P12-оос сертификатуудыг хувийн түлхүүргүйгээр экспортлох

Дэмжлэгийн тасалбар VPN багцын дотор аль сертификат байгааг асуудаг бөгөөд эхний түлхэлт нь бүгдийг экспортлож хавсаргах явдал юм. P12 файл нь сертификат болон хувийн түлхүүрийн материалыг нэг саванд багцладаг тул бүгдийг экспортлох нь илгээх ёсгүй зүйл юм. Асуултад хариулах команд нь сонголтын асуудал бөгөөд хөрвүүлэлтийн асуудал биш. Дөрвөн туг савны аль хагасыг авахыг тодорхойлдог бөгөөд тэдгээрийн хоёр нь байгаагаасаа илүү аюулгүй сонсогддог.

Савныг хоослохын оронд уншиж эхэл.

PKCS12 файл үнэхээр юу агуулдаг вэ

PKCS12 сав нь нэг буюу хэд хэдэн сертификат, магадгүй хувийн түлхүүр болон агуулга дээрх message authentication code-г агуулдаг. Сертификатууд нь таны хэрэглэгчийн таних тэмдгийн навч сертификат болон түүнийг CA-тай холбосон завсрын сертификатуудыг багтааж болно. Түлхүүр нь байгаа үед файлыг баримт биш, нууц болгодог зүйл юм.

Энэ ялгаа нь -nokeys байгаа шалтгаан бөгөөд энэ даалгаварт яг энэ туг хэрэгтэй шалтгаан юм.

Багцыг түлхүүрийг бичихгүйгээр унших

Шалгах хэлбэр бүтэц болон алгоритмын дэлгэрэнгүйг хэвлээд юу ч бичихгүй: openssl pkcs12 -in client.p12 -info -noout. Энэ нь импортын нууц үгийг асуудаг бөгөөд энэ утгын зөв газар нь тэр, мөн файл ер нь түлхүүр агуулж байгаа эсэхийг хэлдэг. Нууц үгийг бичих боломжгүй үед -passin env:PKCS12_PASS ашигла, учир нь shell командын доторх нууц үг нь процессын жагсаалт дахь нууц үг юм. Энэ алхам юу ч экспортлохгүй бөгөөд бүх утга нь тэр.

Гаралтыг гурван зүйлээр унш: хэдэн сертификат, түлхүүр байгаа эсэх, ямар алгоритмууд хамгаалж байгаа.

-nokeys ашигла, -nocerts-той андуурч болохгүй

-nokeys хувийн түлхүүрүүдийг хасаж, сертификатуудыг үлдээдэг. -clcerts үүнийг хэрэглэгчийн сертификатууд хүртэл нарийсгадаг, -cacerts CA сертификатууд хүртэл нарийсгадаг бөгөөд эдгээр хоёр нь өөр хувилбар биш, шүүлтүүр юм. -nocerts ижил санааны аюулгүй бичиглэл мэт уншигддаг бөгөөд эсрэг утгатай: сертификат байхгүй, энэ нь зөвхөн түлхүүрүүдийг үлдээдэг. Үүнийг сертификатын экспортод хутгах нь хувийн түлхүүр диск дээр хэрхэн буудагыг харуулна.

Сертификатын файл болон CA файлыг, өөр юу ч биш үүсгэдэг хоёр мөрт хэлбэр нь:

openssl pkcs12 -in client.p12 -nokeys -clcerts -out client-certificates.pem
openssl pkcs12 -in client.p12 -nokeys -cacerts -out ca-certificates.pem

Хуучин багцууд хуучин шифрлэлтээ уншихын тулд OpenSSL 3-т -legacy шаарддаг бөгөөд энэ туг нь задлагч юу хүлээж авахыг өөрчилдөг, юу гаргахыг биш. Хэрэв задлалт дэмжигдэхгүй алгоритмын алдаатайгаар бүтэлгүйтвэл -legacy нэмэх нь зөв эхний алхам бөгөөд MAC шалгалтыг алгасах нь тийм биш.

Гаралтыг шалга, гарах кодоос биш

Тэг гарах төлөв нь команд ажилласныг хэлдэг, файл таны хүлээж буй зүйлийг агуулж байгааг биш. Гаралт дахь сертификатуудыг тоолж, subject болон огноог унш: openssl x509 -in client-certificates.pem -noout -subject -dates -fingerprint. Гарын хээг дэмжлэгийн багийн хүлээж буйтай харьцуул, учир нь хоёр хэрэглэгчийн сертификаттай багц хоёр блоктой файл үүсгэдэг бөгөөд ихэнх хэрэгсэл зөвхөн эхнийхийг уншдаг. Зорилго, итгэл, түлхүүрийн тохирол дахин тусдаа тестүүд юм.

Задалж болох сертификат бол задалж болох сертификат. Энэ нь VPN хүлээж авдаг сертификат биш.

Файл ер нь хэрэгтэй эсэхийг шийд

Хэрэв хүлээн авагч клиент PKCS12-ыг шууд импортолбол эх багцыг нууц үгийг тусад нь хадгалж, зөвшөөрөгдсөн сувгаар илгээх нь илүү энгийн бөгөөд хамгаалалтыг хадгална. Задлах нь шалгалт, PEM хэрэгтэй клиент эсвэл тодорхой артефакт хүссэн дэмжлэгийн тохиолдолд зориулагдсан. Задлах бүр нэг давхаргыг авч хаядаг бөгөөд шалтгаантай байх ёстой.

Нийтийн сертификатууд хувийн түлхүүрийг агуулдаггүй ч нэр, байгууллагын мэдээллийг агуулдаг. Файлын оронд тасалбарын хүссэн талбаруудыг хуваалц, хэрэв яг файл хүсээгүй бол.