IKEv2 ka dy nënshkrime: certifikata dhe IKE_AUTH
CA nënshkruan certifikatën, dhe kolegu nënshkruan shkëmbimin e tij IKE_AUTH me skemën e vet. Lexoni secilin nga fusha e vet, pastaj shënoni të dyja.
Bileta juaj thotë se certifikata është SHA-256, ndërkohë që regjistri i portës emërton një algoritëm tjetër nënshkrimi, dhe dikush ka përgatitur tashmë një kërkesë për të rishpërndarë CA-në. Përpara se ajo kërkesë të shkojë diku, ndani dy nënshkrimet: njëri është vula e lëshuesit mbi një kyç publik, tjetri është prova e kolegut se zotëron kyçin privat përkatës gjatë IKE_AUTH. Komponentë të ndryshëm i zgjedhin ato, dhe u lejohet të ndryshojnë. Leximi i secilit nga vendi ku jeton kërkon dy komanda dhe një tabelë.
Lexoni nënshkrimin e lëshuesit nga certifikata
CA vendos nënshkrimin e saj mbi një lidhje mes identitetit dhe një kyçi. Ai nënshkrim regjistron çfarë bëri CA në lëshim, jo çfarë do të bëjë subjekti kur lidhet, prandaj algoritmi i tij përshkruan zgjedhjen e vetë CA-së për hash dhe kyç. Një kyç subjekti i një lloji mund të qëndrojë nën një kyç CA të një lloji tjetër pa asnjë mospërputhje, dhe rrotullimi i kyçit të CA-së është rutinë dhe jo defekt. Lexoni dy fushat dhe keni gjysmën e inventarit:
openssl x509 -in peer.pem -noout -text | grep -E "Signature Algorithm|Public Key Algorithm"Shënoni të dy etiketat si zëra të veçantë. I pari përshkruan CA-në, i dyti përshkruan kyçin e subjektit, dhe asnjëri nuk parashikon nënshkrimin në linjë.
Lexoni nënshkrimin në linjë nga shkëmbimi IKE
Gjatë vërtetimit secili koleg nënshkruan të dhënat e shkëmbimit me kyçin e vet privat, dhe pala tjetër e kontrollon atë provë ndaj identitetit, zinxhirit të besimit dhe politikës së certifikatës. Në RSA mbushja dhe hash-i i përkasin kësaj skeme në linjë, prandaj një kyç më i gjatë ose një certifikatë e re SHA-256 nuk mund të zgjedhin vetë RSA-PSS për nënshkrimin e vërtetimit. Metoda e negociuar shfaqet në regjistrin e daemonit ose në listën e lidhjeve të tij, kurrë në certifikatë. Pyetni secilën palë se për çfarë u negocua, sepse dy drejtimet mund të ndryshojnë.
ipsec statusall | grep -i "auth\|proposal"Kur njëra palë emërton një skemë që tjetra nuk mund ta prodhojë, keni gjetur mospërputhjen për të cilën ishte bileta. Rishpërndarja e CA-së është riparimi i gabuar, sepse certifikata nuk ishte kurrë ajo që dështoi.
Çfarë ndryshon RFC 7427 dhe çfarë jo
Metodat origjinale numërohen sipas kombinimit të algoritmeve në RFC 7296. Zgjatja e nënshkrimit RFC 7427 shton një metodë të përgjithshme Digital Signature me sinjalizim të mbështetjes së hash-it të nënshkrimit, kështu që një hash i ri nuk ka më nevojë për numrin e vet të metodës. Negociohet, nuk supozohet: kolegu nuk e fiton zgjatjen sepse biblioteka e tij mund të analizojë të njëjtat certifikata, dhe një koleg që zbaton vetëm metodat origjinale e detyron portën të mbajë njërën prej tyre. Ky është një shkëmbim politike me kosto përputhshmërie, jo defekt.
Mbështetja është për çdo drejtim dhe çdo lidhje, prandaj provoni ndërtimin që keni përpara në vend që të besoni një pohim në nivel familjeje. Një matricë aftësish e shkruar tre vjet më parë përshkruan ndërtime tre vjeçare.
Vendosni katër rreshta në inventar
Regjistri që i jep fund debatit ka katër rreshta, secili i lexuar në një vend tjetër dhe secili i ndryshuar nga një person tjetër. Plotësojeni para se të vendosni gjë, sepse rreshti i gabuar është ai që zgjedh riparimin.
| Objekti | Nga lexohet | Kush e ndryshon |
|---|---|---|
| nënshkrimi i lëshuesit të certifikatës | fusha Signature Algorithm e certifikatës | operatori i CA-së, në lëshim |
| kyçi publik i subjektit | fusha Public Key Algorithm e certifikatës | kushdo që gjeneron kyçin e subjektit |
| skema e vërtetimit IKE | regjistri i daemonit ose lista e lidhjeve, njoftimi auth dhe signature-hash | profili IKE në të dy kolegët |
| algoritmet e mbrojtjes IKE dhe ESP | lista e propozimeve të lidhjes | profili IPsec, sipas drejtimit |
Çdo rresht mbart pasojën e vet të përputhshmërisë. Ndryshimi i shifrës ESP nuk zgjedh nënshkrimin e lëshuesit, dhe lehtësimi i verifikimit të CA-së nuk shton një metodë në linjë që kolegët nuk e kanë negociuar kurrë. Kur bileta pretendon një mospërputhje nënshkrimi, rreshti që është vërtet i gabuar pothuajse kurrë nuk është i pari.
Zgjidhni rastin e vjetër pa dobësuar PKI-në
Një koleg më i vjetër mund të ofrojë vetëm një skemë që politika juaj nuk e lejon më. Zgjedhjet janë një përjashtim përputhshmërie me afat, një përditësim i klientit, ose një rregullim tjetër vërtetimi vetëm për atë koleg. Rindërtimi i PKI-së rreth një nënshkrimi më të dobët certifikate nuk e rregullon një kufizim në shkëmbimin në linjë dhe dobëson çdo shërbim tjetër që i beson të njëjtës CA. Shënoni cilin rresht ndryshuat dhe kur skadon përjashtimi.
Pastaj ekzekutoni përsëri dy leximet nga fillimi, sepse një ndryshim në një rresht mund të zhvendosë atë që negociohet në një tjetër. I gjithë inventari është dy komanda dhe një tabelë, dhe është i njëjti punë nëse kolegu është ruter, laptop apo pajisje.