Esporta ċ-ċertifikati minn P12 mingħajr il-muftieħ privat

It-ticket tas-support jistaqsi liema ċertifikat qiegħed ġewwa l-bundle VPN, u l-ewwel impuls huwa li tesporta kollox u ttefgħu. Fajl P12 jippakkja ċertifikati u materjal tal-muftieħ privat f'kontenitur wieħed, għalhekk tesporta kollox huwa preċiżament dak li m'għandekx tibgħat. Il-kmand li jwieġeb il-mistoqsija huwa problema ta' selezzjoni, mhux problema ta' konverżjoni. Erba' flags jiddeċiedu liema nofs tal-kontenitur tikseb, u tnejn minnhom jidhru iktar sikuri milli huma.

Ibda billi taqra l-kontenitur minflok ma tħallih vojt.

X'ġġorr tassew fajl PKCS12

Kontenitur PKCS12 iżomm ċertifikat wieħed jew iktar, possibbilment muftieħ privat, u message authentication code fuq il-kontenut. Iċ-ċertifikati jistgħu jinkludu l-werqa għall-identità tal-klijent tiegħek u l-intermedjarji li jorbtuha ma' CA. Il-muftieħ, meta jkun preżenti, huwa dak li jagħmel il-fajl sigriet minflok dokument.

Dak id-distinzjoni hija r-raġuni għaliex -nokeys jeżisti u għaliex huwa l-flag li teħtieġ din il-ħidma.

Aqra l-bundle mingħajr ma tikteb il-muftieħ

Il-forma ta' spezzjoni tistampa d-dettalji tal-istruttura u tal-algoritmi u ma tikteb xejn: openssl pkcs12 -in client.p12 -info -noout. Tistaqsi għall-password tal-importazzjoni, li hija l-post it-tajjeb għal dak il-valur, u tgħidlek jekk il-fajl iġorrx muftieħ xejn. Uża -passin env:PKCS12_PASS meta l-password ma tistax tinkiteb, għax password ġewwa kmand shell hija password fil-lista tal-proċessi. Dan il-pass ma jesporta xejn, u dan huwa l-punt kollu.

Aqra l-output għal tliet affarijiet: kemm ċertifikati, jekk hemmx muftieħ preżenti, u liema algoritmi jipproteġuh.

Uża -nokeys, u tħawwadx ma' -nocerts

-nokeys jeskludi muftiħiet privati u jħalli ċ-ċertifikati. -clcerts idawwar dan għal ċertifikati tal-klijent, -cacerts idawwar għal ċertifikati CA, u dawn it-tnejn huma filtri minflok alternattivi. -nocerts jaqra bħall-kitba sikura tal-istess idea u jfisser l-oppost: l-ebda ċertifikat, li jħalli biss muftiħiet. Li tħalltu fi esportazzjoni ta' ċertifikati huwa kif muftieħ privat jispiċċa fuq id-diska.

Il-forma b'żewġ linji li tipproduċi fajl taċ-ċertifikati u fajl CA, u xejn ieħor, hija:

openssl pkcs12 -in client.p12 -nokeys -clcerts -out client-certificates.pem
openssl pkcs12 -in client.p12 -nokeys -cacerts -out ca-certificates.pem

Bundles legacy jeħtieġu -legacy fuq OpenSSL 3 biex jaqraw il-kriptaġġ eqdem tagħhom, u dak il-flag ibiddel dak li jaċċetta l-parser, mhux dak li joħroġ. Jekk il-parsing ifalli bi żball dwar algoritmu mhux appoġġjat, iżżid -legacy hija l-ewwel mossa korretta u li taqbeż il-verifika MAC mhix.

Iċċekkja l-output, mhux il-kodiċi tal-ħruġ

Status tal-ħruġ ta' żero jgħid li l-kmand ġera, mhux li l-fajl fih dak li tistenna. Għodd iċ-ċertifikati fl-output u aqra s-suġġett u d-dati: openssl x509 -in client-certificates.pem -noout -subject -dates -fingerprint. Qabbel il-fingerprint ma' dak li jistenna t-tim tas-support, għax bundle li jżomm żewġ ċertifikati tal-klijent jipproduċi fajl b'żewġ blokki u l-biċċa l-kbira tal-għodda jaqraw biss l-ewwel wieħed. Skop, fiduċja u qbil tal-muftieħ huma għal darb'oħra testijiet separati.

Ċertifikat li jiġi pparsat huwa ċertifikat li jiġi pparsat. Mhuwiex ċertifikat li l-VPN taċċetta.

Iddeċiedi jekk għandekx bżonn fajls xejn

Jekk il-klijent li jirċievi jimporta PKCS12 direttament, huwa sempliċi li tibgħat il-bundle oriġinali permezz ta' kanal approvat bil-password miżmuma separata, u l-protezzjoni tinżamm. L-estrazzjoni hija għall-ispezzjoni, għal klijent li jeħtieġ PEM, jew għal każ ta' support li talab artefatt speċifiku. Kull estrazzjoni tneħħi saff wieħed u għandu jkollha raġuni.

Ċertifikati pubbliċi ma jkunux fihom il-muftieħ privat, imma jkun fihom ismijiet u dettalji tal-organizzazzjoni. Aqsam l-oqsma li talab it-ticket minflok il-fajl, sakemm ma kienx il-fajl li ntalab.