PKCS12, PEM හෝ DER: VPN සේවාදායකයකට ඇත්තටම අවශ්‍ය කුමක්ද
ඇසුරුම්කරණය තීරණය කරන්නේ ඔබේ සේවාදායකය අනන්‍යතාව ආයාත කරන්නේද යන්නයි, එය විශ්වාසද යන්න නොවේ. PKCS12, PEM සහ DER සසඳා, පසුව තහවුරු කරන්න.
සහතික සාකච්ඡාවල දෙකොටසක් කරකැවෙයි. පළමුවැන්න .p12 ශක්තිමත් විකල්පයක් සහ .pem ලිහිල් එකක් බවයි; දෙවැන්න පෙළ ගොනුවක් යැවීම ආරක්ෂිත විය යුතු බවයි, මන්ද ඔබට එය කියවිය හැකි නිසා. දෙකම විනාඩියක පරීක්ෂාවක් නොදරා සිටී.
PKCS12, PEM සහ DER විස්තර කරන්නේ සහතික වස්තු කෙසේ ඇසුරුම් කර සංකේතනය කරන්නේ ද යන්නයි. ඔවුන් අනෙක් පාර්ශ්වය කවුද, නිකුත් කරන්නා විශ්වාසද, ගොනුවට මුරපදයක් අවශ්‍යද යන්න තීරණය නොකරයි.
සේවාදායකය පිළිගන්නේ කුමක්ද යන්න ගැළපුම් ප්‍රශ්නයකි. ගොනුවේ ඇත්තේ කුමක්ද යන්න අනන්‍යතා ප්‍රශ්නයකි. මේ දෙක වෙන් කර තබන්න, එවිට බොහෝ ආයාත දෝෂ අභිරහස් නොවේ.
කන්ටේනර තුනක්, එක් වස්තු ආකෘතියක්
ඇත්තටම ඔබට ඇති දෙයින් පටන් ගන්න. සහතිකයක් යනු පොදු යතුරක් ගැන අත්සන් කළ ප්‍රකාශයකි. පෞද්ගලික යතුර යනු එම යතුර ඔබ පාලනය කරන බව ඔප්පු කරන වෙන් වූ ද්‍රව්‍යයකි. දාමය යනු ඔබේ සහතිකය සේවාදායකය විශ්වාස කරන මූලයකට සම්බන්ධ කරන නිකුත් කරන්නන්ගේ කට්ටලයයි. තුනම ඇසුරුම්කරණයෙන් ස්වාධීනව පවතී.
PKCS12 ගොනුවක්, සාමාන්‍යයෙන් .p12 හෝ .pfx, RFC 7292 හි අර්ථ දක්වා ඇති කන්ටේනරයක් වන අතර එය පෞද්ගලික යතුරක්, එකක් හෝ වැඩි සහතික ගණනක් සහ දාමය මුරපදයකින් ආරක්ෂිත එක් කොටසක රැගෙන යා හැකිය, අනන්‍යතාව නම් කරන අලියසයක් සමඟ. PEM ගොනුවක් RFC 7468 හි අර්ථ දක්වා ඇති පෙළ රාමුවකි: BEGIN සහ END පේළි අතර base64 ශරීරය, සහ එක් ගොනුවක් පිට පිට කොටස් කිහිපයක් තබා ගත හැකිය. DER යනු එම ASN.1 ව්‍යුහයන්ගේ ද්විමය සංකේතනයයි, සහ PEM ශරීරය වචනාර්ථයෙන්ම base64 වලින් ඔතා ඇති DER ය.
අවසන් වාක්‍යය මතක තබා ගැනීම වටී. PEM DER බවට පරිවර්තනය කිරීම රාමුව නැවත ලියයි, අන්තර්ගතය නොවේ, සහ නැවත හරවා ගැනීමෙන් මුල් බයිට් ලැබේ.
| Container | Can hold | Does not decide |
|---|---|---|
| PKCS12 (.p12, .pfx) | Key, leaf certificate, chain, alias, password | Which root the client trusts |
| PEM (.pem, .crt, .cer) | Any number of base64 blocks | Whether the private key is present |
| DER (.der, .cer) | One binary structure | The object type, whatever the extension says |
සංකේතනය එන්ක්‍රිප්ෂනය නොවේ
base64 යනු ප්‍රවාහන හෝඩියකි. එය කිසිවක් සඟවන්නේ නැත, සහ ඕනෑම කෙනෙකුට shell එකක PEM කොටසක් විකේතනය කළ හැකිය. DER ගොනුවක් ද්විමය සහ එසේම පොදුය. කිසිදු ගුණාංගයක් ආරක්ෂාවක් නොවේ, සහ කිසිවක් මුරපදයක් ඇති බව අඟවන්නේ නැත.
