Halka ay n, e, d, p iyo q ee RSA ku nool yihiin faylka furaha VPN

Xarfaha ku jira sharaxaadda RSA waxay magacaabaan beeraha gudaha hal shay, ma aha faylal ay qalabka PKI bixiyo. Faylka furaha gaarka ah wuxuu hayaa qaab-dhismeed ay beerihiisa hore dadweyne yihiin oo beerihiisa dambe aanay marnaba ka bixin karin mashiinka soo afjara tunnel-ka. Labada xaqiiqo dhexdooda waxaa ku yaal inta badan su'aalaha waxqabadka ee ku saabsan faylka kee u jawaabo su'aasha kee. Hanbuugan wuxuu marka hore akhriyaa qaab-dhismeedka, ka dib amarrada baaraya isagoon daadin.

Xaqiiji in furaha uu RSA yahay ka hor intaadan raadin tirooyin mutuxan

Shahaadadu waxay caddaynaysaa in furaha qaar uu jiro oo la saxeexay; ma caddaynayso in furahu uu RSA yahay. Nidaamyada waxaa lagu dhisi karaa qalloocan elliptical ama Ed25519, isla qaabka galka ayaa u adeega dhammaantood. Hubi algorithm-ka ka hor intaadan bilaabin raadinta arrimaha mutuxan ee aan marnaba halkaas joogin.

Saddexdan amar ee akhri-kaliya waxay ka jawaabaan su'aasha waxayna diiwaangeliyaan nooca qalabka.

openssl version
openssl x509 -in vpn-client.crt -noout -text
openssl pkey -in vpn-client.key -noout -text

Nooca ayaa muhiim ah sababtoo ah magacyada xulashooyinka waxay u guureen noocyada waaweyn dhexdooda. Soo-saaridda shahaadada ka hel sadarka algorithm-ka furaha dadweynaha iyo cabbirka furaha; soo-saaridda furaha furaha RSA wuxuu daabacaa modulus iyo jibbaar dadweyne. Furaha qalloocan elliptical wuxuu beddelkiisa daabacaa qallooc magac leh, oo wax raadin ah kama soo saari doono n ama q.

Akhri qaab-dhismeedka halkii base64

PEM waa base64 lagu duubay sadarrada madaxa, oo marka la decode-gareeyo waxaa soo baxa DER, taas oo ah qaab-dhismeed taxane ah ee ma aha hal tiro guud oo weyn. Furaha gaarka ah ee RSA waxay ku safraan laba weel oo caadi ah, PKCS#1 iyo PKCS#8, labadaba waxay ku xalliyaan isla tirooyinka.

Marka ay jiraan laba tiro oo mutuxan, qaab-dhismeedka gaarku wuxuu qaataa sagaal beer: nooc, modulus n, jibbaar dadweyne e, jibbaar gaar ah d, tirooyinka mutuxan p iyo q, laba jibbaar CRT iyo hal isku-dhufasho CRT. RFC 8017 qaybta A.1 waxay qeexdaa qaybahaas iyo habaynta ASN.1, waxayna ogolaataa in ka badan laba tiro oo mutuxan, sidaas darteed falanqeeye guud wuxuu daabici karaa gelitaanno mutuxan oo dheeraad ah. Fiiri habka isku xigga, waayo wuxuu sharraxayaa khalad badan: qaybta dadweynaha waxaa lagu kaydiyaa faylka gaarka ah gudihiisa, sidaas darteed joogitaanka beer dadweyne kama dhigayso faylkaas mid ammaan ah in la wadaago. Wax kasta oo ka dambeeya waa maaddada ay tahay inay ku sii jirto martigeliyaha.

Koodhayntu waxay ku dartaa lakab si fudud loogu khaldami karo nuxurka. openssl asn1parse wuxuu qaab-dhismeedka u sawiraa sida geed si ay u muuqato isku xigga beeraha, mana furto wax, mana sheegto haddii furahu isticmaali karo.

