P12 duug ah oo OpenSSL 3 ku guuldareysta: furaha sirta khaldan mise sireed duug ah?

Wada hadalka soo dhoofintu wuxuu qaataa furahaaga sirta, wuxuu wareegaa wax yar kadibna wuxuu sheegaa inuusan akhrin karin xirmada. Wax kasta oo ku jira fariintaas ma sheegayo haddii aad si khaldan u qortay furaha sirta ama haddii faylka lagu xidhay sireed uusan macmiilku hadda bixin. Kuwani waa guuldarrooyin kala duwan oo leh hagaajin kala duwan, doorashada khaldanna waxay keentaa hoos u dhigista macmiilka oo kaliya dib u dhigta go'aanka. Daawooshada marxaladda uu macmiilku joogsado waxay kala soocdaa ilaa hal daqiiqo gudaheed.

Waxa ka dhaca inta u dhaxaysa wada hadalka iyo liiska shahaadada

.p12 faylku waa weel, ma aha shahaado. Gudaha waxaa ku jira hal ama in ka badan oo boorsooyin shahaado ah iyo boorso fure gaar ah oo lagu sireeyay fure ka soo baxay furahaaga sirta, iyo sidoo kale baaritaan daacadnimo oo MAC la yiraahdo oo ku saabsan faylka oo dhan. Furitaankiisu waxay la macno tahay in la xaqiijiyo MAC-kaas, la sirfuro boorsada furaha oo shahaadada lala mideeyo furaha soo baxa.

Dhibaatada furaha sirta waxay timaaddaa marxaladda MAC. Dhibaatada sireedka waxay timaaddaa goor dambe, marka boorsada furaha ay tahay in la furo oo dhismaha furayna uusan lahayn fulin algoritamka faylka ku qoran.

Kiiska labaad waa caadi nidaamyada maanta sababtoo ah OpenSSL 3 wuxuu koox algoritam duug ah u raray legacy provider ikhtiyaari ah. Xirmooyinka OpenSSL 1.x soo dhoofiyay waxay badanaa ku xidhi jireen shahaadada RC2 40-bit ah iyo furaha gaarka ah Triple DES saddex fure ah. Dhismaha caadiga ah ee OpenSSL 3 wali wuxuu ku xaqiijiyaa MAC furahaaga sirta ee saxda ah kadibna wuu ku guuldareystaa boorsada, sidaas darteed furaha sirta waligiis khaldan ma ahayn oo dib u qoristiisu waxba ma beddelo.

Akhri weelka adigoon fure soo qorin

Weydii dhismaha OpenSSL ee ku yaal mishiinkaaga inuu falanqeeyo faylka oo uu akhriyo goobta uu ka quustay. Baaritaan aan fayl wax soo saar lahayn wuxuu furaha kaga tagaa sireysan diskiga, waana sababta kaliya ee tallaabadan ammaan ku tahay martigeliyaha la wadaago.

openssl pkcs12 -in vpn-identity.p12 -info -noout

Xirmo duug ah oo furaha sirta saxda ah leh, tani waxay daabacdaa sifooyinka boorsada kadibna waxay ku joogsataa digital envelope routines::unsupported. Furaha sirta khaldan waxaad helaysaa Mac verify error: invalid password? ka hor inta aan la akhrin boorso kasta. Labada fariinood waxay tilmaamayaan jihooyin iska soo horjeeda, waana isla macluumaadka uu macmiilku qariyay.

Haddii guuldaradu tahay tii algoritamka aan la taageerin, mar kale socodsii isla amarka -legacy lagu daray oo wax kale aan la beddelin. Calankaas wuxuu legacy provider u rarayaa hal howshaas oo kaliya. Kama qasbo macmiilka VPN inuu falanqeeyo xirmooyin duug ah, ma taabto siyaasadda sireedka nidaamka oo dhan, waana cabbir ma aha hagaajin, sababtoo ah faylka wali waa in la beddelaa.

Khaladkee ayaa tilmaamaya marxaladdee

Shax gaaban ayaa saddexda natiijo kala haya, ereyaduna waxay ka muhiimsan yihiin halka wada hadalku ka muuqday.

