Kopírovanie certifikátu VPN nekopíruje kľúč

Prehliadka začína v zozname certifikátov klienta, kde záznam zobrazuje názov, vydavateľa a dátum vypršania a nič viac. Exportujte ho, importujte na druhom zariadení a pripojenie sa odmietne, pretože klient nedokáže preukázať vlastníctvo súkromného kľúča. Súbor bol skopírovaný celý; chyba je očakávať, že certifikát nesie vlastný kľúč. Prečítajte si dialóg exportu skôr, než zvolíte formát, a potom preskúmajte súbor, ktorý ste skutočne dostali.

Dve kliknutia, dva veľmi odlišné artefakty.

Čítajte dialóg exportu, nie príponu súboru

Export certifikátu DER alebo PEM obsahuje verejný kľúč a podpísané tvrdenia o identite, čo je to, čo server potrebuje, aby vám dôveroval, a čo klient potrebuje na overenie servera. Balík PKCS#12 je kontajner, ktorý môže obsahovať certifikát, jeho reťazec a zodpovedajúci súkromný kľúč, chránený heslom, hoci ho možno vytvoriť aj bez kľúča.

PEM je len textové kódovanie, nie sľub o obsahu. Rovnaká prípona môže opisovať jediný certifikát alebo súbor s viacerými označenými blokmi, a o tom, ktorý to je, rozhodujú voľby exportu.

Užitočná otázka teda nikdy nie je, akú príponu ste dostali, ale aké bloky súbor obsahuje. Balík exportovaný bez kľúča je stále balík. Kontrolujte obsah, nie obľúbenosť formátu.

Preskúmajte, čo ste skutočne dostali

Skôr než čokoľvek importujete, hľadajte označenia, potom si prečítajte polia certifikátu a potvrďte, ktorú identitu držíte. Vykonajte kontroly na súbore, ktorý sa skutočne bude importovať. Po každom novom exporte ich zopakujte, pretože voľby sa môžu líšiť.

grep -E 'BEGIN (CERTIFICATE|PRIVATE KEY|ENCRYPTED PRIVATE KEY)' bundle.pem
openssl x509 -in client.crt -noout -subject -issuer -dates
openssl pkey -in client.key -noout -text | head -5
openssl pkcs12 -info -in client.p12 -noout

Export iba s blokom certifikátu je verejný objekt a nedokáže autentifikovať. Blok kľúča bez certifikátu vás nechá bez reťazca, ktorý server očakáva. Výstup informácií PKCS#12 tiež hlási, či je kľúč prítomný, čo otázku pre tento formát uzatvára. Uvádza aj algoritmus a veľkosť kľúča a úplne zlyhá, keď kľúč chýba.

Nikdy nevkladajte súbor so súkromným kľúčom do vlákna podpory, do sledovača problémov ani do chatu, aj keď vyzerá ako certifikát, ktorý ste už zdieľali. Snímky obrazovky panela s kľúčom si zaslúžia rovnakú opatrnosť.

Kľúč môže žiť tam, odkiaľ ho neskopírujete

Na spravovaných zariadeniach môže súkromný kľúč sídliť v kľúčenke operačného systému, v hardvérovom tokene alebo v bezpečnom enclave, pričom zásada ho označuje ako neexportovateľný. Správca certifikátov potom zobrazuje verejný objekt, kým tajomstvo zostáva na mieste, a žiadny príkaz exportu nevytvorí prenosnú kópiu. Zápis cez správu mobilných zariadení tak často funguje zámerne.

To je kontrola, nie prekážka na obchádzanie. Rekonštruovať súkromný kľúč z verejného certifikátu nie je možné a každý nástroj, ktorý to tvrdí, robí niečo iné.

Zaregistrujte novú identitu namiesto kopírovania

Podporovaná cesta zvyčajne je zaregistrovať pre nové zariadenie samostatnú identitu a starú odvolať, keď sa vyradí, aby sa každé zariadenie dalo stiahnuť nezávisle. Tam, kde je export s kľúčom skutočne schválený, berte výsledný súbor a jeho heslo ako prihlasovacie údaje: šifrované v pokoji, prenesené dôveryhodným kanálom a vymazané, keď je registrácia hotová.

Overujte autentifikáciou s importovanou identitou, nie tým, že import prebehol. Klient, ktorý prijme verejný certifikát do svojho úložiska, o kľúči nič nepreukázal.

Na záver potvrďte, že server novú identitu prijíma a že sa stará stále správa podľa zámeru zásady. Tým sa prehliadka uzatvára dôkazom, nie súborom, ktorý vyzerá správne.