಿತವಾಗಿರಲು ಅದೇ ಏಕೈಕ ಕಾರಣ.
openssl pkcs12 -in vpn-identity.p12 -info -nooutಸರಿಯಾದ ಪಾಸ್ವರ್ಡ್ ಇರುವ ಹಳೆಯ ಬಂಡಲ್ನಲ್ಲಿ ಇದು ಚೀಲ ಗುಣಲಕ್ಷಣಗಳನ್ನು ಮುದ್ರಿಸಿ ನಂತರ digital envelope routines::unsupported ಜೊತೆ ನಿಲ್ಲುತ್ತದೆ. ತಪ್ಪು ಪಾಸ್ವರ್ಡ್ನಿಂದ ಯಾವುದೇ ಚೀಲ ಓದುವ ಮೊದಲೇ Mac verify error: invalid password? ಬರುತ್ತದೆ. ಎರಡು ಸಂದೇಶಗಳು ವಿರುದ್ಧ ದಿಕ್ಕುಗಳನ್ನು ತೋರಿಸುತ್ತವೆ, ಅದುವೇ ಕ್ಲೈಂಟ್ ಮುಚ್ಚಿಟ್ಟ ಮಾಹಿತಿ.
ವೈಫಲ್ಯವು ಬೆಂಬಲಿಸದ ಅಲ್ಗಾರಿದಮ್ ಆಗಿದ್ದರೆ, ಅದೇ ಆಜ್ಞೆಯನ್ನು -legacy ಸೇರಿಸಿ ಬೇರೆ ಏನನ್ನೂ ಬದಲಾಯಿಸದೆ ಮತ್ತೆ ಚಲಾಯಿಸಿ. ಆ ಫ್ಲ್ಯಾಗ್ legacy provider ಅನ್ನು ಆ ಒಂದು ಪ್ರಕ್ರಿಯೆಗೆ ಮಾತ್ರ ಲೋಡ್ ಮಾಡುತ್ತದೆ. ಅದು VPN ಕ್ಲೈಂಟ್ ಹಳೆಯ ಬಂಡಲ್ಗಳನ್ನು ವಿಶ್ಲೇಷಿಸುವಂತೆ ಮಾಡುವುದಿಲ್ಲ, ವ್ಯವಸ್ಥೆಯಾದ್ಯಂತದ ಕ್ರಿಪ್ಟೊ ನೀತಿಯನ್ನು ಮುಟ್ಟುವುದಿಲ್ಲ ಮತ್ತು ಅದು ದುರಸ್ತಿಯಲ್ಲ, ಅಳೆಯುವಿಕೆ, ಏಕೆಂದರೆ ಫೈಲ್ ಇನ್ನೂ ಬದಲಾಯಿಸಬೇಕು.
ಯಾವ ದೋಷ ಯಾವ ಹಂತ ಎಂದು
ಒಂದು ಸಣ್ಣ ಕೋಷ್ಟಕ ಮೂರು ಫಲಿತಾಂಶಗಳನ್ನು ಬೇರ್ಪಡಿಸುತ್ತದೆ, ಮತ್ತು ಸಂವಾದ ಎಲ್ಲಿ ಕಾಣಿಸಿತು ಎಂಬುದಕ್ಕಿಂತ ಪದಗಳೇ ಹೆಚ್ಚು ಮುಖ್ಯ.
| Text you see | Stage | What it tells you |
|---|---|---|
Mac verify error: invalid password? | Integrity check | Passphrase or cached credential, not the cipher |
digital envelope routines::unsupported | Bag decrypt | Algorithm missing from the default provider |
not enough data / header too long | Container format | Wrong encoding, edited file, or truncated download |
not enough data ಅಥವಾ header too long ಮುಂತಾದ ಪಠ್ಯ ಮೊದಲ ಎರಡು ಗುಂಪುಗಳಿಗೆ ಸೇರುವುದಿಲ್ಲ. ಅದು ಸ್ವರೂಪದ ಸಮಸ್ಯೆ: .pem ಎಂದು ಮರುಹೆಸರಿಸಿದ DER ಫೈಲ್, ಸಾಲಿನ ಅಂತ್ಯಗಳನ್ನು ಮತ್ತೆ ಬರೆದ ಸಂಪಾದಕದಿಂದ ಹಾಳಾದ ಪ್ರತಿ, ಅಥವಾ ಅಪೂರ್ಣ ಡೌನ್ಲೋಡ್. ಸೈಫರ್ಗಳನ್ನು ನೋಡುವ ಮೊದಲು ಜಾರಿಗೆ ಕಳುಹಿಸಿದ ಚೆಕ್ಸಮ್ನೊಂದಿಗೆ ಹೋಲಿಸಿ.
