VPN sertifikato kopijavimas nenukopijuoja rakto

Apžvalga prasideda kliento sertifikatų sąraše, kur įrašas rodo tik vardą, išdavėją ir galiojimo pabaigos datą. Eksportuokite jį, importuokite antrame įrenginyje, ir ryšys atmetamas, nes klientas negali įrodyti turintis privatųjį raktą. Failas buvo nukopijuotas visas; klaida yra tikėtis, kad sertifikatas neša savo paties raktą. Perskaitykite eksporto dialogą prieš rinkdamiesi formatą, tada patikrinkite failą, kurį iš tikrųjų gavote.

Du paspaudimai, du labai skirtingi artefaktai.

Skaitykite eksporto dialogą, o ne failo plėtinį

DER arba PEM sertifikato eksportas turi viešąjį raktą ir pasirašytus tapatybės teiginius, kurių serveriui reikia jumis pasitikėti, o klientui – serveriui patikrinti. PKCS#12 paketas yra konteineris, galintis laikyti sertifikatą, jo grandinę ir atitinkamą privatųjį raktą, apsaugotą slaptažodžiu, nors jį galima sukurti ir be rakto.

PEM yra tik teksto koduotė, o ne pažadas apie turinį. Tas pats plėtinys gali apibūdinti vieną sertifikatą arba failą su keliais pažymėtais blokais, ir tai lemia eksporto parinktys.

Todėl naudingas klausimas niekada nėra, kokį plėtinį gavote, o kokius blokus failas turi. Be rakto eksportuotas paketas vis tiek yra paketas. Tikrinkite turinį, o ne formato populiarumą.

Patikrinkite, ką iš tikrųjų gavote

Ieškokite žymų prieš ką nors importuodami, tada perskaitykite sertifikato laukus ir patvirtinkite, kokią tapatybę laikote. Atlikite patikras su failu, kuris iš tikrųjų bus importuojamas. Pakartokite jas po kiekvieno naujo eksporto, nes parinktys gali skirtis.

grep -E 'BEGIN (CERTIFICATE|PRIVATE KEY|ENCRYPTED PRIVATE KEY)' bundle.pem
openssl x509 -in client.crt -noout -subject -issuer -dates
openssl pkey -in client.key -noout -text | head -5
openssl pkcs12 -info -in client.p12 -noout

Eksportas su vien tik sertifikato bloku yra viešas objektas ir negali autentifikuotis. Rakto blokas be sertifikato palieka jus be grandinės, kurios tikisi serveris. PKCS#12 informacijos išvestis taip pat praneša, ar yra raktas, ir tai išsprendžia to formato klausimą. Ji nurodo ir algoritmą bei rakto dydį, ir visiškai nepavyksta, kai rakto nėra.

Niekada neįklijuokite failo su privačiuoju raktu į pagalbos temą, problemų sekiklį ar pokalbį, net kai jis atrodo kaip sertifikatas, kurį jau bendrinote. Rakto skydelio ekrano kopijos nusipelno tokio pat atsargumo.

Raktas gali būti ten, iš kur negalite jo nukopijuoti

Valdomuose įrenginiuose privatusis raktas gali būti operacinės sistemos raktinėje, aparatiniame žetone ar saugioje anklavoje, o politika žymi jį kaip neeksportuojamą. Tada sertifikatų tvarkytuvė rodo viešą objektą, o paslaptis lieka savo vietoje, ir nė viena eksporto komanda nesukurs perkeliamos kopijos. Registracija per mobiliųjų įrenginių valdymą dažnai veikia būtent taip.

Tai kontrolė, o ne kliūtis, kurią reikia apeiti. Atkurti privatųjį raktą iš viešojo sertifikato neįmanoma, ir bet kokia priemonė, kuri tai tvirtina, daro ką kita.

Užregistruokite naują tapatybę, o ne kopijuokite

Palaikomas kelias paprastai yra užregistruoti atskirą tapatybę naujam įrenginiui ir panaikinti senąją, kai ji nurašoma, kad kiekvieną įrenginį būtų galima atšaukti nepriklausomai. Kai eksportas su raktu tikrai patvirtintas, traktuokite gautą failą ir jo slaptažodį kaip prisijungimo duomenis: užšifruotus ramybėje, perduotus patikimu kanalu ir ištrintus, kai registracija baigta.

Tikrinkite autentifikuodamiesi importuota tapatybe, o ne stebėdami, ar importas pavyko. Klientas, priėmęs viešą sertifikatą į savo saugyklą, nieko neįrodė apie raktą.

Užbaikite patvirtindami, kad serveris priima naują tapatybę ir kad senoji vis dar elgiasi taip, kaip numato politika. Taip apžvalga baigiama įrodymais, o ne failu, kuris atrodo teisingai.