D'Zertifikater aus enger P12 ohne de private Schlëssel exportéieren

Den Supportticket freet, wéi en Zertifikat an der VPN-Bündel sëtzt, an den éischten Impuls ass alles ze exportéieren an unzehaangen. Eng P12-Datei verpackt Zertifikater a private Schlësselmaterial an engem Container, dofir ass alles ze exportéieren genee dat, wat Dir net wëllt schécken. D'Kommando, déi d'Fro beäntwert, ass e Selektiounsproblem, keen Ëmwandlungsproblem. Véier Flags entscheeden, wéi eng Halschent vum Container Dir kritt, an zwee dovun klénge sécher wéi se sinn.

Fänkt domat un, de Container ze liesen, amplaz en eidel ze maachen.

Wat eng PKCS12-Datei tatsächlech dréit

En PKCS12-Container hält een oder méi Zertifikater, méiglecherweis e private Schlëssel an e message authentication code iwwer den Inhalt. D'Zertifikater kënnen d'Blat-Zertifikat fir Är Client-Identitéit enthalen an d'Zwëschenzertifikater, déi et un eng CA ketten. De Schlëssel, wann en do ass, ass dat, wat d'Datei zu engem Geheimnis amplaz zu engem Dokument mécht.

Dee Ënnerscheed ass de Grond, firwat -nokeys existéiert a firwat et de Flag ass, deen dës Aufgab brauch.

D'Bündel liesen, ouni de Schlëssel erauszeschreiwen

D'Inspektiounsform dréckt Struktur- an Algorithmusdetailer aus a schreift näischt: openssl pkcs12 -in client.p12 -info -noout. Si freet no dem Importpasswuert, wat déi richteg Plaz fir dee Wäert ass, an si seet Iech, ob d'Datei iwwerhaapt e Schlëssel dréit. Benotzt -passin env:PKCS12_PASS, wann d'Passwuert net kann agetippt ginn, well e Passwuert an engem Shell-Kommando ass e Passwuert an der Prozesslëscht. Dëse Schrëtt exportéiert näischt, an dat ass genee de Punkt.

Liest d'Ausgab op dräi Saachen: wéi vill Zertifikater, ob e Schlëssel do ass an wéi eng Algorithmen en schützen.

Benotzt -nokeys, a verwiesselt et net mat -nocerts

-nokeys schléisst privat Schlësselen aus a léisst d'Zertifikater iwwreg. -clcerts enkelt dat op Client-Zertifikater an, -cacerts enkelt et op CA-Zertifikater an, an déi zwee si Filter amplaz Alternativen. -nocerts liest sech wéi déi sécher Schreifweis vun der selwechter Iddi a bedeit dat Ëmgekéiert: keng Zertifikater, wat nëmme Schlësselen iwwreg léisst. Et an en Zertifikatsexport ze mëschen ass wéi e private Schlëssel op d'Plack kënnt.

D'Form vun zwou Zeilen, déi eng Zertifikatsdatei an eng CA-Datei an näischt anescht produzéiert, ass:

openssl pkcs12 -in client.p12 -nokeys -clcerts -out client-certificates.pem
openssl pkcs12 -in client.p12 -nokeys -cacerts -out ca-certificates.pem

Legacy-Bündel brauchen -legacy op OpenSSL 3, fir hir eeler Verschlësselung ze liesen, an dee Flag ännert, wat de Parser akzeptéiert, net wat en ausgëtt. Wann d'Parsen mat engem Fehler iwwer en net ënnerstëtzten Algorithmus feelt, ass -legacy dobäizesetzen den éischte richtege Schrëtt a fir d'MAC-Kontroll ze iwwersprangen net.

Kontrolléiert d'Ausgab, net den Exit-Code

En Exitstatus vun null seet, datt d'Kommando gelaf ass, net datt d'Datei dréit, wat Dir erwaart. Zielt d'Zertifikater an der Ausgab a liest de Sujet an d'Datumer: openssl x509 -in client-certificates.pem -noout -subject -dates -fingerprint. Vergläicht de Fingerprint mat deem, deen den Supportteam erwaart, well eng Bündel mat zwee Client-Zertifikater eng Datei mat zwee Bléck produzéiert an déi meescht Tools liesen nëmmen den éischten. Zweck, Vertrauen a Schlësseliwwereneestëmmung sinn nees getrennt Tester.

En Zertifikat, dee sech parse léisst, ass en Zertifikat, dee sech parse léisst. Et ass keen Zertifikat, deen de VPN akzeptéiert.

Entscheet, ob Dir iwwerhaapt Dateien braucht

Wann de Client, deen et kritt, PKCS12 direkt importéiert, ass et méi einfach, d'Originalbündel iwwer en approuvéierte Kanal ze schécken an d'Passwuert getrennt ze halen, an de Schutz bleift erhalen. Extraktioun ass fir d'Inspektioun, fir e Client, deen PEM brauch, oder fir en Supportfall, dee no engem bestëmmten Artefakt gefrot huet. All Extraktioun entfernt eng Schicht a soll e Grond hunn.

Ëffentlech Zertifikater enthalen net de private Schlëssel, awer si enthalen Nimm an Organisatiounsdetailer. Deelt d'Felder, no deenen den Ticket gefrot huet, amplaz d'Datei, ausser d'Datei war dat, wat gefrot gouf.