Mac verify error ಅನ್ನು ಪಾಸ್ವರ್ಡ್ ಬಗ್ಗೆ ಮಾತ್ರ ಸಾಕ್ಷ್ಯವೆಂದು ಪರಿಗಣಿಸಿ. ನೀವು ಟೈಪ್ ಮಾಡಿದ್ದರಿಂದ ಲೆಕ್ಕಹಾಕಿದ MAC ಸಂಗ್ರಹಿತ ಮೌಲ್ಯಕ್ಕೆ ಹೊಂದಿಕೆಯಾಗುತ್ತಿಲ್ಲ ಎಂದರ್ಥ, ಇದು ಟೈಪಿಂಗ್ ತಪ್ಪು, ಹಿಂದಿನ ಆಮದಿನಿಂದ ಕ್ಯಾಶ್ ಆದ ಪಾಸ್ವರ್ಡ್, ಅಥವಾ ಬೇರೆ ಪಾಸ್ಫ್ರೇಸ್ ಅಡಿಯಲ್ಲಿ ಮತ್ತೆ ರಫ್ತಾದ ಫೈಲಿನಿಂದ ಸಂಭವಿಸುತ್ತದೆ. ಒಳಗಿನ ಅಲ್ಗಾರಿದಮ್ಗಳು ಹಳೆಯವೇ ಎಂಬುದರ ಬಗ್ಗೆ ಅದು ಏನನ್ನೂ ಹೇಳುವುದಿಲ್ಲ.
ಕ್ಲೈಂಟ್ ನಿಜವಾಗಿ ತೆರೆಯಬಹುದಾದ ಬಂಡಲ್ ನಿರ್ಮಿಸುವುದು
legacy ಪಾರ್ಸರ್ ಫೈಲ್ ಸದೃಢ ಎಂದು ಖಚಿತಪಡಿಸಿದ ನಂತರ, ಶಾಶ್ವತ ಪರಿಹಾರ ಗುರಿ ಕ್ಲೈಂಟ್ ಬೆಂಬಲಿಸುವ ಅಲ್ಗಾರಿದಮ್ಗಳಿರುವ ಬದಲಿ: ಕೀಲಿ ಮತ್ತು ಪ್ರಮಾಣಪತ್ರ ಚೀಲಗಳಿಗೆ AES-256-CBC, ವ್ಯುತ್ಪತ್ತಿಗೆ SHA-256 ಇರುವ PBKDF2, ಮತ್ತು MAC ಗೆ SHA-256. ನಿಮ್ಮ PKI ನಿರ್ವಾಹಕರು ಅದನ್ನು ಅದೇ ಕೀಲಿ ಸಾಮಗ್ರಿಯಿಂದ ರಫ್ತು ಮಾಡಬಹುದು, ಒಳಗಿನ ಪ್ರಮಾಣಪತ್ರ ನಿಮ್ಮ ಸರ್ವರ್ಗಳು ಈಗಾಗಲೇ ನಂಬುವ ಪ್ರಮಾಣಪತ್ರವೇ ಉಳಿಯುತ್ತದೆ.
ಸ್ಥಳೀಯವಾಗಿ ಪರಿವರ್ತಿಸಬೇಕಾದಾಗ, ಮೊದಲು ಚೀಲಗಳನ್ನು ಸುರಿಯುವ ಬದಲು pkcs12 ಸಾಧನಕ್ಕೆ ಅವುಗಳನ್ನು ಮತ್ತೆ ಸೀಲ್ ಮಾಡಲು ಹೇಳಿ. ಎರಡೂ ಪಾಸ್ಫ್ರೇಸ್ಗಳನ್ನು ಫೈಲಿನಿಂದ ಓದಿ ನಿಮ್ಮ ಶೆಲ್ ಇತಿಹಾಸದಿಂದ ಹೊರಗಿಡಿ.
openssl pkcs12 -in vpn-identity.p12 -out vpn-identity-aes.p12 \
-keypbe AES-256-CBC -certpbe AES-256-CBC -macalg sha256 \
-passin file:old.pass -passout file:new.passಯಶಸ್ವಿ ಪರಿವರ್ತನೆ ಅವಧಿ ಮುಗಿಯುವಿಕೆ, ಕೀಲಿ ಬಳಕೆ, ಖಾಸಗಿ ಕೀಲಿ ಹೊಂದಾಣಿಕೆ, ಅಥವಾ ಸರ್ವರ್ ಜಾರಿಗೆ ಕಳುಹಿಸುವ ಸರಪಳಿಯನ್ನು ನಂಬುತ್ತದೆಯೇ ಎಂಬುದರ ಬಗ್ಗೆ ಏನನ್ನೂ ಹೇಳುವುದಿಲ್ಲ. ಮತ್ತೆ ಪ್ಯಾಕ್ ಮಾಡುವುದು ಸಾಗಣೆ ಬದಲಾವಣೆ, ನವೀಕರಣವಲ್ಲ, ಮತ್ತು ಅವುಗಳಲ್ಲಿ ಪ್ರತಿಯೊಂದೂ ತನ್ನದೇ ಪರಿಶೀಲನೆ ಬೇಕು.
