Сертификаттарды P12ден жеке ачкычсыз экспорттоо

Колдоо суроосу VPN пакетинин ичинде кайсы сертификат бар экенин сурайт, ал эми биринчи түрткү — баарын экспорттоп тиркөө. P12 файлы сертификаттар менен жеке ачкыч материалын бир контейнерге таңуйт, ошондуктан баарын экспорттоо — жибербей турган нерсенин так өзү. Суроого жооп берген буйрук тандоо маселеси, айландыруу маселеси эмес. Төрт желеги контейнердин кайсы жарымын аларыңызды чечет жана алардын экөө чындыгында болгондон кооптуураак угулат.

Контейнерди бошотуунун ордуна аны окуудан баштаңыз.

PKCS12 файлы чындыгында эмне сактайт

PKCS12 контейнери бир же бир нече сертификатты, мүмкүн жеке ачкычты жана мазмун үстүндөгү message authentication code'ду сактайт. Сертификаттар кардар идентификаторуңуздун жалбырак сертификатын жана аны CA менен тизгиндеген ортоңку сертификаттарды камтышы мүмкүн. Ачкыч, бар болгондо, файлды документ эмес, сыр кылган нерсе.

Бул айырма -nokeys'дын бар болушунун жана бул тапшырмага дал ушул желеги керек болушунун себеби.

Пакетти ачкычты жазбай окуңуз

Текшерүү формасы структураны жана алгоритм деталдарын басып чыгарат жана эч нерсе жазбайт: openssl pkcs12 -in client.p12 -info -noout. Ал импорт сырсөзүн сурайт, бул ошол маани үчүн туура жер, жана файлда жалпы ачкыч бар-жогун айтат. Сырсөздү теруү мүмкүн болбосо -passin env:PKCS12_PASS колдонуңуз, анткени shell буйругунун ичиндеги сырсөз — процесстер тизмесиндеги сырсөз. Бул кадам эч нерсе экспорттобойт жана бүт маани ошондо.

Чыгарылышты үч нерсе үчүн окуңуз: канча сертификат, ачкыч барбы жана аны кайсы алгоритмдер коргойт.

-nokeys колдонуңуз жана аны -nocerts менен чаташтырбаңыз

-nokeys жеке ачкычтарды эсептен чыгарат жана сертификаттарды калтырат. -clcerts муну кардар сертификаттарына чейин тарылтат, -cacerts CA сертификаттарына чейин тарылтат, жана бул экөө альтернатива эмес, чыпка. -nocerts ошол эле идеянын коопсуз жазылышы сыяктуу окулат жана тескерисин билдирет: сертификат жок, бул ачкычтарды гана калтырат. Аны сертификат экспортуна аралаштыруу — жеке ачкычтын дискке түшүү жолу.

Сертификат файлын жана CA файлын жана башка эч нерсе жараткан эки саптуу форма мындай:

openssl pkcs12 -in client.p12 -nokeys -clcerts -out client-certificates.pem
openssl pkcs12 -in client.p12 -nokeys -cacerts -out ca-certificates.pem

Эски пакеттер өздөрүнүн эски шифрлөөсүн окуу үчүн OpenSSL 3тө -legacy талап кылат жана бул желеп парсер эмнени кабыл аларын өзгөртөт, эмнени чыгарарын эмес. Эгер талдоо колдоого алынбаган алгоритм катасы менен ийгиликсиз болсо, -legacy кошуу туура биринчи кадам, MAC текшерүүсүн өткөрүп жиберүү андай эмес.

Чыгарылышты текшериңиз, чыгуу кодун эмес

Нөл чыгуу статусу буйрук аткарылганын айтат, файл күткөнүңүздү сактаганын эмес. Чыгарылыштагы сертификаттарды санап, subject жана даталарды окуңуз: openssl x509 -in client-certificates.pem -noout -subject -dates -fingerprint. Манжа изин колдоо тобу күткөн менен салыштырыңыз, анткени эки кардар сертификаты бар пакет эки блоктуу файл жаратат жана көпчүлүк куралдар биринчисин гана окушат. Максат, ишеним жана ачкыч шайкештиги кайрадан өзүнчө тесттер.

Талдоого келүүчү сертификат — талдоого келүүчү сертификат. Бул VPN кабыл алган сертификат эмес.

Жалпы файлдар керекпи же жокпу чечиңиз

Эгер кабыл алуучу кардар PKCS12ни түз импорттобосо, түпнуска пакетти сырсөздү өзүнчө кармап, бекитилген канал аркылуу жиберүү жөнөкөй жана коргоону сактайт. Бөлүп алуу текшерүүгө, PEM керек болгон кардарга же конкреттүү артефакт сураган колдоо учуруна арналган. Ар бир бөлүп алуу бир катмарды алып салат жана себеби болушу керек.

Ачык сертификаттар жеке ачкычты камтыбайт, бирок аттарды жана уюм маалыматтарын камтыйт. Файлдын ордуна суроо сураган талааларды бөлүшүңүз, эгер так файл суралбаган болсо.