VPN යතුරු ගොනුවේ RSA හි n, e, d, p සහ q තිබෙන්නේ කොහේද
n, e, d, p සහ q ගොනු නාමවල නොව එක් ව්‍යුහයක් තුළ ඇත. OpenSSL සමඟ RSA VPN යතුර කියවා රහස් මුද්‍රණය නොකර එය එහි සහතිකය සමඟ ගළපන්න.
RSA විස්තරයේ අකුරු PKI මෙවලමක් නිකුත් කරන ගොනු නොව එක් වස්තුවක් තුළ ඇති ක්ෂේත්‍ර නම් කරයි. පුද්ගලික යතුරු ගොනුවේ පළමු ක්ෂේත්‍ර පොදු වන අතර පසු ක්ෂේත්‍ර උමග අවසන් කරන යන්ත්‍රයෙන් කිසි විටෙක ඉවත් නොවිය යුතු ව්‍යුහයක් ඇත. මෙම කරුණු දෙක අතර කුමන ගොනුව කුමන ප්‍රශ්නයට පිළිතුරු දෙයි යන බොහෝ ප්‍රායෝගික ප්‍රශ්න ඇත. මෙම මාර්ගෝපදේශය පළමුව ව්‍යුහය කියවා පසුව එය නොවගුරවා පරීක්ෂා කරන විධාන කියවයි.
ප්‍රථමක සංඛ්‍යා සොයන්නට පෙර යතුර RSA බව තහවුරු කරන්න
සහතිකයක් යම් යතුරක් පවතින බවත් අත්සන් කර ඇති බවත් සනාථ කරයි; එය යතුර RSA බව සනාථ නොකරයි. පද්ධති ඉලිප්සීය වක්‍ර හෝ Ed25519 මත ගොඩනැගිය හැකි අතර එම ගොනු සැලැස්මම සියල්ලට සේවය කරයි. කිසි විටෙක නොතිබූ ප්‍රථමක සාධක සොයන්නට පෙර ඇල්ගොරිතමය පරීක්ෂා කරන්න.
මෙම කියවීම්-පමණක් විධාන තුන ප්‍රශ්නයට පිළිතුරු දී මෙවලමේ අනුවාදය සටහන් කරයි.
openssl version
openssl x509 -in vpn-client.crt -noout -text
openssl pkey -in vpn-client.key -noout -textඅනුවාදය වැදගත් වන්නේ විකල්ප නාම ප්‍රධාන නිකුතු අතර මාරු වී ඇති නිසාය. සහතික ප්‍රතිදානයේ පොදු යතුරු ඇල්ගොරිතම පේළිය සහ යතුරු ප්‍රමාණය සොයන්න; යතුරු ප්‍රතිදානයේ RSA යතුරක් මොඩියුලසයක් සහ පොදු ඝාතකයක් මුද්‍රණය කරයි. ඉලිප්සීය වක්‍ර යතුරක් ඒ වෙනුවට නම් කළ වක්‍රයක් මුද්‍රණය කරයි, කොපමණ සෙව්වත් එයින් n හෝ q ලැබෙන්නේ නැත.
base64 වෙනුවට ව්‍යුහය කියවන්න
PEM යනු ශීර්ෂ පේළිවල ඔතා ඇති base64 වන අතර එය විකේතනය කිරීමෙන් DER ලැබේ, එනම් විශාල පූර්ණ සංඛ්‍යාවක් නොව අනුක්‍රමික ව්‍යුහයකි. RSA පුද්ගලික යතුරු සාමාන්‍ය බහාලුම් දෙකක ගමන් කරයි, PKCS#1 සහ PKCS#8, දෙකම එම සංඛ්‍යා කුලකයටම විසඳේ.
