L-ikkupjar ta' ċertifikat VPN ma jikkupjax iċ-ċavetta

Il-mixja tibda mil-lista taċ-ċertifikati tal-klijent, fejn id-dħul juri isem, emittent u data ta' skadenza u xejn iżjed. Esportah, importah fit-tieni apparat, u l-konnessjoni tiġi rifiutata għax il-klijent ma jistax jipprova li għandu ċ-ċavetta privata. Il-fajl ġie kkupjat kollu kemm hu; l-iżball huwa li tistenna li ċertifikat iġorr iċ-ċavetta tiegħu stess. Aqra d-djalogu tal-esportazzjoni qabel tagħżel il-format, imbagħad spezzjona l-fajl li tassew irċevejt.

Żewġ klikks, żewġ artefatti ferm differenti.

Aqra d-djalogu tal-esportazzjoni, mhux is-suffiss tal-fajl

Esportazzjoni taċ-ċertifikat DER jew PEM fiha ċavetta pubblika u l-allegazzjonijiet tal-identità ffirmati, li huma dak li s-server jeħtieġ biex jafda fik u dak li l-klijent jeħtieġ biex jivverifika server. Pakkett PKCS#12 huwa kontenitur li jista' jżomm ċertifikat, il-katina tiegħu u ċ-ċavetta privata li taqbel miegħu, protett b'password, għalkemm jista' jinħoloq ukoll mingħajr iċ-ċavetta.

PEM huwa biss kodifikazzjoni tat-test, mhux wegħda dwar il-kontenut. L-istess suffiss jista' jiddeskrivi ċertifikat wieħed jew fajl b'diversi blokki ttikkettati, u l-għażliet tal-esportazzjoni jiddeċiedu liema.

Allura l-mistoqsija utli qatt mhi liema estensjoni ħadt, iżda liema blokki fih il-fajl. Pakkett esportat mingħajr iċ-ċavetta tiegħu xorta huwa pakkett. Iċċekkja l-kontenut, mhux il-popolarità tal-format.

Iċċekkja dak li tassew ħadt

Fittex it-tikketti qabel ma timporta xi ħaġa, imbagħad aqra l-oqsma taċ-ċertifikat biex tikkonferma liema identità qed iżżomm. Mexxi l-kontrolli fuq il-fajl li tassew se jiġi importat. Erġa' għamilhom wara kull esportazzjoni mill-ġdid, għax l-għażliet jistgħu jkunu differenti.

grep -E 'BEGIN (CERTIFICATE|PRIVATE KEY|ENCRYPTED PRIVATE KEY)' bundle.pem
openssl x509 -in client.crt -noout -subject -issuer -dates
openssl pkey -in client.key -noout -text | head -5
openssl pkcs12 -info -in client.p12 -noout

Esportazzjoni b'blokk taċ-ċertifikat biss hija oġġett pubbliku u ma tistax tawtentika. Blokk taċ-ċavetta mingħajr ċertifikat iħallik mingħajr il-katina li s-server jistenna. L-output tal-informazzjoni PKCS#12 jirrapporta wkoll jekk hemmx ċavetta, u dan isolvi l-mistoqsija għal dak il-format. Isaħħ ukoll l-algoritmu u d-daqs taċ-ċavetta, u jonqos għal kollox meta ma tkunx hemm ċavetta.

Qatt twaħħal fajl li fih ċavetta privata fi ħajta ta' appoġġ, f'traċċatur ta' problemi jew fi chat, anki meta jidher bħaċ-ċertifikat li kont diġà qed taqsam. L-iscreenshots ta' panel taċ-ċavetta jistħoqqilhom l-istess kawtela.

Iċ-ċavetta tista' tgħix f'post li ma tistax tikkupjah

Fuq apparati ġestiti ċ-ċavetta privata tista' tkun fil-keychain tas-sistema operattiva, f'token tal-ħardwer jew f'enklav sigur, b'politika li timmarkaha bħala li ma tistax tiġi esportata. Imbagħad il-maniġer taċ-ċertifikati juri l-oġġett pubbliku waqt li s-sigriet jibqa' f'postu, u l-ebda kmand tal-esportazzjoni ma jipproduċi kopja li tinġarr. Ir-reġistrazzjoni permezz tal-ġestjoni tal-apparati mobbli spiss taħdem hekk bi d-disinn.

Dik hija kontroll, mhux ostaklu li għandu jiġi evitat. Huwa impossibbli li tinbena mill-ġdid ċavetta privata miċ-ċertifikat pubbliku, u kull għodda li tgħid li tagħmel dan qed tagħmel xi ħaġa oħra.

Irreġistra identità ġdida minflok ma tikkupja

It-triq appoġġata normalment hija li tirreġistra identità separata għall-apparat il-ġdid u tirrevoka l-qadima meta tirtira, sabiex kull apparat jista' jiġi rtirat b'mod indipendenti. Fejn esportazzjoni maċ-ċavetta hija tassew approvata, ittratta l-fajl li joħroġ u l-password tiegħu bħala kredenzjali: kriptati waqt il-mistrieħ, trasferiti fuq kanal affidabbli, u mħassra meta r-reġistrazzjoni tkun spiċċat.

Ivverifika billi tawtentika bl-identità importata, mhux billi tara l-importazzjoni tirnexxi. Klijent li jilqa' ċertifikat pubbliku fil-maħżen tiegħu ma pprova xejn dwar iċ-ċavetta.

Temm il-mixja billi tikkonferma li s-server jaċċetta l-identità l-ġdida u li l-qadima għadha tġib ruħha kif il-politika beħsiebha. Hekk il-mixja tinqasam b'evidenza, u mhux b'fajl li jidher tajjeb.