සැබෑ ආරක්ෂාව යතුරු ද්‍රව්‍යයේ ඇත. PKCS12 මිටියකට මුරපදයෙන් ලබාගත් යතුරක් යටතේ එහි අන්තර්ගතය එන්ක්‍රිප්ට් කළ හැකිය. PEM පෞද්ගලික යතුර පැරණි ශීර්ෂ කොටසකින් එන්ක්‍රිප්ට් කළ හැකිය හෝ PKCS#8 EncryptedPrivateKeyInfo තුළ තබා ගත හැකිය. සහතිකයක් තනිවම රහසක් තබා නොගනී, එබැවින් සහතිකයක් පමණක් දුන් අපනයනයක් සේවාදායකයාට සත්‍යාපනය කිරීමට නොහැකි කරයි, ඔබ එය කුමන ආකෘතියකින් ඔතා ගත්තත්.
දිගුවක් යනු ඉඟියකි, ගිවිසුමක් නොවේ. .cer සහ .crt වලින් අවසන් වන ගොනු දෙකම සංකේතනවල දක්නට ලැබේ, සහ උපාංග DER සහතික .pem නම් වලින් ප්‍රමාණවත් තරම් නිතර අපනයනය කරන බැවින් අවසන් අකුරු වලින් අනුමාන කිරීම දවසක් නාස්ති කරයි. ඒ වෙනුවට පළමු බයිට් කියවන්න: PEM ගොනුව BEGIN පේළියකින් විවෘත වේ, DER 0x30 න් ආරම්භ වේ, මන්ද පිටත ව්‍යුහය SEQUENCE වේ.
ආයාතය ඇත්තටම අසාර්ථක වන්නේ ඇයි
සේවාදායකයේ දෝෂ පණිවිඩ විවිධ ගැටලු කිහිපයක් වලංගු නොවන සහතිකයක් ගැන එක් වාක්‍යයකට තද කරයි, එබැවින් හේතුව අනුව වෙන් කරන්න. වඩාත් පොදු වන්නේ සංකේතන නොගැළපීමයි: PEM විග්‍රහ කරන සේවාදායකය DER ගොනුවක් මත විග්‍රහ දෝෂයක් ලබා දෙයි, සහ විසඳුම නව සහතිකයක් නොව පරිවර්තනයකි. දෙවැන්න නැති වූ යතුරකි, එහිදී සහතිකය හොඳයි සහ අනන්‍යතාව ඔප්පු කළ නොහැකිය. තුන්වැන්න දාමයයි, එහිදී අතරමැදි සහතිකයක් නොමැති මිටියක් ආයාත සංවාදයේ නිවැරදිව පෙනෙන අතර අත්වැල් ගැසීමේදී අසාර්ථක වේ.
එන්ක්‍රිප්ෂන පරාමිතීන් හතරවැන්න ඇති කරයි, සහ එය හරියටම වැරදි මුරපදයක් මෙන් පෙනේ. පැරණි උපාංග PKCS12 ගොනු RC2-40 සහ 3DES සමඟ අපනයනය කළ අතර, legacy සපයන්නා පූරණය නොකළ විට OpenSSL 3 ඒවා ප්‍රතික්ෂේප කරයි. උපාංගයෙන් AES-256-CBC සහ PBKDF2 සමඟ නැවත අපනයනය කිරීම තිරසාර නිරාකරණයයි. එක් ගොනුවක් සඳහා සේවාදායක යන්ත්‍රයක පැරණි සයිෆර සදාකාලිකව සක්‍රීයව තැබීම නරක ගනුදෙනුවකි.
පස්වැන්න අපැහැදිලිකමයි. යතුරු දෙකක් සහ සහතික දෙකක් ඇති කන්ටේනරයක්, හෝ CERTIFICATE කොටස් තුනක් ඇති PEM ගොනුවක්, සේවාදායකයාට තෝරා ගැනීමට බල කරයි, සහ ඔහුගේ තේරීම බොහෝ විට පළමු අයිතමය පමණි. උමගක් වැරදි අනන්‍යතාවයෙන් ඉහළ එන විට, සාමාන්‍යයෙන් එයයි හේතුව.
පරිවර්තනයට පෙර පරීක්ෂා කරන්න
රහස් මුද්‍රණය නොකර ව්‍යුහය කියවන්න. openssl pkcs12 -in bundle.p12 -info -noout එන්ක්‍රිප්ෂන ඇල්ගොරිතම සහ අලියස වාර්තා කරන අතර යතුරු සහ සහතික ප්‍රතිදානය යටපත් කරයි, සහ openssl-pkcs12 අත්පොත ධජ වාර්තා කරයි. -noout ඉවත් කර -nodes එකතු කිරීම ඔබ තබා ගැනීමට අදහස් කරන ගොනු සෑදීමට ය, ඉක්මන් බැල්මකට නොවේ, මන්ද එය පෞද්ගලික යතුර විවෘතව ලියයි.