ප්‍රථමක සංඛ්‍යා දෙකක අවස්ථාවේදී පුද්ගලික ව්‍යුහය ක්ෂේත්‍ර නවයක් දරයි: අනුවාදයක්, මොඩියුලසය n, පොදු ඝාතකය e, පුද්ගලික ඝාතකය d, ප්‍රථමක සංඛ්‍යා p සහ q, CRT ඝාතක දෙකක් සහ CRT සංගුණකයක්. RFC 8017 A.1 කොටස එම අංග සහ ASN.1 සැලැස්ම අර්ථ දක්වන අතර ප්‍රථමක සංඛ්‍යා දෙකකට වඩා අවසර දෙයි, එබැවින් සාමාන්‍ය විග්‍රාහකයකට අමතර ප්‍රථමක සටහන් මුද්‍රණය කළ හැක. අනුපිළිවෙල දෙස බලන්න, එය සුලබ වැරැද්දක් පැහැදිලි කරයි: පොදු භාගය පුද්ගලික ගොනුව තුළ ගබඩා වේ, එබැවින් පොදු ක්ෂේත්‍රයක් තිබීම එම ගොනුව බෙදාගැනීමට ආරක්ෂිත නොකරයි. ඉන් පසු සියල්ල සත්කාරකයේ රැඳිය යුතු ද්‍රව්‍යයයි.
කේතනය අන්තර්ගතය සමඟ ව්‍යාකූල කළ හැකි ස්තරයක් එකතු කරයි. openssl asn1parse ව්‍යුහය ගසක් ලෙස අඳින බැවින් ක්ෂේත්‍ර අනුපිළිවෙල දෘශ්‍යමාන වේ, එය කිසිවක් විකේතනය නොකරන අතර යතුර භාවිත කළ හැකිද යන්නත් නොකියයි.
යතුර මුද්‍රණය නොකර සහතිකය යතුර සමඟ ගළපන්න
ඊළඟ ප්‍රශ්නය සාමාන්‍යයෙන් සහතිකය සහ යතුර එකට අයත්ද යන්නයි. මොඩියුලස සංසන්දනය ඊට පිළිතුරු දෙයි, නමුත් එය පුද්ගලිකයට ආසන්න ද්‍රව්‍ය ටර්මිනල් පිටපතකටද පිටපත් කරයි, එය ටිකට් එකකට වැටිය හැක. පොදු භාග සංසන්දනය එම ප්‍රශ්නයට තිරයේ සංවේදී කිසිවක් නොතබා පිළිතුරු දෙයි.
openssl pkey -in vpn-client.key -pubout -out /tmp/key.pub
openssl x509 -in vpn-client.crt -pubkey -noout > /tmp/cert.pub
cmp /tmp/key.pub /tmp/cert.pub && echo MATCHසමාන ගොනු යනු සහතිකය එම යතුරේ පොදු භාගය දරන බවයි, වෙනස යනු ඔබ වැරදි යුගලයක් අල්ලාගෙන සිටින බවයි. එම නොගැළපීම තමයි සතුටින් සාකච්ඡා කර පසුව සත්‍යාපනය ප්‍රතික්ෂේප කරන උමගේ වඩාත් පොදු හේතුව. පසුව තාවකාලික ගොනු දෙක ඉවත් කරන්න; ඒවායේ රහසක් නැත, නමුත් සිදුවීමක මැද පිරිසිදු වැඩ නාමාවලියක් ගැන සිතීම පහසුය.
