Menyalin sijil VPN tidak menyalin kuncinya

Penelusuran bermula pada senarai sijil klien, tempat entri hanya memaparkan nama, pengeluar dan tarikh luput dan tiada yang lain. Eksport entri itu, import pada peranti kedua, dan sambungan ditolak kerana klien tidak dapat membuktikan pemilikan kunci peribadi. Fail itu disalin sepenuhnya; kesilapannya ialah mengharapkan sijil membawa kuncinya sendiri. Baca dialog eksport sebelum memilih format, kemudian periksa fail yang benar-benar anda terima.

Dua klik, dua artifak yang sangat berbeza.

Baca dialog eksport, bukan akhiran fail

Eksport sijil DER atau PEM mengandungi kunci awam dan dakwaan identiti yang ditandatangani, iaitu yang diperlukan pelayan untuk mempercayai anda dan yang diperlukan klien untuk mengesahkan pelayan. Berkas PKCS#12 ialah bekas yang boleh menyimpan sijil, rantaiannya dan kunci peribadi yang sepadan, dilindungi kata laluan, walaupun ia juga boleh dicipta tanpa kunci itu.

PEM hanyalah pengekodan teks, bukan janji tentang kandungannya. Akhiran yang sama boleh menerangkan satu sijil atau fail dengan beberapa blok berlabel, dan pilihan eksport yang menentukannya.

Jadi soalan yang berguna bukanlah akhiran mana yang anda dapat, tetapi blok apa yang ada di dalam fail. Berkas yang dieksport tanpa kuncinya tetap berkas. Periksa kandungannya, bukan populariti formatnya.

Periksa apa yang benar-benar anda dapat

Cari label sebelum mengimport apa-apa, kemudian baca medan sijil untuk mengesahkan identiti mana yang anda pegang. Jalankan pemeriksaan pada fail yang benar-benar akan diimport. Ulanginya selepas setiap eksport semula, kerana pilihannya mungkin berbeza.

grep -E 'BEGIN (CERTIFICATE|PRIVATE KEY|ENCRYPTED PRIVATE KEY)' bundle.pem
openssl x509 -in client.crt -noout -subject -issuer -dates
openssl pkey -in client.key -noout -text | head -5
openssl pkcs12 -info -in client.p12 -noout

Eksport yang hanya mempunyai blok sijil ialah objek awam dan tidak boleh mengesahkan. Blok kunci tanpa sijil meninggalkan anda tanpa rantaian yang dijangka oleh pelayan. Output maklumat PKCS#12 juga melaporkan sama ada kunci hadir, yang menyelesaikan persoalan bagi format itu. Ia juga menamakan algoritma dan saiz kunci, dan ia gagal sepenuhnya apabila tiada kunci.

Jangan sekali-kali menampal fail yang mengandungi kunci peribadi ke dalam urutan sokongan, penjejak isu atau sembang, walaupun ia kelihatan seperti sijil yang sudah anda kongsi. Tangkapan skrin panel kunci juga memerlukan kehati-hatian yang sama.

Kunci mungkin berada di tempat yang tidak dapat anda salin

Pada peranti terurus, kunci peribadi boleh berada dalam rantai kunci sistem pengendalian, token perkakasan atau enklaf selamat, dengan dasar yang menandakannya tidak boleh dieksport. Pengurus sijil kemudian memaparkan objek awam sementara rahsianya kekal di tempatnya, dan tiada arahan eksport akan menghasilkan salinan mudah alih. Pendaftaran melalui pengurusan peranti mudah alih sering berfungsi begitu secara reka bentuk.

Itu kawalan, bukan halangan untuk dielakkan. Membina semula kunci peribadi daripada sijil awam tidak mungkin, dan mana-mana alat yang mendakwa berbuat demikian sedang melakukan sesuatu yang lain.

Daftarkan identiti baharu daripada menyalin

Laluan yang disokong biasanya ialah mendaftarkan identiti berasingan untuk peranti baharu dan membatalkan yang lama apabila ia bersara, supaya setiap peranti boleh ditarik balik secara berasingan. Di mana eksport dengan kunci itu benar-benar diluluskan, anggap fail yang terhasil dan kata laluannya sebagai kelayakan: disulitkan semasa rehat, dipindahkan melalui saluran yang dipercayai, dan dipadam apabila pendaftaran selesai.

Sahkan dengan mengesahkan menggunakan identiti yang diimport, bukan dengan melihat import berjaya. Klien yang menerima sijil awam ke dalam storannya tidak membuktikan apa-apa tentang kunci itu.

Akhiri dengan mengesahkan bahawa pelayan menerima identiti baharu dan identiti lama masih berkelakuan seperti yang dimaksudkan oleh dasar. Dengan itu penelusuran selesai dengan bukti, bukan dengan fail yang kelihatan betul.