Kopiranje potrdila VPN ne kopira ključa

Sprehod se začne na seznamu potrdil odjemalca, kjer vnos prikazuje ime, izdajatelja in datum poteka ter nič drugega. Izvozite ga, uvozite na drugi napravi in povezava je zavrnjena, ker odjemalec ne more dokazati posedovanja zasebnega ključa. Datoteka je bila kopirana v celoti; napaka je pričakovati, da bo potrdilo prineslo svoj ključ. Preberite pogovorno okno za izvoz, preden izberete obliko, nato pregledjte datoteko, ki ste jo resnično prejeli.

Dva klika, dva zelo različna izdelka.

Berite pogovorno okno za izvoz, ne pripone datoteke

Izvoz potrdila DER ali PEM vsebuje javni ključ in podpisane trditve o identiteti, kar strežnik potrebuje, da vam zaupa, in kar odjemalec potrebuje za preverjanje strežnika. Paket PKCS#12 je vsebnik, ki lahko hrani potrdilo, njegovo verigo in ustrezen zasebni ključ, zaščiten z geslom, čeprav ga je mogoče ustvariti tudi brez ključa.

PEM je le besedilno kodiranje, ne obljuba o vsebini. Ista pripona lahko opisuje eno potrdilo ali datoteko z več označenimi bloki, in o tem odločajo možnosti izvoza.

Koristno vprašanje torej nikoli ni, katero pripono ste dobili, ampak katere bloke datoteka vsebuje. Paket, izvožen brez ključa, je še vedno paket. Preverite vsebino, ne priljubljenosti oblike.

Preglejte, kaj ste resnično dobili

Poiščite oznake, preden karkoli uvozite, nato preberite polja potrdila in potrdite, katero identiteto držite. Preverjanja izvedite na datoteki, ki bo resnično uvožena. Po vsakem ponovnem izvozu jih ponovite, saj se možnosti lahko razlikujejo.

grep -E 'BEGIN (CERTIFICATE|PRIVATE KEY|ENCRYPTED PRIVATE KEY)' bundle.pem
openssl x509 -in client.crt -noout -subject -issuer -dates
openssl pkey -in client.key -noout -text | head -5
openssl pkcs12 -info -in client.p12 -noout

Izvoz samo s blokom potrdila je javni predmet in se ne more overiti. Blok ključa brez potrdila vas pusti brez verige, ki jo strežnik pričakuje. Izpis informacij PKCS#12 tudi sporoča, ali je ključ prisoten, kar razreši vprašanje za to obliko. Navede tudi algoritem in velikost ključa ter popolnoma odpove, ko ključa ni.

Nikoli ne prilepite datoteke z zasebnim ključem v nit za podporo, v sledilnik težav ali v klepet, tudi ko je videti kot potrdilo, ki ste ga že delili. Zaslonske slike plošče s ključem si zaslužijo enako previdnost.

Ključ lahko živi tam, od koder ga ne morete kopirati

Na upravljanih napravah je lahko zasebni ključ v zbirki ključev operacijskega sistema, v strojnem žetonu ali v varnem oklepu, politika pa ga označi kot nezmožnega izvoza. Upravitelj potrdil takrat pokaže javni predmet, medtem ko skrivnost ostane na svojem mestu, in noben ukaz za izvoz ne ustvari prenosne kopije. Vpis prek upravljanja mobilnih naprav pogosto deluje prav tako.

To je nadzor, ne ovira, ki bi jo bilo treba obiti. Zasebnega ključa iz javnega potrdila ni mogoče rekonstruirati, in vsako orodje, ki to trdi, počne nekaj drugega.

Vpišite novo identiteto namesto kopiranja

Podprta pot je običajno vpis ločene identitete za novo napravo in preklic stare, ko se umakne, da je vsako napravo mogoče umakniti neodvisno. Kjer je izvoz s ključem resnično odobren, obravnavajte nastalo datoteko in njeno geslo kot poverilnice: šifrirane v mirovanju, prenesene po zaupanja vrednem kanalu in izbrisane, ko je vpis končan.

Preverite tako, da se overite z uvoženo identiteto, ne z opazovanjem uspeha uvoza. Odjemalec, ki sprejme javno potrdilo v svoje shrambo, o ključu ni dokazal ničesar.

Zaključite s potrditvijo, da strežnik sprejme novo identiteto in da se stara še vedno vede, kot predvideva politika. Tako se sprehod zaključi z dokazi, ne pa z datoteko, ki je videti pravilna.