IKEv2 ina sahihi mbili: cheti na IKE_AUTH
CA husaini cheti, na mwenzake husaini mabadilishano yake ya IKE_AUTH kwa mpango wake mwenyewe. Soma kila moja kutoka sehemu yake, kisha andika zote mbili.
Tikiti yako inasema cheti ni SHA-256 wakati kumbukumbu ya lango inataja algoriti nyingine ya sahihi, na mtu amekwisha andaa ombi la kutoa CA tena. Kabla ombi hilo halijaenda popote, tenganisha sahihi mbili: moja ni muhuri wa mtoaji juu ya ufunguo wa umma, nyingine ni uthibitisho wa mwenzake kwamba ana ufunguo wa faragha unaolingana wakati wa IKE_AUTH. Vipengele tofauti huzichagua, na inaruhusiwa zitofautiane. Kusoma kila moja mahali inapoishi kunahitaji amri mbili na jedwali moja.
Soma sahihi ya mtoaji kutoka kwenye cheti
CA huweka sahihi yake juu ya kiunganisho kati ya utambulisho na ufunguo. Sahihi hiyo hurekodi kile CA ilifanya wakati wa utoaji, si kile mhusika atakachofanya akijiunga, kwa hiyo algoriti yake inaeleza uchaguzi wa hash na ufunguo wa CA mwenyewe. Ufunguo wa mhusika wa aina moja unaweza kuwa chini ya ufunguo wa CA wa aina nyingine bila upinzani wowote, na kuzungusha ufunguo wa CA ni kawaida si hitilafu. Soma sehemu mbili na una nusu ya orodha:
openssl x509 -in peer.pem -noout -text | grep -E "Signature Algorithm|Public Key Algorithm"Andika lebo zote mbili kama maingizo tofauti. Ya kwanza inaeleza CA, ya pili inaeleza ufunguo wa mhusika, na hakuna inayotabiri sahihi ya mtandaoni.
Soma sahihi ya mtandaoni kutoka kwenye mabadilishano ya IKE
Wakati wa uthibitishaji kila mwenzake husaini data ya mabadilishano kwa ufunguo wake wa faragha, na upande mwingine hukagua uthibitisho huo dhidi ya utambulisho wa cheti, mnyororo wa uaminifu na sera. Katika RSA ujazaji na hash ni vya mpango huu wa mtandaoni, kwa hiyo ufunguo mrefu au cheti kipya cha SHA-256 hakiwezi kuchagua RSA-PSS yenyewe kwa sahihi ya uthibitishaji. Njia iliyojadiliwa huonekana kwenye kumbukumbu ya daemon au kwenye orodha yake ya miunganisho, kamwe si kwenye cheti. Uliza kila upande kile kilichojadiliwa, kwa sababu mielekeo miwili inaweza kutofautiana.
ipsec statusall | grep -i "auth\|proposal"Upande mmoja unapotaja mpango ambao mwingine hawezi kuuzalisha, umepata ule usiolingana ambao tikiti ilikuwa juu yake. Kutoa CA tena ni matengenezo yasiyofaa kwa hilo, kwa sababu cheti hakikuwa kamwe kile kilichoshindikana.
RFC 7427 inabadilisha nini, na nini haiendi
Njia za awali zimepewa nambari kwa kila mchanganyiko wa algoriti katika RFC 7296. Upanuzi wa sahihi wa RFC 7427 wa baadaye unaongeza njia ya jumla ya Digital Signature pamoja na ishara ya msaada wa hash ya sahihi, kwa hiyo hash mpya haihitaji tena nambari yake ya njia. Hili linajadiliwa, halidhaniwi: mwenzake hapati upanuzi kwa sababu maktaba yake inaweza kuchambua vyeti vile vile, na mwenzake anayetekeleza njia za awali pekee humlazimisha lango kubakiza moja yao. Hiyo ni biashara ya sera yenye gharama ya upatani, si kasoro.
Msaada ni kwa kila mwelekeo na kila muunganisho, kwa hiyo jaribu ujenzi ulio mbele yako badala ya kutegemea dai la ngazi ya familia. Matrix ya uwezo iliyoandikwa miaka mitatu iliyopita inaeleza ujenzi wa miaka mitatu.
Weka mistari minne kwenye orodha
Rekodi inayomaliza mjadala ina mistari minne, kila mmoja umesomwa mahali tofauti na kila mmoja umebadilishwa na mtu tofauti. Ijaze kabla ya kuamua chochote, kwa sababu mstari usio sahihi ndio huchagua matengenezo.
| Kitu | Wapi husomwa | Nani huubadilisha |
|---|---|---|
| sahihi ya mtoaji wa cheti | sehemu ya Signature Algorithm ya cheti | mwendeshaji wa CA, wakati wa utoaji |
| ufunguo wa umma wa mhusika | sehemu ya Public Key Algorithm ya cheti | yeyote anayezalisha ufunguo wa mhusika |
| mpango wa uthibitishaji wa IKE | kumbukumbu ya daemon au orodha ya miunganisho, taarifa ya auth na signature-hash | wasifu wa IKE kwa wenzake wote wawili |
| algoriti za ulinzi wa IKE na ESP | orodha ya mapendekezo ya muunganisho | wasifu wa IPsec, kwa mwelekeo |
Kila mstari hubeba athari yake ya upatani. Mabadiliko ya cipher ya ESP hayachagui sahihi ya mtoaji, na kulegeza uthibitishaji wa CA hakuongezi njia ya mtandaoni ambayo wenzake hawakuwahi kuijadili. Tikiti inapodai kutokulingana kwa sahihi, mstari ambao kwa kweli si sahihi karibu kamwe si wa kwanza.
Tatua kesi ya zamani bila kudhoofisha PKI
Mwenzake wa zamani anaweza kutoa mpango ambao sera yako hairuhusu tena. Chaguo ni msamaha wa upatani wenye kikomo cha muda, sasisho la mteja, au mpangilio tofauti wa uthibitishaji kwa mwenzake huyo pekee. Kujenga upya PKI kuzunguka sahihi dhaifu ya cheti hakurekebishi kikomo katika mabadilishano ya mtandaoni na hudhoofisha kila huduma nyingine inayoamini CA hiyo hiyo. Andika mstari ulioubadiIisha na msamaha unaoisha lini.
Kisha endesha tena usomaji wote wawili kutoka juu, kwa sababu mabadiliko katika mstari mmoja yanaweza kuhamisha kile kinachojadiliwa katika mwingine. Orodha yote ni amri mbili na jedwali moja, na ni kazi hiyo hiyo iwe mwenzake ni kipanga njia, kompyuta ya mkononi au kifaa.