Kunakili cheti cha VPN hakunakili ufunguo

Mwongozo huu unaanza kwenye orodha ya vyeti vya mteja, ambapo ingizo linaonyesha jina, mtoaji na tarehe ya kuisha na hakuna kingine. Lihamishe, liingize kwenye kifaa cha pili, na muunganisho unakataliwa kwa sababu mteja hawezi kuthibitisha kuwa anamiliki ufunguo wa faragha. Faili ilinakiliwa kikamilifu; kosa ni kutarajia cheti kubeba ufunguo wake yenyewe. Soma kidirisha cha hamisha kabla ya kuchagua umbizo, kisha ukague faili uliyopokea kwa kweli.

Mibofyo miwili, vitu viwili tofauti kabisa.

Soma kidirisha cha hamisha, sio kiendelezi cha faili

Hamisha ya cheti cha DER au PEM huwa na ufunguo wa umma na madai ya utambulisho yaliyosainiwa, ambayo ni yale ambayo seva inahitaji ili kukuamini na ambayo mteja anahitaji ili kuthibitisha seva. Kifurushi cha PKCS#12 ni chombo kinachoweza kubeba cheti, mnyororo wake na ufunguo wa faragha unaolingana, ukilindwa kwa nenosiri, ingawa kinaweza kuundwa bila ufunguo pia.

PEM ni usimbaji wa maandishi tu, sio ahadi kuhusu yaliyomo. Kiendelezi kimoja kinaweza kueleza cheti kimoja au faili yenye vitalu kadhaa vyenye lebo, na chaguo za hamisha huamua kipi.

Kwa hiyo swali la maana kamwe si kiendelezi gani ulipata, bali ni vitalu gani vilivyo kwenye faili. Kifurushi kilichohamishwa bila ufunguo wake bado ni kifurushi. Kagua yaliyomo badala ya umaarufu wa umbizo.

Kagua ulichopata kwa kweli

Tafuta lebo kabla ya kuingiza kitu chochote, kisha soma sehemu za cheti ili kuthibitisha ni utambulisho upi unaoushika. Endesha ukaguzi kwenye faili ambayo itaingizwa kwa kweli. Yarejee baada ya kila uhamishaji mpya, kwa sababu chaguo zinaweza kutofautiana.

grep -E 'BEGIN (CERTIFICATE|PRIVATE KEY|ENCRYPTED PRIVATE KEY)' bundle.pem
openssl x509 -in client.crt -noout -subject -issuer -dates
openssl pkey -in client.key -noout -text | head -5
openssl pkcs12 -info -in client.p12 -noout

Uhamishaji wenye kizuizi cha cheti pekee ni kitu cha umma na hauwezi kuthibitisha. Kizuizi cha ufunguo bila cheti kinakuacha bila mnyororo ambao seva inautarajia. Matokeo ya taarifa ya PKCS#12 pia huripoti kama ufunguo upo, jambo ambalo hutatua swali kwa umbizo hilo. Pia hutaja algoriti na ukubwa wa ufunguo, na hushindwa kabisa pale ambapo hakuna ufunguo.

Kamwe usibandike faili yenye ufunguo wa faragha kwenye mjadala wa usaidizi, kifuatiliaji cha masuala au gumzo, hata linapofanana na cheti ulichokuwa ukishiriki. Picha za skrini za paneli ya ufunguo zinastahili tahadhari hiyo hiyo.

Ufunguo unaweza kuishi mahali usipoweza kunakili

Kwenye vifaa vinavyosimamiwa ufunguo wa faragha unaweza kuwa kwenye mnyororo wa funguo wa mfumo wa uendeshaji, tokeni ya maunzi au enklave salama, huku sera ikiuweka kuwa usioweza kuhamishwa. Kidhibiti cha vyeti basi huonyesha kitu cha umma wakati siri inabaki mahali pake, na hakuna amri ya uhamishaji itakayozalisha nakala inayobebeka. Usajili kupitia usimamizi wa vifaa vya mkononi mara nyingi hufanya kazi hivyo kwa muundo.

Hiyo ni kizuizi cha udhibiti, sio kikwazo cha kukwepa. Kuunda upya ufunguo wa faragha kutoka kwa cheti cha umma hakuwezekani, na chombo chochote kinachodai hivyo kinafanya kitu kingine.

Sajili utambulisho mpya badala ya kunakili

Njia inayoungwa mkono kwa kawaida ni kusajili utambulisho tofauti kwa kifaa kipya na kubatilisha ule wa zamani unapostaafu, ili kila kifaa kiweze kuondolewa kwa kujitegemea. Pale ambapo uhamishaji wenye ufunguo umeidhinishwa kwa kweli, shughulikia faili inayotokana na nenosiri lake kama vitambulisho: vimesimbwa vikiwa vimepumzika, vimehamishwa kupitia njia inayoaminika, na vimefutwa usajili ukikamilika.

Thibitisha kwa kujithibitisha kwa utambulisho ulioingizwa, sio kwa kuangalia kuwa uingizaji umefanikiwa. Mteja anayekubali cheti cha umma kwenye hifadhi yake hakuthibitisha chochote kuhusu ufunguo.

Maliza kwa kuthibitisha kuwa seva inakubali utambulisho mpya na kwamba ule wa zamani bado unajiendesha kama sera inavyokusudia. Hivyo mwongozo unakamilika kwa ushahidi, sio kwa faili inayoonekana kuwa sahihi.