Ier dir et ëmwandelt: SSH-Schlëssel géint OpenVPN-Zertifikat

Den Import schléit mat engem Zertifikatsfeeler fehl, dofir gesäit de naheliegende Schrëtt wéi eng Ëmwandlung aus. Dësen Instinkt féiert d’Leit op e Wee, wou d’Dateierweiderung sech ännert an d’Oflehnung genee déiselwecht bleift. Eng ssh-ed25519-Linn an authorized_keys an en OpenVPN-Clientzertifikat sinn getrennt Berechtegungsobjeten, mat verschiddenen Aussteller, verschiddenen Kodéierungen a verschiddene Widderruffweeër. Wann dir dës Kontrollen an der Rei duerchgeet, wësst dir bannent enger Minutt, ob eng Ëmwandlung iwwerhaapt ka hëllefen.

Wéien Objet hutt dir eigentlech?

Et gëtt fënnef Saachen, déi d’Leit e Schlëssel nennen, an nëmmen eng dovun ass dat, wat en TLS-Profil wëll. En ëffentleche SSH-Schlëssel ass eng eenzeg Linn Text mat engem Typ-Prefix a base64-Belaaschtung. En OpenSSH-Zertifikat ass dee Schlëssel plus eng Ënnerschrëft, principals an Optiounen, déi ssh-keygen produzéiert, wann et als seng eegen kleng CA optrëtt. En X.509-Zertifikat ass eng komplett aner Struktur, déi e Sujet, eng Validitéitsfënster, Extensiounen an eng Ënnerschrëft vun enger Zertifizéierungsautoritéit dréit. E private Schlëssel ass déi geheim Halschent, an e ausgestallte Bündel ass meeschtens en Zertifikat plus seng Kette plus de private Schlëssel an enger Datei.

Den éischten Test kascht eng Kommando. Richt openssl op d’Datei an froe se, d’Zertifikatsstruktur ze analyséieren:

openssl x509 -in client.crt -noout -subject -issuer

Wann dat mat engem unable-to-load- oder PEM-Fehler feelt, ass d’Datei keen X.509-Zertifikat, egal wéi dir se genannt hutt. Eng Ëmbenennung schreift d’ASN.1 dobannen net ëm, an dat mécht d’Verpacke vun enger ëffentlecher Schlëssellinn a PEM-Kapptext och net.

Frot de Profil iwwerhaapt no engem Zertifikat?

Clientzertifikater sinn eng Authentifikatiounsmethod ënner verschiddenen, a vill funktionéierend TLS-Profiler froen ni no engem. En Server ka Benotzer iwwer e Plugin, e Benotzernumm a Passwuert oder en Token-Backend authentifizéieren, wärend en nach ëmmer vum Client verlaangt, d’Identitéit vum Server ze verifizéieren. Wann de Profil keng Clientzertifikat-Direktiv huet, gëtt ni en Zertifikat ugefrot, an keng Ëmwandlung wäert de Gateway dozou bréngen, een ze froen.

Méi al Konfiguratioune mat stateschem Schlëssel sinn en drëtten Fall. Si ginn dem TLS-Handshake virun a erwaarden eng Datei mat engem virgeedeelte Geheimnis, dofir kann d’Afüge vun engem ëffentleche Schlëssel an deem Feld och net funktionéieren. Liest, wat de Profil tatsächlech verlaangt, ier dir entscheet, datt d’Berechtegung falsch ass.

Wat Neikodéierung ka maachen an wat net

Privat Schlësselen hunn tatsächlech legitim alternativ Container. Deem selwechte RSA- oder EC-Schlëssel kann een als traditionellt PEM, als PKCS#8 oder an engem PKCS#12-Bündel schreiwen, an d’Tools konvertéiere gär tëscht hinnen. Ëffentlech Schlësselen hunn eng ähnlech Geschicht: ssh-keygen kann d’RFC 4716-Form vun engem SSH-Schlëssel ausginn, an OpenSSH versteet och säin eegene Zertifikatsformat. Dat alles ass Representatioun, an Representatioun ass net Vertrauen.

Wat eng Ëmwandlung net ka maachen, ass eng Ënnerschrëft vun enger Zertifizéierungsautoritéit ze schafen, déi Äre Schlëssel ni gesinn huet. En Zertifikat ass eng Aussprooch vun engem Aussteller, datt en bestëmmten ëffentleche Schlëssel zu engem bestëmmte Sujet fir en bestëmmten Zweck gehéiert. Neikodéierung behält d’Bytes vum Schlëssel a léisst d’Aussprooch feelen, soudatt de Gateway näischt huet, fir géint säi Vertrauensspäicher ze validéieren.

Dëst ass de Schrëtt, wou déi meescht Versich stille feelen: d’Datei endt elo op .crt, de Client liest se ouni Klo, an den Handshake brécht awer of, well déi aner Säit eng Kette bis zu engem vertrauenswürdëgen Aussteller net ka bauen.

Wou d’Zertifizéierungsautoritéit an d’Bild kënnt

Eng richteg Inschreiwung fänkt mat engem Schlësselpaar un, deen dir kontrolléiert, an enger Zertifikatsënnerschrëftsfro, déi de Sujet dréit, deen den Operateur erwaart. Den Operateur verifizéiert den Usproch, ënnerschreift d’Fro mam CA-Schlëssel an deet den ausgestallten Zertifikat mat all Tëschekette zeréck, déi de Client muss presentéieren. Duerno brauch de Client de CA-Zertifikat, deen en ënnerschriwwen huet, well dee leschte jo et him erlaabt ze bestätegen, datt de Server, mat deem en riedt, zu der selwechter Deploy gehéiert.

Déi lescht Datei ass einfach ze vergiessen an onméiglech z’ersetzen. De Signéierschlëssel vun der CA selwer gehéiert ni an d’Clientkonfiguratioun, a keng Quantitéit u lokaler Ëmwandlung produzéiert d’Kette, déi dir hätt sollen kréien.

Wat et Iech kascht, de SSH-Schlëssel nach eng Kéier ze benotzen

Stellt Iech vir, eng Ëmwandlung hätt wierklech eppes Akzeptabelt produzéiert. E Schlësselpaar souwuel fir SSH-Zougrëff wéi och fir VPN-Authentifikatioun ze benotzen, koppelt nach ëmmer zwee onofhängeg Sécherheetsentscheedungen. D’Entferne vun engem authorized_keys-Andrag stoppt SSH-Abmeldungen, an et mécht näischt un engem Zertifikat, deen d’VPN-CA schonn fir dee selwechten ëffentleche Schlëssel ausgestallt huet. D’VPN-Säit gëtt iwwer hire eegene Mechanismus widderruff, dat heescht d’Zertifikats-Widderrufflëscht oder dem Operateur seng Inschreiwungsnotiz.

Dofir endt d’Checklëscht mat enger Stoppbedingung amplaz mat engem Trick. Wann openssl d’Datei net als Zertifikat analyséiert, stoppt d’Ëmwandlung a beschreift, wat dir hutt: SSH-Schlëssel, SSH-Zertifikat, X.509-Zertifikat, private Schlëssel oder Bündel. Wann de Profil kee Clientzertifikat freet, stoppt a frot, wéi eng Authentifikatiounsmethod de Server erwaart. Nëmme wann béid Äntwerten op X.509 weisen, gëtt d’Inschreiwung den nächsten Schrëtt, an déi Diskussioun geet vill méi séier mam richtege Substantiv am éischte Saz.