අසල්වැසි ගොනු කුමක් නොවේදැයි දැනගන්න
සහතිකයක් යනු අනෙක් පැත්ත CA සහතිකයෙන් විවෘත කරන සංකේතිත පොදු යතුරක් නොවේ; එය පොදු යතුරක් සහ අනන්‍යතා දත්ත අතර අත්සන් කළ බැඳීමකි. CA හි පුද්ගලික අත්සන් යතුර එහිම සහතිකයෙන් සහ සෑම සේවාලාභී යතුරකින් වෙන්ව පවතී. ඉල්ලීමක්ද සහතිකයක් නොවේ: එය ඉල්ලා සිටි තොරතුරු සහ පොදු යතුර ඉල්ලීම මත අත්සනක් සමඟ දරයි, එය ලියාපදිංචි ආදානයක් කරයි, අයිතියේ සාක්ෂියක් නොවේ.
| File | Answers | Does not prove |
|---|---|---|
| vpn-client.key | Possession of the private key | That the identity is enrolled |
| vpn-client.crt | A signed binding of public key to identity | That the client holds the matching key |
| vpn-client.csr | The requested binding and public key | That access was granted |
| dh2048.pem | Group parameters for key exchange | Any RSA component |
| crl.pem | Revocation status for certificates | Anything about a private key |
එම සටහන් දෙකක් RSA පරාමිතීන් සමඟ බොහෝ විට ව්‍යාකූල වන බැවින් දෙවරක් නම් කළ යුතුය. Diffie-Hellman පරාමිති ගොනුවක් යතුරු ස්ථාපනය සඳහා කණ්ඩායම් පරාමිති දරන අතර RSA ප්‍රථමක සංඛ්‍යා නොදරයි, එය විශාල ප්‍රථමක සංඛ්‍යාවක් ලෙසද මුද්‍රණය වුවත්. අවලංගු කිරීමේ ලැයිස්තුව සහතික තත්ත්වය ප්‍රකාශයට පත් කරන අතර පුද්ගලික ඝාතකයකට සැඟවිය හැකි ස්ථානයක් නොවේ.
එබැවින් සෑම ලේඛන පේළියක්ම කරුණු හතරක් සටහන් කළ යුතුය: වස්තු වර්ගය, හිමිකරු, අරමුණ සහ පුද්ගලික ද්‍රව්‍ය ඇතුළත්ද යන්න. අවසාන තීරුව ගොනුව පිටපත් කළ හැකි ස්ථානය තීරණය කරයි, එයයි මිනිසුන් මගහරින්නේ.
යුගලය සටහන් කර පසුව අත් ලිවීම තහවුරු කරන්න
කිසිවක් වෙනස් කිරීමට පෙර සත්‍යාපන ප්‍රතිදානය දිනය සහ OpenSSL අනුවාදය සමඟ සුරකින්න. එවිට පසුව සිදුවන භ්‍රමණය මතකය සමඟ නොව සාක්ෂි සමඟ සංසන්දනය කළ හැක.
openssl verify -CAfile ca.crt vpn-client.crt
openssl x509 -in vpn-client.crt -noout -subject -issuer -datesපොදු යතුරු සංසන්දනයෙන් පසු යුගලය පරිභෝජනය කරන මාර්ගය අත්හදා බලන්න: උමග ඉහළට ගන්න, සහතිකය ඉදිරිපත් වී පිළිගැනෙන බව තහවුරු කරන්න, සහ ද්වාරය කුමන අනන්‍යතාවක් සටහන් කළේදැයි පරීක්ෂා කරන්න. යතුර සහ සහතිකය ගැළපුණත් සත්‍යාපනය තවමත් අසාර්ථක නම්, දෝෂය යුගලයේ නොව විශ්වාසය, අනන්‍යතා සිතියම්කරණය හෝ ප්‍රවේශ ප්‍රතිපත්තිය තුළ ය.
ආපසු හැරවීම සඳහා පෙර යතුර සහ සහතිකය දින සහිත නාමාවලියක තබා දෙකම එකට ප්‍රතිස්ථාපනය කරන්න, කිසි විටෙක එකක් පමණක් නොව. සහතිකය නැති යතුර සහ යතුර නැති සහතිකය බැහැරින් එකම ලෙස අසාර්ථක වේ, එය අඩක් ප්‍රතිස්ථාපිත යුගල රාත්‍රී දෙකට ලිහා ගැනීම මිල අධික කරයි.