Å kopiere eit VPN-sertifikat kopierer ikkje nøkkelen

Gjennomgangen byrjar i sertifikatlista til klienten, der oppføringa viser eit namn, ein utferdar og ein utløpsdato og ingenting anna. Eksporter henne, importer henne på den andre eininga, og tilkoplinga blir avvist fordi klienten ikkje kan prove at han sit på den private nøkkelen. Fila vart kopiert i sin heilskap; feilen er å vente at eit sertifikat ber sin eigen nøkkel. Les eksportdialogen før du vel format, og gransk deretter fila du faktisk fekk.

To klikk, to svært ulike artefaktar.

Les eksportdialogen, ikkje filendinga

Ein DER- eller PEM-sertifikateksport inneheld ein offentleg nøkkel og dei signerte identitetspåstandane, som er det ein tenar treng for å stole på deg og det ein klient treng for å stadfeste ein tenar. Ein PKCS#12-pakke er ein behaldar som kan halde eit sertifikat, kjeda og den tilhøyrande private nøkkelen, verna av eit passord, sjølv om han òg kan lagast utan nøkkelen.

PEM er berre ei tekstkoding, ikkje eit løfte om innhaldet. Den same endninga kan skildre eitt sertifikat eller ei fil med fleire merkte blokker, og eksportvala avgjer kva.

Så det nyttige spørsmålet er aldri kva utviding du fekk, men kva blokker fila inneheld. Ein pakke eksportert utan nøkkelen er framleis ein pakke. Kontroller innhaldet og ikkje populariteten til formatet.

Gransk kva du faktisk fekk

Leit etter merka før du importerer noko, og les deretter sertifikatfelta for å stadfeste kva identitet du held. Køyr kontrollane på fila som faktisk blir importert. Gjenta dei etter kvar ny eksport, fordi vala kan variere.

grep -E 'BEGIN (CERTIFICATE|PRIVATE KEY|ENCRYPTED PRIVATE KEY)' bundle.pem
openssl x509 -in client.crt -noout -subject -issuer -dates
openssl pkey -in client.key -noout -text | head -5
openssl pkcs12 -info -in client.p12 -noout

Ein eksport med berre ei sertifikatblokk er eit offentleg objekt og kan ikkje autentisere. Ei nøkkelblokk utan sertifikat lèt deg stå utan kjeda tenaren ventar. PKCS#12-informasjonsutskrifta rapporterer òg om det finst ein nøkkel, noko som avgjer spørsmålet for det formatet. Ho namngir òg algoritmen og nøkkelstorleiken, og ho feilar heilt når det ikkje finst nokon nøkkel.

Lim aldri inn ei fil med ein privat nøkkel i ein støttetråd, ein sakssporar eller ein chat, sjølv når ho ser ut som sertifikatet du alt delte. Skjermbilete av eit nøkkelpanel fortener same varsemd.

Nøkkelen kan liggje på ein stad du ikkje kan kopiere

På styrte einingar kan den private nøkkelen liggje i nøkkelringen til operativsystemet, i eit maskinvaretoken eller i ein trygg enklave, med ein policy som merkjer han som ikkje-eksporterbar. Sertifikathandsamararen viser då det offentlege objektet medan løyndomen blir liggjande, og ingen eksportkommando gjev ein flyttbar kopi. Registrering via styring av mobileiningar fungerer ofte slik av design.

Det er ein kontroll, ikkje ein hindring å omgå. Det er ikkje mogleg å byggje opp att ein privat nøkkel frå det offentlege sertifikatet, og kvart verktøy som påstår det, gjer noko anna.

Registrer ein ny identitet i staden for å kopiere

Den støtta vegen er vanlegvis å registrere ein eigen identitet for den nye eininga og trekkje tilbake den gamle når ho blir fasa ut, slik at kvar eining kan trekkjast tilbake sjølvstendig. Der ein eksport med nøkkelen faktisk er godkjend, handsamar du fila og passordet som legitimasjon: kryptert i ro, overført over ein trudd kanal og sletta når registreringa er ferdig.

Stadfest ved å autentisere med den importerte identiteten, ikkje ved å sjå at importen lukkast. Ein klient som tek imot eit offentleg sertifikat i lageret sitt, har ikkje prova noko om nøkkelen.

Avslutt med å stadfeste at tenaren godtek den nye identiteten og at den gamle framleis oppfører seg som policyen føreset. Då blir gjennomgangen avslutta med prov, i staden for med ei fil som ser rett ut.