Lammaan shahaadada furaha adigoon daabicin furaha

Su'aasha xigta badanaa waa haddii shahaadada iyo furahu ay wada tirsan yihiin. Isbarbardhigga modulus-yada ayaa ka jawaaba taas, laakiin waxay kaloo koobiyaan maaddada u dhow tan gaarka ah gal nuqul terminal ah oo laga yaabo inuu tikidh ku dhimo. Isbarbardhigga qaybaha dadweynaha ayaa isla su'aasha ka jawaaba iyadoon wax xasaasi ah shaashadda ku hadhin.

openssl pkey -in vpn-client.key -pubout -out /tmp/key.pub
openssl x509 -in vpn-client.crt -pubkey -noout > /tmp/cert.pub
cmp /tmp/key.pub /tmp/cert.pub && echo MATCH

Faylal isku mid ah waxay ka dhigan yihiin in shahaadadu qaado qaybta dadweynaha ee furahaas, kala duwanaanshuhuna wuxuu ka dhigan yahay inaad haysato lammaane khaldan. Isma-aadkaas ayaa ah sababta ugu badan ee tunnel si farxad leh u wada hadla oo markaas diida xaqiijinta. Ka dib ka saar labada fayl ee ku meel gaadhka ah; wax sir ah kuma jiraan, laakiin galka shaqada ee nadiifka ah ayaa sahlan in laga fikiro badhtamaha dhacdo.

Ogsoonow waxa aanay faylalka deriska ah ahayn

Shahaadadu ma aha furaha dadweynaha oo sireed ah oo dhinaca kale ku furayo shahaadada CA; waa isku-xir suxeegan oo u dhexeeya furaha dadweynaha iyo xogta aqoonsiga. Furaha saxixa gaarka ah ee CA wuxuu ka duwan yahay shahaadadiisa iyo furaha macmiil kasta. Codsiguna shahaado ma aha: wuxuu qaataa macluumaadka la codsaday iyo furaha dadweynaha oo leh saxeex ku yaal codsiga, taas oo ka dhigta gelitaan diiwaangelin, ma aha caddayn xuquuq.

Laba ka mid ah gelitaannadaas ayaa si ku filan loogu khaldaa halbeegyada RSA si loo magacaabo laba jeer. Faylka halbeegyada Diffie-Hellman wuxuu qaataa halbeegyada kooxda ee aasaasidda furaha oo aan qaadan tiro mutuxan RSA, in kastoo isna loo daabaco sida tiro mutuxan weyn. Liiska burinta wuxuu ku dhawaaqaa xaaladda shahaadooyinka oo ma aha meel jibbaar gaar ahi ku dhuunto.

Sidaas darteed sadar kasta oo alaab-qoraal ah waa inuu diiwaangeliyaa afar shay: nooca shayga, mulkiilaha, ujeeddada iyo haddii maaddada gaarka ah lagu daray. Tiirka ugu dambeeya ayaa go'aamiya halka faylka loo koobi karo, waana tan dadku boodaan.

Diiwaangeli lammaanaha, ka dib xaqiiji gacan-qabsiga

Ka hor intaadan wax beddelin, kaydi soo-saarka xaqiijinta oo ay la socdaan taariikhda iyo nooca OpenSSL. Markaas wareeg dambe waxaa lala barbardhigi karaa caddaymo halkii xusuus.

openssl verify -CAfile ca.crt vpn-client.crt
openssl x509 -in vpn-client.crt -noout -subject -issuer -dates

Ka dib isbarbardhigga furaha dadweynaha, maro waddada isticmaasha lammaanaha: kici tunnel-ka, xaqiiji in shahaadada la soo bandhigo oo la aqbalo, oo hubi aqoonsiga kee uu diiwaangeliyay albaabka. Haddii furaha iyo shahaadadu is waafaqaan oo xaqiijintu wali guul-darraysto, cilladdu waxay ku jirtaa aaminaadda, khariidaynta aqoonsiga ama siyaasadda gelitaanka, ma aha lammaanaha.

Dib u celinta, hayso furaha iyo shahaadada hore galka taariikh leh oo soo celi labadaba wadajir, marnaba mid ka mid ah labada ma aha. Furaha shahaado la'aan iyo shahaadada fura la'aan waxay dibadda isku mid ugu guul-darraystaan, taas oo lammaanaha badhka la soo celiyay ka dhigta mid qaali ah in laga furo labada habeenimo.