ಕ್ಲೈಂಟ್ ಫೈಲ್ ಒಪ್ಪಿಕೊಂಡಿದೆ ಎಂಬ ಕಾರಣಕ್ಕೆ ರಕ್ಷಣೆಯಿಲ್ಲದ ಮಧ್ಯಂತರ ಕೀಲಿಯನ್ನು ಬರೆಯುವ ಅಥವಾ ಖಾಲಿ ಔಟ್ಪುಟ್ ಪಾಸ್ವರ್ಡ್ ಇರುವ ಯಾವುದೇ ವಿಧಾನವನ್ನು ಬಿಟ್ಟುಬಿಡಿ. ರಕ್ಷಣೆ ತೆಗೆದುಹಾಕಿದ ಓದಬಹುದಾದ ಬಂಡಲ್ ನೀವು ಆರಂಭಿಸಿದ ಆಮದು ವೈಫಲ್ಯಕ್ಕಿಂತ ಕೆಟ್ಟ ಫಲಿತಾಂಶ.
ಕ್ಲೈಂಟ್ ನೀವು ನಿರ್ಮಿಸಿದ ಫೈಲ್ ಅನ್ನು ಆಮದು ಮಾಡಿಕೊಂಡಿದೆಯೇ ಎಂದು ಖಚಿತಪಡಿಸಿ
ಟರ್ಮಿನಲ್ನಲ್ಲಿ ಸ್ವಚ್ಛ ವಿಶ್ಲೇಷಣೆ ಕಂಟೇನರ್ ಮಾನ್ಯ ಎಂದು ಸಾಬೀತು ಮಾಡುತ್ತದೆ. ಕ್ಲೈಂಟ್ ಅದನ್ನು ಆಯ್ಕೆ ಮಾಡಿತು ಎಂದು ಸಾಬೀತು ಮಾಡುವುದಿಲ್ಲ, ಏಕೆಂದರೆ ಉಳಿದ ಪ್ರೊಫೈಲ್ ಹಳೆಯ ಫೈಲಿಗೆ ಸೂಚಿಸುತ್ತಿರಬಹುದು, ಮತ್ತು ಕೆಲವು ಕ್ಲೈಂಟ್ಗಳು ಆಮದು ಮಾಡಿದ ಗುರುತನ್ನು ನೀವು ಆಯ್ಕೆ ಮಾಡದ ಹೆಸರಿನಲ್ಲಿ ಕ್ಯಾಶ್ ಮಾಡುತ್ತವೆ.
ನೀವು ಆಮದು ಮಾಡಲಿರುವ ಗುರುತನ್ನು ಮುದ್ರಿಸಿ ಮತ್ತು ಕ್ಲೈಂಟ್ ತನ್ನ ಪ್ರಮಾಣಪತ್ರ ನೋಟದಲ್ಲಿ ತೋರಿಸುವುದರೊಂದಿಗೆ ಹೋಲಿಸಿ.
openssl pkcs12 -in vpn-identity-aes.p12 -clcerts -nokeys -passin file:new.pass \
| openssl x509 -noout -subject -dates -fingerprint -sha256ಮೊದಲು ಹಳೆಯ ಪ್ರೊಫೈಲ್ ನಮೂದನ್ನು ತೆಗೆದುಹಾಕಿ, ನಂತರ ಆಮದು ಮಾಡಿ. ಕ್ಲೈಂಟ್ ಲೋಡ್ ಮಾಡಿದ ವಿಷಯ ಅಥವಾ ಫಿಂಗರ್ಪ್ರಿಂಟ್ ಅನ್ನು ಲಾಗ್ ಮಾಡಿದರೆ, ಅದನ್ನು ಮೇಲಿನ ಸಾಲಿನೊಂದಿಗೆ ಹೋಲಿಸಿ; ಅದು ಸ್ನೇಹಪರ ಹೆಸರನ್ನು ಮಾತ್ರ ತೋರಿಸಿದರೆ, ಬದಲಿಗೆ ಮುಗಿಯುವ ದಿನಾಂಕವನ್ನು ಪರಿಶೀಲಿಸಿ, ಏಕೆಂದರೆ ಅದನ್ನು ಅದೇ ಜಾರಿಗೆ ಕಳುಹಿಸುವವರ ಇನ್ನೊಂದು ಪ್ರಮಾಣಪತ್ರದೊಂದಿಗೆ ಗೊಂದಲ ಮಾಡುವುದು ಕಷ್ಟ.
PKCS12 ಉಲ್ಲೇಖ ಇಲ್ಲಿ ಬಳಸಿದ provider, ಪಾಸ್ಫ್ರೇಸ್ ಮತ್ತು ಔಟ್ಪುಟ್ ಆಯ್ಕೆಗಳನ್ನು ಪಟ್ಟಿ ಮಾಡುತ್ತದೆ. legacy provider ಅನ್ನು ಕ್ಲೈಂಟ್ ಪರಿಸರದಿಂದ ಹೊರಗಿಡುವುದೇ ಮುಖ್ಯ: ಅದರೊಂದಿಗೆ ಅಳೆಯಿರಿ, ಅದಿಲ್ಲದೆ ಬಿಡುಗಡೆ ಮಾಡಿ, ಮತ್ತು ಖಾಸಗಿ ಕೀಲಿಯನ್ನು ಡಿಸ್ಕ್ನಲ್ಲಿ ರಕ್ಷಿಸಿ ಬಿಡಿ.