VPN сертификатын көчүрүү ачкычты көчүрбөйт

Бул жүрүш кардардын сертификаттар тизмесинен башталат, ал жерде жазуу гана ат, чыгарган жана бүтүү күнүн көрсөтөт, башка эч нерсе жок. Аны экспорттоп, экинчи түзмөккө импорттогула, жана байланыш четке кагылат, анткени кардар жеке ачкычка ээ экенин далилдей албайт. Файл толук көчүрүлгөн; ката — сертификат өз ачкычын алып жүрөт деп күтүү. Форматты тандоодон мурун экспорт диалогун окугула, андан кийин чындыгында алган файлды текшериңиз.

Эки басуу, эки таптакыр башка артефакт.

Файл кеңейтүүсүн эмес, экспорт диалогун окугула

DER же PEM сертификат экспорту ачык ачкычты жана кол коюлган инсандык билдирүүлөрүн камтыйт, бул серверге сизге ишенүү үчүн, ал эми кардарга серверди текшерүү үчүн керек. PKCS#12 байламы — сертификатты, анын тизмегин жана тиешелүү жеке ачкычты сактай алган, сырсөз менен корголгон контейнер, бирок аны ачкычсыз да түзсө болот.

PEM — бул гана тексттик коддоо, мазмун тууралуу убада эмес. Бир эле кеңейтүү жалгыз сертификатты же бир нече белгиленген блоктору бар файлды сүрөттөшү мүмкүн, кайсынысы экенин экспорт параметрлери чечет.

Ошондуктан пайдалуу суроо — кайсы кеңейтүү алганыңыз эмес, файлда кайсы блоктор бар экени. Ачкычсыз экспорттолгон байлам да байлам бойдон калат. Форматтын белгилүүлүгүн эмес, мазмунду текшериңиз.

Чындыгында эмне алганыңызды текшериңиз

Бир нерсени импорттоодон мурун белгилерди издеңиз, андан кийин сертификат талааларын окуп, кайсы инсандыкты кармап турганыңызды ырастаңыз. Текшерүүлөрдү чындыгында импорттолуучу файлда жүргүзүңүз. Ар кандай кайра экспорттон кийин аларды кайталаңыз, анткени параметрлер айырмаланышы мүмкүн.

grep -E 'BEGIN (CERTIFICATE|PRIVATE KEY|ENCRYPTED PRIVATE KEY)' bundle.pem
openssl x509 -in client.crt -noout -subject -issuer -dates
openssl pkey -in client.key -noout -text | head -5
openssl pkcs12 -info -in client.p12 -noout

Гана сертификат блогу бар экспорт — коомдук объект жана аутентификация кыла албайт. Сертификатсыз ачкыч блогу сизди сервер күткөн тизмексиз калтырат. PKCS#12 маалыматтык чыгышы ачкыч барбы-жокпу да билдирет, бул ошол формат үчүн суроону чечет. Ал алгоритмди жана ачкычтын өлчөмүн да атайт, жана ачкыч жок болсо толук ишке ашпайт.

Жеке ачкычы бар файлды колдоо жибине, маселе трекерине же чатка эч качан чаптабаңыз, ал мурун бөлүшкөн сертификатка окшоп көрүнсө да. Ачкыч панелинин скриншоттору да ошондой этияттыкты талап кылат.

Ачкыч көчүрө албаган жерде жашашы мүмкүн

Башкарылуучу түзмөктөрдө жеке ачкыч операциялык системанын ачкычтар тобунда, аппараттык токенде же коопсуз анклавда болушу мүмкүн, ал эми саясат аны экспорттолбой турган деп белгилейт. Ошондо сертификат менеджери ачык объектини көрсөтөт, сыр өз ордунда калат, жана эч бир экспорт буйругу көтөрүп жүрүүчү көчүрмө жаратпайт. Мобилдик түзмөктөрдү башкаруу аркылуу каттоо көбүнчө ушундай иштейт.

Бул — көзөмөл, айланып өтүүчү тоскоол эмес. Ачык сертификаттан жеке ачкычты калыбына келтирүү мүмкүн эмес, жана муну айткан ар кандай курал башка нерсе кылат.

Көчүрүүнүн ордуна жаңы инсандыкты каттаңыз

Колдоого алынган жол адатта мындай: жаңы түзмөк үчүн өзүнчө инсандыкты каттап, эскисин кызматтан кетирүүдө жокко чыгаруу, ошондо ар бир түзмөктү өз алдынча кайтарып алууга болот. Ачкыч менен экспорт чын эле уруксат берилген жерде алынган файлды жана анын сырсөзүн каттоо маалыматтары катары кабыл алыңыз: тынч абалда шифрленген, ишенимдүү канал аркылуу өткөрүлгөн жана каттоо бүткөндө өчүрүлгөн.

Импорттолгон инсандык менен аутентификация кылып текшериңиз, импорттун ийгилигин карап эмес. Коомдук сертификатты өз кампасына кабыл алган кардар ачкыч тууралуу эч нерсе далилдеген жок.

Сервер жаңы инсандыкты кабыл аларын жана эскиси дагы эле саясат көздөгөндөй жүрүм-турум кыларын ырастоо менен аяктаңыз. Ошентип жүрүш туура көрүнгөн файл менен эмес, далил менен аякталат.