په VPN کیلي فایل کې د RSA n، e، d، p او q چېرې دي
n، e، d، p او q د یوې جوړښت دننه دي، نه د فایلونو په نومونو کې. RSA VPN کیلي د OpenSSL سره ولولئ او د رازونو د چاپ پرته یې له خپل سند سره یوځای کړئ.
په RSA تشریح کې توري د یو شي دننه د برخو نومونه دي، نه هغه فایلونه چې د PKI وسیله یې ورکوي. د شخصي کیلي فایل داسې جوړښت لري چې لومړنۍ برخې یې عامې دي او وروستنۍ برخې یې باید هغه ماشین چې تونل پای ته رسوي هېڅکله پریږدي نه. د دې دوو حقیقتونو ترمنځ د دې ډېرې عملي پوښتنې دي چې کوم فایل کومې پوښتنې ته ځواب وایي. دا لارښود لومړی جوړښت لولي او بیا هغه لارښوونې چې پرته له تویولو یې ګوري.
له لومړنیو عددونو پلټنې دمخه ډاډ ترلاسه کړئ چې کیلي RSA ده
سند ثابتوي چې یوه کیلي شته او لاسلیک شوې ده؛ دا ثابتوي نه چې کیلي RSA ده. سیسټمونه کولای شي پر بیضوي منحنیو یا Ed25519 جوړ شي، او هماغه دایرکټري جوړښت ټولو ته خدمت کوي. له هغو لومړنیو فکتورونو پلټنې دمخه چې هېڅکله نه وو، الګوریتم وګورئ.
دا درې یوازې-لوستلو لارښوونې پوښتنې ته ځواب وایي او د وسیلې نسخه ثبتوي.
openssl version
openssl x509 -in vpn-client.crt -noout -text
openssl pkey -in vpn-client.key -noout -textنسخه مهمه ده ځکه چې د انتخابونو نومونه د اصلي نسخو ترمنځ ښویېدلي دي. د سند په تولید کې د عام کیلي الګوریتم کرښه او د کیلي اندازه ومومئ؛ د کیلي په تولید کې RSA کیلي یو ماډولس او یو عام تابع چاپوي. د بیضوي منحنی کیلي پرځای یو نومول شوی منحنی چاپوي، او هېڅ پلټنه به ترې n یا q راوړانهکاږي.
د base64 پرځای جوړښت ولولئ
PEM هغه base64 دی چې د سرلیک کرښو کې تاو شوی، او د هغه ډیکوډ کول DER راکوي، یعنې لوی ټول عدد نه، بلکې ترتیب شوی جوړښت. د RSA شخصي کیلي په دوو عامو کانټینرونو کې سفر کوي، PKCS#1 او PKCS#8، او دواړه هماغه عددونو ټولګې ته رسېږي.
په دوه لومړنیو عددونو کې شخصي جوړښت نهه برخې لري: نسخه، n ماډولس، e عام تابع، d شخصي تابع، p او q لومړني عددونه، دوه CRT تابعې او یو CRT ضریب. RFC 8017 برخه A.1 هغه اجزاوې او د ASN.1 ترتیب تعریفوي، او له دوو څخه ډېرو لومړنیو عددونو ته هم اجازه ورکوي، له همدې امله یو عمومي شنونکی کولای شي اضافي لومړني ثبتونه چاپ کړي. ترتیب ته پام وکړئ، ځکه چې یوه عامه تېروتنه بیانوي: عامه نیمه د شخصي فایل دننه ساتل کېږي، نو د عامې برخې شتون هغه فایل د شریکولو لپاره خوندي نه کوي. له هغه وروسته هر څه هغه توکي دي چې باید پر هوسټ پاتې شي.
کوډ کول یوه طبقه ورزیاتوي چې له منځپانګې سره یې ګډول اسانه دي. openssl asn1parse جوړښت د ونې په څېر کاږي ترڅو د برخو ترتیب ښکاره شي، او دا نه څه ډیکریپټ کوي او نه وایي چې کیلي کارېدونکې ده که نه.
