Копирањето на VPN сертификат не го копира клучот

Прошетката започнува во списокот со сертификати на клиентот, каде записот прикажува име, издавач и датум на истекување и ништо друго. Извезете го, внесете го на вториот уред и врската се одбива затоа што клиентот не може да докаже поседување на приватниот клуч. Датотеката беше копирана целосно; грешката е да се очекува сертификатот да го носи сопствениот клуч. Прочитајте го дијалогот за извоз пред да го изберете форматот, потоа проверете ја датотеката што навистина сте ја добиле.

Два клика, два сосема различни артефакти.

Читајте го дијалогот за извоз, не наставката на датотеката

Извозот на DER или PEM сертификат содржи јавен клуч и потпишани тврдења за идентитетот, што му е потребно на серверот за да ви верува и на клиентот за да провери сервер. Пакетот PKCS#12 е контејнер што може да содржи сертификат, неговиот синџир и соодветниот приватен клуч, заштитен со лозинка, иако може да се создаде и без клучот.

PEM е само текстуално кодирање, а не ветување за содржината. Истата наставка може да опишува еден сертификат или датотека со неколку означени блокови, а опциите за извоз одлучуваат која.

Затоа корисното прашање никогаш не е која наставка сте ја добиле, туку кои блокови ги содржи датотеката. Пакетот извезен без клучот е сепак пакет. Проверете ја содржината, а не популарноста на форматот.

Проверете што навистина сте добиле

Барајте ги ознаките пред да внесете нешто, потоа прочитајте ги полињата на сертификатот за да потврдите кој идентитет го држите. Извршете ги проверките на датотеката што навистина ќе се внесе. Повторете ги по секој повторен извоз, бидејќи опциите може да се разликуваат.

grep -E 'BEGIN (CERTIFICATE|PRIVATE KEY|ENCRYPTED PRIVATE KEY)' bundle.pem
openssl x509 -in client.crt -noout -subject -issuer -dates
openssl pkey -in client.key -noout -text | head -5
openssl pkcs12 -info -in client.p12 -noout

Извозот само со блок на сертификат е јавен објект и не може да се автентицира. Блокот на клуч без сертификат ве остава без синџирот што серверот го очекува. Излезот со информации на PKCS#12 исто така известува дали има клуч, што го решава прашањето за тој формат. Го наведува и алгоритмот и големината на клучот, и целосно пропаѓа кога нема клуч.

Никогаш не лепете датотека со приватен клуч во тема за поддршка, следач на проблеми или разговор, дури и кога изгледа како сертификатот што веќе сте го споделиле. Снимките од панелот со клуч заслужуваат исто внимание.

Клучот може да живее каде што не можете да го копирате

На управувани уреди приватниот клуч може да стои во приврзокот за клучеви на оперативниот систем, хардверски токен или безбеден анклав, со политика што го означува како неизвозлив. Тогаш менаџерот за сертификати го прикажува јавниот објект додека тајната останува на место, и ниту една наредба за извоз нема да создаде пренослива копија. Запишувањето преку управување со мобилни уреди често работи токму така.

Тоа е контрола, а не пречка што треба да се заобиколи. Реконструкција на приватен клуч од јавниот сертификат не е возможна, и секоја алатка што го тврди тоа прави нешто друго.

Запишете нов идентитет наместо да копирате

Поддржаниот пат обично е да запишете посебен идентитет за новиот уред и да го отповикате стариот кога се повлекува, за да може секој уред да се повлече независно. Каде што извозот со клучот е навистина одобрен, третирајте ја добиената датотека и нејзината лозинка како акредитиви: шифрирани во мирување, пренесени преку доверлив канал и избришани кога запишувањето е завршено.

Проверете со автентикација со внесениот идентитет, а не со гледање дали внесувањето успеало. Клиент што прифаќа јавен сертификат во своето складиште не докажал ништо за клучот.

Завршете со потврда дека серверот го прифаќа новиот идентитет и дека стариот сѐ уште се однесува како што предвидува политиката. Така прошетката завршува со докази, а не со датотека што изгледа исправно.