සහතිකයක් සඳහා, openssl x509 -in cert.pem -noout -subject -issuer -dates ආයාත සංවාදය පිළිනොදෙන දෙයට පිළිතුරු දෙයි, සහ -ext subjectAltName එකතු කිරීමෙන් සහතිකය ඇත්තටම වලංගු නම් පෙන්වයි. ගොනුව DER නම්, -inform DER එකතු කරන්න; එම එක් ධජයක් බොහෝ unable-to-load දෝෂ නිරාකරණය කරයි.
යතුරක් සහතිකයක් සමඟ ගැළපීම යාන්ත්‍රික කාර්යයකි, සහ ඕනෑම ආයාතයකට පෙර කිරීම වටී:
openssl x509 -in cert.pem -noout -pubkey | openssl sha256openssl pkey -in key.pem -pubout | openssl sha256
සමාන ඩයිජස්ට් යනු යුගලය එකට යන බවයි. වෙනස් ඩයිජස්ට් යනු ඔබට වැරදි යතුරක් ඇති බවයි, සහ කිසිදු ආකෘති පරිවර්තනයක් එය වෙනස් නොකරයි.
ආකෘතිය කිසිදා වෙනස් නොකරන දේ
විශ්වාස තීරණ කන්ටේනරයට ඉහලින් සිදු වේ. සේවාදායකය තම ගබඩාවේ මූලයක් දක්වා දාමය ගමන් කරයි, වලංගුතා කවුළුව පරීක්ෂා කරයි, සේවාදායක සත්‍යාපනය සඳහා දිගු කළ යතුරු භාවිතය පරීක්ෂා කරයි, සහ සේවාදායක පැත්තේ ඇමතූ නම සහතිකයේ ඇත්දැයි පරීක්ෂා කරයි. මෙම පියවර කිසිවක් ගොනු දිගුවක් කියවන්නේ නැත.
එබැවින් දෝෂයක් අතුරුදහන් වන තෙක් ගොනුවක් නැවත නම් කිරීම කාලය නාස්ති කිරීමේ එතරම් විශ්වාසදායක ක්‍රමයක් වේ. ආයාතය සාර්ථක වේ, අනන්‍යතාව තවමත් වැරදිය, සහ අසාර්ථකත්වය අත්වැල් ගැසීමේදී අඩු උපකාරී පණිවිඩයක් සමඟ නැවත පෙනේ. වසර දෙකකට පෙර අපනයනය කළ මිටියක් පිරිසිදුව ආයාත වී තවමත් ප්‍රතික්ෂේප වීමට හේතුව ද එයයි: කල් ඉකුත් වීමේ දිනය ගොනු නාමයේ නොව සහතිකය තුළ ගමන් කළේය.
නැවත කිරීම වළක්වන අනුපිළිවෙලක්
සේවාදායකයේ ලේඛනවලින් කුමන සංකේතන පිළිගන්නවාද සහ සේවාදායක අනන්‍යතාව සඳහා කුමන කන්ටේනරය බලාපොරොත්තු වේද යන්න අසන්න, පසුව ඔබට දුන් දෙය බලන්න. සේවාදායකයට ආයාත කළ හැකි අනන්‍යතාවක් අවශ්‍ය නම් සහ ඔබට වෙන් වූ PEM ගොනු තිබේ නම්, ඔබ පාලනය කරන මුරපදයකින් එක් වරක් මිටිය සාදා මූලාශ්‍ර තබා ගන්න. PEM අවශ්‍ය නම්, යතුර සහ දාමය උපුටා ගන්න, පසුව අතරමැදි ගොනු ඔබේ කණ්ඩායම දැනටමත් භාවිතා කරන අක්තපත්‍ර හැසිරවීමේ ක්‍රියාවලිය හරහා ඉවත් කරන්න.
ආයාතයෙන් පසු සංවාදය නොව අනන්‍යතාව සත්‍යාපනය කරන්න: විෂය, නිකුත් කරන්නා, කල් ඉකුත් වීම සහ සේවාදායකය ඉදිරිපත් කරන නම. ලැයිස්තුවේ මිත්‍රශීලී නම ලේබලයකි, සත්‍යාපිත අනන්‍යතාවක් නොවේ. පසුව උමග අසාර්ථක වුවහොත්, ඔබ ඇසුරුම්කරණය වෙනුවට සත්‍යාපනය හෝ මාර්ගකරණය නිරාකරණය කරයි, එය වඩා කෙටි සංවාදයකි.