E VPN-Zertifikat kopéieren kopéiert den Schlëssel net

Den Duerchgang fänkt bei der Zertifikatslëscht vum Client un, wou den Aschreiwung en Numm, en Aussteller an en Ofleefdatum weist an soss näischt. Exportéiert en, importéiert en op der zweeter Applikatioun, an d'Verbindung gëtt ofgelehnt, well de Client net ka beweisen, datt hien de private Schlëssel besëtzt. D'Datei gouf komplett kopéiert; de Feeler ass ze erwaarden, datt en Zertifikat säin eegene Schlëssel matbréngt. Liest den Exportdialog, ier Dir d'Format wielt, a kontrolléiert dann d'Datei, déi Dir tatsächlech kritt hutt.

Zwéi Klicken, zwee ganz verschidden Artefakten.

Liest den Exportdialog, net d'Dateisuffix

En DER- oder PEM-Zertifikatsexport enthält en ëffentleche Schlëssel an déi signéiert Identitéitsaussoen, dat heescht wat e Server brauch, fir Dir ze vertrauen, a wat e Client brauch, fir e Server ze iwwerpréiwen. E PKCS#12-Pack ass en Container, deen en Zertifikat, seng Kette an de passenden private Schlëssel ka späicheren, mat engem Passwuert geschützt, obwuel en och ouni de Schlëssel ka gëtt erstallt.

PEM ass just eng Textkodéierung, keen Verspriechen iwwer den Inhalt. Dee selwechte Suffix ka en eenzelt Zertifikat oder eng Datei mat méi etikettéierte Bléck beschreiwen, an d'Exportoptiounen entscheeden wat.

Déi nëtzlech Fro ass also ni, wéi eng Extensioun Dir kritt hutt, mee wéi eng Bléck d'Datei enthält. En Pack, dee ouni säi Schlëssel exportéiert gouf, ass nach ëmmer e Pack. Kontrolléiert den Inhalt an net d'Popularitéit vum Format.

Kontrolléiert, wat Dir tatsächlech kritt hutt

Sicht d'Etiketten, ier Dir eppes importéiert, a liest dann d'Zertifikatsfelder, fir ze bestätegen, wéi eng Identitéit Dir an der Hand hutt. Fiert d'Kontrollen op der Datei duerch, déi tatsächlech importéiert gëtt. Widderholl se no all Nei-Export, well d'Optioune kënnen ënnerschiddlech sinn.

grep -E 'BEGIN (CERTIFICATE|PRIVATE KEY|ENCRYPTED PRIVATE KEY)' bundle.pem
openssl x509 -in client.crt -noout -subject -issuer -dates
openssl pkey -in client.key -noout -text | head -5
openssl pkcs12 -info -in client.p12 -noout

En Export mat just engem Zertifikatsblock ass en ëffentlechen Objet a kann sech net authentifizéieren. E Schlësselblock ouni Zertifikat léisst Iech ouni d'Kette, déi de Server erwaart. D'PKCS#12-Informatiounsausgab mellt och, ob e Schlëssel do ass, wat d'Fro fir dat Format kläert. Si nennt och den Algorithmus an d'Schlësselgréisst, a si schléit komplett feel, wann kee Schlëssel do ass.

Kleet ni eng Datei mat engem private Schlëssel an en Support-Thread, en Issue-Tracker oder e Chat, och wann se wéi d'Zertifikat ausgesäit, dat Dir schonn gedeelt hutt. Screenshote vun engem Schlësselpanel verdéngen déiselwecht Virsiicht.

De Schlëssel ka wunnen, wou Dir en net ka kopéieren

Op geréierten Apparater ka de private Schlëssel am Schlësselring vum Betribssystem, an engem Hardwaretoken oder an enger sécherer Enklav sëtzen, mat enger Politik, déi en als net-exportéierbar markéiert. Den Zertifikatsmanager weist dann den ëffentlechen Objet, während de Geheimnis bleift, wou et ass, an keen Exportbefehl produzéiert eng portabel Kopie. D'Inschreiwen iwwer Mobile-Device-Management funktionéiert dacks genau esou.

Dat ass eng Kontroll, keen Hindernis, deen een ëmgeet. En private Schlëssel aus dem ëffentlechen Zertifikat ze rekonstruéieren ass net méiglech, an all Instrument, dat dat behaapt, mécht eppes anescht.

Schreift eng nei Identitéit an, amplaz ze kopéieren

Den ënnerstëtzte Wee ass meeschtens fir déi nei Applikatioun eng eege Identitéit anzeschreiwen an déi al ze widerrufen, wann se ausscheedt, sou datt all Apparat onofhängeg zeréckgezu ka ginn. Wou en Export mam Schlëssel wierklech genehmegt ass, behandelt d'resultéierend Datei an hire Passwuert als Umeldungsinformatiounen: verschlësselt am Rou, iwwer en tragbare Kanal iwwerdroen an geläscht, wann d'Inschreiwen fäerdeg ass.

Verifizéiert andeems Dir Iech mat der importéierter Identitéit authentifizéiert, net andeems Dir kuckt, datt den Import geléngt. E Client, deen en ëffentlecht Zertifikat a säi Späicher hëlt, huet iwwer de Schlëssel näischt bewisen.

Schléisst of, andeems Dir bestätegt, datt de Server déi nei Identitéit akzeptéiert an datt déi al sech nach ëmmer esou verhält, wéi d'Politik et virgesäit. Esou schléisst den Duerchgang mat Beweiser of, an net mat enger Datei, déi richteg ausgesäit.