سند له کیلي سره یوځای کړئ پرته له دې چې کیلي چاپ کړئ
بلې پوښتنې ته معمولاً دا وي چې آیا سند او کیلي یو بل پورې اړه لري. د ماډولسونو پرتله ځواب ورکوي، خو د شخصي سره نږدې توکي د ټرمینل ثبت ته هم کاپي کوي چې کېدای شي په ټیکټ کې پای ومومي. د عامو نیمو پرتله هماغې پوښتنې ته پر سکرین د حساس شي پرته ځواب وایي.
openssl pkey -in vpn-client.key -pubout -out /tmp/key.pub
openssl x509 -in vpn-client.crt -pubkey -noout > /tmp/cert.pub
cmp /tmp/key.pub /tmp/cert.pub && echo MATCHیو شانته فایلونه یعنې سند د هغې کیلي عامه نیمه لري، او توپیر یعنې تاسو غلطه جوړه نیولې ده. همدا بې اتفاقي د هغه تونل ترټولو عام لامل دی چې خوښه خبرې کوي او بیا تصدیق ردوي. بیا دوه لنډمهاله فایلونه لرې کړئ؛ په هغو کې څه راز نه دي، خو د پېښې په منځ کې پاکه کاري پوځه فکر کول اسانه دي.
پوه شئ چې ګاونډي فایلونه څه نه دي
سند هغه کوډ شوی عامه کیلي نه ده چې بل لوری یې د CA سند سره پرانیزي؛ دا د عامه کیلي او د هوډ معلوماتو ترمنځ لاسلیک شوی تړاو دی. د CA شخصي لاسلیک کیلي له خپل سند او له هرې کلاېنټ کیلي جلا پاتې کېږي. غوښتنه هم سند نه ده: دا غوښتل شوې معلومات او عامه کیلي د غوښتنې پر سر لاسلیک سره لري، چې دا یې د ثبت ننوتلو په توګه جوړوي، د حق ثبوت نه.
| File | Answers | Does not prove |
|---|---|---|
| vpn-client.key | Possession of the private key | That the identity is enrolled |
| vpn-client.crt | A signed binding of public key to identity | That the client holds the matching key |
| vpn-client.csr | The requested binding and public key | That access was granted |
| dh2048.pem | Group parameters for key exchange | Any RSA component |
| crl.pem | Revocation status for certificates | Anything about a private key |
له هغو ثبتونو دوه د RSA پارامترونو سره دومره ډېر ګډېږي چې دوه ځله یې نوم واخلو. د Diffie-Hellman پارامتر فایل د کیلي جوړولو لپاره د ډلې پارامترونه لري او هېڅ RSA لومړنی عدد نه، که څه هم دا هم د لوی لومړني عدد په توګه چاپېږي. د لغوه کولو لیست د سندونو حالت خپروي او هغه ځای نه دی چې شخصي تابع پکې پټ شي.
نو هر لیست کرښه باید څلور شیان ثبت کړي: د شي ډول، مالک، هدف او آیا شخصي توکي شامل دي. وروستی ستون پرېکړه کوي چې فایل چېرې کاپي کېدای شي، او خلک هماغه پرېږدي.
یوځای کول ثبت کړئ، بیا لاس ورکول تایید کړئ
له هر بدلون دمخه د تایید تولید د نېټې او OpenSSL نسخې سره خوندي کړئ. بیا وروستنی څرخ له حافظې پرځای له ثبوتونو سره پرتله کېدای شي.
openssl verify -CAfile ca.crt vpn-client.crt
openssl x509 -in vpn-client.crt -noout -subject -issuer -datesله عامه کیلي پرتلې وروسته هغه لار وازمایئ چې جوړه کاروي: تونل پورته کړئ، ډاډ ترلاسه کړئ چې سند وړاندې او منل کېږي، او وګورئ چې دروازه کومه هوډ ثبت کړی. که کیلي او سند سره سمون لري او تصدیق بیا هم ناکامېږي، نقص په جوړه کې نه، بلکې په باور، د هوډ نقشه اخیستنه یا د لاسرسي تګلاره کې دی.
د بېرته راګرځولو لپاره پخوانې کیلي او سند په نېټه لرونکې پوځه کې وساتئ او دواړه یوځای بحال کړئ، هېڅکله یوازې یو نه. پرته له سنده کیلي او پرته له کیلي سند له بهره یو شان ناکامېږي، چې نیمګړې بحال شوې جوړې د شپې دوه بجې خلاصول ګرانوي.