Eksporto certifikatat nga një P12 pa çelësin privat

Tiketa e mbështetjes pyet se cili certifikat ndodhet brenda paketës VPN, dhe impulsi i parë është të eksportosh gjithçka dhe ta bashkëngjitësh. Një skedar P12 i paketon certifikatat dhe materialin e çelësit privat në një enë të vetme, prandaj eksportimi i gjithçkaje është pikërisht ajo që nuk duhet të dërgoni. Komanda që i përgjigjet pyetjes është një problem përzgjedhjeje, jo konvertimi. Katër flamuj vendosin cilën gjysmë të enës merrni, dhe dy prej tyre tingëllojnë më të sigurt sesa janë.

Filloni duke lexuar enën në vend që ta zbrazni.

Çfarë mban në të vërtetë një skedar PKCS12

Një enë PKCS12 mban një ose më shumë certifikata, ndoshta një çelës privat dhe një message authentication code mbi përmbajtjen. Certifikatat mund të përfshijnë certifikatën gjethe të identitetit tuaj të klientit dhe ndërmjetëset që e zinxhirojnë atë me një CA. Çelësi, kur është i pranishëm, është ai që e bën skedarin sekret dhe jo dokument.

Ky dallim është arsyeja pse -nokeys ekziston dhe pse është flamuri që i nevojitet kësaj detyre.

Lexoni paketën pa e shkruar çelësin

Forma e inspektimit shtyp strukturën dhe detajet e algoritmeve dhe nuk shkruan asgjë: openssl pkcs12 -in client.p12 -info -noout. Kërkon fjalëkalimin e importimit, që është vendi i duhur për atë vlerë, dhe ju tregon nëse skedari mban fare çelës. Përdorni -passin env:PKCS12_PASS kur fjalëkalimi nuk mund të shtypet, sepse një fjalëkalim brenda një komande shell është një fjalëkalim në listën e proceseve. Ky hap nuk eksporton asgjë, dhe ky është i gjithë qëllimi.

Lexoni daljen për tri gjëra: sa certifikata, nëse ka një çelës të pranishëm dhe cilët algoritme e mbrojnë atë.

Përdorni -nokeys dhe mos e ngatërroni me -nocerts

-nokeys përjashton çelësat privatë dhe lë certifikatat. -clcerts e ngushton atë te certifikatat e klientit, -cacerts e ngushton te certifikatat CA, dhe këto të dyja janë filtra dhe jo alternativa. -nocerts lexohet si drejtshkrimi i sigurt i së njëjtës ide dhe do të thotë e kundërta: pa certifikata, gjë që lë vetëm çelësa. Përzierja e tij në një eksport certifikatash është mënyra se si një çelës privat përfundon në disk.

Forma me dy rreshta që prodhon një skedar certifikatash dhe një skedar CA, dhe asgjë tjetër, është:

openssl pkcs12 -in client.p12 -nokeys -clcerts -out client-certificates.pem
openssl pkcs12 -in client.p12 -nokeys -cacerts -out ca-certificates.pem

Paketat e vjetra kanë nevojë për -legacy në OpenSSL 3 për të lexuar kriptimin e tyre më të vjetër, dhe ky flamur ndryshon atë që pranon analizuesi, jo atë që lëshon. Nëse analizimi dështon me një gabim për një algoritëm të pambështetur, shtimi i -legacy është lëvizja e parë e saktë dhe anashkalimi i kontrollit MAC nuk është.

Kontrolloni daljen, jo kodin e daljes

Një status daljeje zero thotë që komanda u ekzekutua, jo që skedari përmban atë që prisni. Numëroni certifikatat në dalje dhe lexoni subjektin dhe datat: openssl x509 -in client-certificates.pem -noout -subject -dates -fingerprint. Krahasoni gjurmën me atë që pret ekipi i mbështetjes, sepse një paketë me dy certifikata klienti prodhon një skedar me dy blloqe dhe shumica e mjeteve lexojnë vetëm të parin. Qëllimi, besimi dhe përputhja e çelësit janë përsëri teste të veçanta.

Një certifikatë që analizohet është një certifikatë që analizohet. Nuk është një certifikatë që VPN-i e pranon.

Vendosni nëse keni fare nevojë për skedarë

Nëse klienti që e merr importon PKCS12 drejtpërdrejt, dërgimi i paketës origjinale përmes një kanali të miratuar me fjalëkalimin të mbajtur veçmas është më i thjeshtë dhe ruan mbrojtjen. Nxjerrja është për inspektim, për një klient që ka nevojë për PEM ose për një rast mbështetjeje që kërkoi një artefakt specifik. Çdo nxjerrje heq një shtresë dhe duhet të ketë një arsye.

Certifikatat publike nuk përmbajnë çelësin privat, por përmbajnë emra dhe të dhëna organizative. Ndani fushat që kërkoi tiketa në vend të skedarit, përveç rastit kur u kërkua vetë skedari.