Hamisha vyeti kutoka P12 bila ufunguo wa faragha

Tiketi ya msaada inauliza ni cheti kipi kilicho ndani ya kifurushi cha VPN, na msukumo wa kwanza ni kuhamisha kila kitu na kukiambatanisha. Faili ya P12 hufunga vyeti na nyenzo za ufunguo wa faragha katika chombo kimoja, kwa hiyo kuhamisha kila kitu ndiyo hasa usichopaswa kutuma. Amri inayojibu swali ni tatizo la uchaguzi, si tatizo la ubadilishaji. Bendera nne huamua nusu ipi ya chombo utapata, na mbili kati yao zinasikika salama kuliko zilivyo.

Anza kwa kusoma chombo badala ya kukimwaga.

Faili ya PKCS12 hubeba nini hasa

Chombo cha PKCS12 hushikilia cheti kimoja au zaidi, huenda ufunguo wa faragha, na message authentication code juu ya yaliyomo. Vyeti vinaweza kujumuisha cheti cha jani la utambulisho wako wa mteja na vyeti vya kati vinavyounganisha na CA. Ufunguo, ukiwepo, ndio unaofanya faili kuwa siri badala ya hati.

Tofauti hiyo ndiyo sababu -nokeys ipo na sababu ni bendera hiyo ambayo kazi hii inahitaji.

Soma kifurushi bila kuandika ufunguo

Fomu ya ukaguzi huchapisha muundo na maelezo ya algoriti na haandiki chochote: openssl pkcs12 -in client.p12 -info -noout. Inaomba nenosiri la uingizaji, ambalo ni mahali sahihi kwa thamani hiyo, na inakuambia kama faili ina ufunguo hata kidogo. Tumia -passin env:PKCS12_PASS wakati nenosiri haliwezi kuandikwa, kwa sababu nenosiri ndani ya amri ya shell ni nenosiri katika orodha ya michakato. Hatua hii haihamishi chochote, na ndio maana yote.

Soma matokeo kwa mambo matatu: vyeti vingapi, kama ufunguo upo, na algoriti zipi zinaulinda.

Tumia -nokeys, na usiichanganye na -nocerts

-nokeys huondoa funguo za faragha na huacha vyeti. -clcerts hupunguza hilo kwa vyeti vya mteja, -cacerts hupunguza kwa vyeti vya CA, na hizo mbili ni vichujio si njia mbadala. -nocerts husomwa kama tahajia salama ya wazo hilohilo na humaanisha kinyume: hakuna vyeti, hilo huacha funguo tu. Kuichanganya katika uhamishaji wa vyeti ndio jinsi ufunguo wa faragha unavyoishia kwenye diski.

Fomu ya mistari miwili inayozalisha faili ya vyeti na faili ya CA, na hakuna kingine, ni:

openssl pkcs12 -in client.p12 -nokeys -clcerts -out client-certificates.pem
openssl pkcs12 -in client.p12 -nokeys -cacerts -out ca-certificates.pem

Vifurushi vya zamani vinahitaji -legacy kwenye OpenSSL 3 ili kusoma usimbaji fiche wake wa zamani, na bendera hiyo hubadilisha kile kichanganuzi kinachokubali, si kile inachotoa. Ikiwa uchanganuzi unashindikana na hitilafu kuhusu algoriti isiyotumika, kuongeza -legacy ni hatua ya kwanza sahihi na kuruka ukaguzi wa MAC siyo.

Kagua matokeo, si msimbo wa kutoka

Hali ya kutoka sifuri inasema amri ilifanya kazi, si kwamba faili ina kile unachotarajia. Hesabu vyeti kwenye matokeo na soma subject na tarehe: openssl x509 -in client-certificates.pem -noout -subject -dates -fingerprint. Linganisha alama ya kidole na ile ambayo timu ya msaada inatarajia, kwa sababu kifurushi kilicho na vyeti viwili vya mteja huzalisha faili yenye vitalu viwili na zana nyingi husoma cha kwanza tu. Kusudi, uaminifu na ulinganifu wa ufunguo ni majaribio tofauti tena.

Cheti kinachoweza kuchanganuliwa ni cheti kinachoweza kuchanganuliwa. Si cheti ambacho VPN inakubali.

Amua kama unahitaji faili kabisa

Ikiwa mteja anayepokea anaingiza PKCS12 moja kwa moja, kutuma kifurushi asili kupitia njia iliyoidhinishwa huku nenosiri likiwa tofauti ni rahisi zaidi na huhifadhi ulinzi. Uchimbaji ni kwa ukaguzi, kwa mteja anayehitaji PEM, au kwa kesi ya msaada iliyoomba kipengele maalum. Kila uchimbaji huondoa tabaka moja na unapaswa kuwa na sababu.

Vyeti vya umma havina ufunguo wa faragha, lakini vina majina na maelezo ya shirika. Shiriki sehemu ambazo tiketi iliomba badala ya faili, isipokuwa faili ndiyo iliyoombwa.