Kopjimi i një certifikate VPN nuk kopjon çelësin

Ecja nis në listën e certifikatave të klientit, ku zëri tregon një emër, një lëshues dhe një datë skadimi dhe asgjë tjetër. Eksportojeni, importojeni në pajisjen e dytë dhe lidhja refuzohet sepse klienti nuk mund të provojë posedimin e çelësit privat. Skedari u kopjua plotësisht; gabimi është të presësh që një certifikatë të mbajë çelësin e vet. Lexoni dialogun e eksportimit përpara se të zgjidhni formatin, pastaj inspektoni skedarin që keni marrë vërtet.

Dy klikime, dy artefakte krejt të ndryshme.

Lexoni dialogun e eksportimit, jo prapashtesën e skedarit

Një eksport certifikate DER ose PEM përmban një çelës publik dhe pretendimet e identitetit të nënshkruara, që është ajo që i duhet një serveri për t'ju besuar dhe ajo që i duhet një klienti për të verifikuar një server. Një paketë PKCS#12 është një kontejner që mund të mbajë një certifikatë, zinxhirin e saj dhe çelësin privat përkatës, i mbrojtur me fjalëkalim, ndonëse mund të krijohet edhe pa çelësin.

PEM është vetëm një kodim teksti, jo një premtim për përmbajtjen. E njëjta prapashtesë mund të përshkruajë një certifikatë të vetme ose një skedar me disa blloqe të etiketuara, dhe opsionet e eksportimit vendosin cilën.

Prandaj pyetja e dobishme nuk është kurrë çfarë zgjatimi morët, por çfarë blloqesh përmban skedari. Një paketë e eksportuar pa çelësin e saj mbetet paketë. Kontrolloni përmbajtjen dhe jo popullaritetin e formatit.

Inspektoni çfarë keni marrë vërtet

Kërkoni etiketat përpara se të importoni ndonjë gjë, pastaj lexoni fushat e certifikatës për të konfirmuar çfarë identiteti mbani. Kryeni kontrollet në skedarin që do të importohet vërtet. Përsëritini pas çdo rieksportimi, sepse opsionet mund të ndryshojnë.

grep -E 'BEGIN (CERTIFICATE|PRIVATE KEY|ENCRYPTED PRIVATE KEY)' bundle.pem
openssl x509 -in client.crt -noout -subject -issuer -dates
openssl pkey -in client.key -noout -text | head -5
openssl pkcs12 -info -in client.p12 -noout

Një eksport vetëm me bllok certifikate është objekt publik dhe nuk mund të autentikohet. Një bllok çelësi pa certifikatë ju lë pa zinxhirin që pret serveri. Dalja e informacionit të PKCS#12 raporton gjithashtu nëse ka një çelës, gjë që e zgjidh çështjen për atë format. Ajo emërton edhe algoritmin dhe madhësinë e çelësit, dhe dështon plotësisht kur nuk ka çelës.

Asnjëherë mos ngjitni një skedar që përmban çelës privat në një temë mbështetjeje, në një gjurmues problemesh ose në një bisedë, edhe kur duket si certifikata që po ndanit më parë. Pamjet e ekranit të një paneli çelësash meritojnë të njëjtën kujdes.

Çelësi mund të banojë diku ku nuk mund ta kopjoni

Në pajisjet e menaxhuara çelësi privat mund të qëndrojë në vargun e çelësave të sistemit operativ, në një token harduerik ose në një enklavë të sigurt, me një politikë që e shënon si të paeksportueshëm. Menaxheri i certifikatave tregon atëherë objektin publik ndërsa sekreti mbetet në vendin e vet, dhe asnjë komandë eksportimi nuk do të prodhojë një kopje të transportueshme. Regjistrimi përmes menaxhimit të pajisjeve celulare shpesh funksionon pikërisht kështu.

Ky është një kontroll, jo një pengesë për t'u anashkaluar. Rindërtimi i një çelësi privat nga certifikata publike nuk është i mundur, dhe çdo mjet që pretendon këtë bën diçka tjetër.

Regjistroni një identitet të ri në vend të kopjimit

Rruga e mbështetur është zakonisht të regjistroni një identitet të veçantë për pajisjen e re dhe të revokoni të vjetrën kur tërhiqet, kështu që çdo pajisje mund të tërhiqet në mënyrë të pavarur. Aty ku një eksport me çelësin është vërtet i miratuar, trajtojeni skedarin që rezulton dhe fjalëkalimin e tij si kredenciale: të kriptuara në qetësi, të transferuara përmes një kanali të besuar dhe të fshira kur regjistrimi të ketë mbaruar.

Verifikoni duke u autentikuar me identitetin e importuar, jo duke shikuar nëse importimi pati sukses. Një klient që pranon një certifikatë publike në magazinën e vet nuk ka provuar asgjë për çelësin.

Përfundoni duke konfirmuar që serveri pranon identitetin e ri dhe që ai i vjetri silltë ende siç synon politika. Kështu ecja mbyllet me prova, dhe jo me një skedar që duket i saktë.