VPN sertifikāta kopēšana nenokopē atslēgu

Pārskats sākas klienta sertifikātu sarakstā, kur ieraksts rāda nosaukumu, izdevēju un derīguma beigu datumu un neko citu. Eksportējiet to, importējiet otrajā ierīcē, un savienojums tiek noraidīts, jo klients nevar pierādīt privātās atslēgas piederību. Fails tika nokopēts pilnībā; kļūda ir gaidīt, ka sertifikāts nesīs savu atslēgu. Izlasiet eksporta dialogu pirms formāta izvēles, pēc tam pārbaudiet failu, kuru patiešām saņēmāt.

Divi klikšķi, divi ļoti atšķirīgi artefakti.

Lasiet eksporta dialogu, nevis faila paplašinājumu

DER vai PEM sertifikāta eksports satur publisko atslēgu un parakstītos identitātes apgalvojumus, kas serverim vajadzīgi, lai jums uzticētos, un klientam, lai pārbaudītu serveri. PKCS#12 pakotne ir konteiners, kas var glabāt sertifikātu, tā ķēdi un atbilstošo privāto atslēgu, aizsargātu ar paroli, lai gan to var izveidot arī bez atslēgas.

PEM ir tikai teksta kodējums, nevis solījums par saturu. Tas pats paplašinājums var aprakstīt vienu sertifikātu vai failu ar vairākiem marķētiem blokiem, un to izlemj eksporta opcijas.

Tāpēc noderīgais jautājums nekad nav, kādu paplašinājumu saņēmāt, bet gan kādi bloki ir failā. Bez atslēgas eksportēta pakotne joprojām ir pakotne. Pārbaudiet saturu, nevis formāta popularitāti.

Pārbaudiet, ko patiešām saņēmāt

Meklējiet marķējumus pirms kaut kā importēšanas, pēc tam izlasiet sertifikāta laukus, lai apstiprinātu, kādu identitāti turat. Veiciet pārbaudes failā, kas patiešām tiks importēts. Atkārtojiet tās pēc katras atkārtotas eksportēšanas, jo opcijas var atšķirties.

grep -E 'BEGIN (CERTIFICATE|PRIVATE KEY|ENCRYPTED PRIVATE KEY)' bundle.pem
openssl x509 -in client.crt -noout -subject -issuer -dates
openssl pkey -in client.key -noout -text | head -5
openssl pkcs12 -info -in client.p12 -noout

Eksports ar tikai sertifikāta bloku ir publisks objekts un nevar autentificēties. Atslēgas bloks bez sertifikāta atstāj jūs bez ķēdes, kuru serveris gaida. PKCS#12 informācijas izvade arī ziņo, vai atslēga ir, un tas atrisina jautājumu šim formātam. Tā nosauc arī algoritmu un atslēgas izmēru, un tā pilnībā neizdodas, kad atslēgas nav.

Nekad neielīmējiet failu ar privāto atslēgu atbalsta pavedienā, problēmu uzskaitē vai tērzēšanā, pat ja tas izskatās kā sertifikāts, ko jau kopīgojāt. Atslēgas paneļa ekrānuzņēmumi pelna tādu pašu piesardzību.

Atslēga var atrasties vietā, no kuras to nevar nokopēt

Pārvaldītās ierīcēs privātā atslēga var atrasties operētājsistēmas atslēgu saišķī, aparatūras pilnvarā vai drošā anklāvā, un politika to atzīmē kā neeksportējamu. Tad sertifikātu pārvaldnieks rāda publisko objektu, kamēr noslēpums paliek savā vietā, un neviena eksporta komanda neradīs pārnēsājamu kopiju. Reģistrācija, izmantojot mobilo ierīču pārvaldību, bieži darbojas tieši tā.

Tā ir kontrole, nevis šķērslis, kas jāapiet. Privāto atslēgu no publiskā sertifikāta rekonstruēt nav iespējams, un jebkurš rīks, kas to apgalvo, dara ko citu.

Reģistrējiet jaunu identitāti, nevis kopējiet

Atbalstītais ceļš parasti ir reģistrēt atsevišķu identitāti jaunajai ierīcei un atsaukt veco, kad tā tiek izbeigta, lai katru ierīci varētu atsaukt neatkarīgi. Kur eksports ar atslēgu patiešām ir apstiprināts, izturieties pret iegūto failu un tā paroli kā pret akreditācijas datiem: šifrētiem miera stāvoklī, pārsūtītiem pa uzticamu kanālu un dzēstiem, kad reģistrācija pabeigta.

Pārbaudiet, autentificējoties ar importēto identitāti, nevis vērojot, vai imports izdevās. Klients, kas pieņem publisku sertifikātu savā krātuvē, par atslēgu nav neko pierādījis.

Pabeidziet, apstiprinot, ka serveris pieņem jauno identitāti un ka vecā joprojām uzvedas tā, kā politika paredz. Tā pārskats noslēdzas ar pierādījumiem, nevis ar failu, kas izskatās pareizs.