Qoraal sida not enough data ama header too long kama tirsana kooxaha labada hore midkoodna. Taasi waa dhibaato qaab: fayl DER ah oo loo beddelay .pem, nuqul uu xumeeyay tafatir sameeyay oo dib u qoray dhammaadka sadarrada, ama soo dejinta aan dhamaystirnayn. Marka hore isbarbar dhig checksum-ka midka soo saaruhu soo diray ka hor inta aadan eegin sireedyada.

U qaado Mac verify error kaliya marag ku saabsan furaha sirta. Waxay la macno tahay MAC-ka laga xisaabiyay waxa aad qortay kuma habboona qiimaha kaydsan, taas oo dhacda qoraal khalad, fure sir ah oo ka yimid soo dhoofin hore ama fayl dib loo dhoofiyay fure sir kale hoostiis. Ma sheegayo wax ku saabsan haddii algoritamada gudaha ay duug yihiin.

Dhis xirmo uu macmiilku runtii furi karo

Marka falanqeeyaha legacy uu xaqiijiyo in faylku caafimaad qabo, xalka joogtada ah waa beddel leh algoritamada uu macmiilka bartilmaameedka taageero: AES-256-CBC boorsooyinka furaha iyo shahaadada, PBKDF2 oo SHA-256 leh soo saarista, iyo SHA-256 MAC-ka. Maamulahaaga PKI wuu ka soo dhoofin karaa isla maaddada furaha, shahaadada gudahana waxay ahaanaysaa tii ay serverradaadu hore u aaminsanaayeen.

Marka aad u baahan tahay inaad gudaha u beddesho, weydii qalabka pkcs12 inuu dib u xidho boorsooyinka halkii uu marka hore daadin lahaa. Labada fure sir ka fogee taariikhda shell-kaaga adigoo ka akhrinaya fayl.

openssl pkcs12 -in vpn-identity.p12 -out vpn-identity-aes.p12 \
  -keypbe AES-256-CBC -certpbe AES-256-CBC -macalg sha256 \
  -passin file:old.pass -passout file:new.pass

Beddel guuleystay waxba ma sheegayo dhacdo, isticmaalka furaha, iswaafajinta furaha gaarka ah ama haddii serverku aaminsan yahay silsiladda soo saaraha. Dib u xidhka waa isbeddel gaadiid, ma aha cusboonaysiin, mid kastaa wali wuxuu u baahan yahay baaritaankiisa.

Ka bood reti kasta oo qora fure dhexe oo aan la ilaalin ama fure sir oo madhan oo wax soo saar ah kaliya sababtoo ah macmiilku markaas aqbalay faylka. Xirmo la akhrin karo oo ilaalintiisa laga saaray waa natiijo ka xun guuldaradii soo dhoofinta ee aad ku bilowday.

Xaqiiji in macmiilku soo dhoofiyay faylka aad dhigtay

Falanqayn nadiif ah oo terminal ku jirta waxay caddaynaysaa in weelku ansax yahay. Ma caddaynayso in macmiilku doortay, sababtoo ah borofayl hadhay wuxuu wali u tilmaami karaa faylka duug ah, macmiilada qaarna waxay kaydiyaan aqoonsiga la soo dhoofiyay magac aadan dooran.

Daabac aqoonsiga aad soo dhoofinayso oo isbarbar dhig waxa macmiilku ku muujiyo aragtida shahaadada.

openssl pkcs12 -in vpn-identity-aes.p12 -clcerts -nokeys -passin file:new.pass \
  | openssl x509 -noout -subject -dates -fingerprint -sha256

Marka hore ka saar gelinta borofaylka duug ah, kadib soo dhoofi. Haddii macmiilku diiwaangaliyo mawduuca ama faraha aad u soo rartay, la mid dhig sadarka kore; haddii uu kaliya muujiyo magac saaxiibtinimo, beddelkeeda hubi taariikhda dhacdo, sababtoo ah way adag tahay in lagu khaldo shahaado kale oo isla soo saaraha ah.

Tixraaca PKCS12 wuxuu taxayaa provider, furaha sirta iyo doorashooyinka wax soo saarka ee halkan la isticmaalay. legacy provider ka fogaan deegaanka macmiilka waa qodobka: ku cabbir, la bixi isagoon lahayn, furaha gaarka ahna diskiga ku ilaali.