strongSwan: aina ya ufunguo, kipakiaji na backend isiyo sahihi

PEM ni kontena, si aina ya ufunguo. Linganisha ufunguo wa umma wa cheti na ule wa faragha, kisha uupakie kupitia backend inayouisoma kweli.

Viendelezi vya faili havitambui algoriti za funguo, na bahasha ya .pem inaweza kuwa na nyenzo za RSA au ECDSA. PEM inaeleza jinsi baiti zinavyofungwa, wakati RSA na ECDSA zinataja algoriti tofauti, na faili ya PKCS12 ni kitu cha tatu. strongSwan hupakia vitambulisho kupitia programu jalizi na backend ya usanidi, kwa hivyo cheti kinaweza kuonekana kwenye orodha wakati ufunguo wa faragha hauwezi kuwa unaotumika kamwe. Tenganisha tabaka hizo kabla ya kuhariri siri yoyote.

Usimbaji, algoriti na ufungashaji ni tabaka tatu

Faili ya ufunguo ina usimbaji, algoriti na mara nyingi kontena. PEM ni bahasha inayojulikana ya base64; DER ni mwenzake wa binary; PKCS12 huunganisha cheti na ufunguo wake na mnyororo wake. Faili ya mnyororo wa vyeti ni kontena lingine, na kwa kawaida haina ufunguo wowote wa faragha. Hakuna lebo hizo inayosema kama nyenzo iliyo ndani ni RSA au ECDSA.

Soma algoriti kutoka kwa kitu chenyewe. Jina la masoko la mtoa huduma au kiendelezi cha faili si uthibitisho, kwa sababu mtoaji huyo huyo anaweza kutoa aina tofauti za funguo.

Linganisha funguo za umma kabla ya kulaumu kipakiaji

Cheti kinachopakiwa kinathibitisha kuwa cheti kilichanganuliwa, si kwamba ufunguo wake wa faragha upo au unatumika. Toa ufunguo wa umma kutoka kwa cheti na kutoka kwa ufunguo wa faragha unaopendekezwa, kisha linganisha digest mbili. Iwapo uchimbaji wowote unashindikana, simama hapo, kwa sababu digest ya matokeo matupu haithibitishi chochote. Digest zinazolingana zinathibitisha kuwa jozi hiyo inahusiana, na si zaidi kuhusu kama cheti kinafaa kwa kazi hiyo.

openssl x509 -in server.crt -pubkey -noout |
    openssl pkey -pubin -outform DER |
    openssl dgst -sha256

openssl pkey -in server-key.pem -pubout -outform DER |
    openssl dgst -sha256

Amri ya pili inagusa nyenzo za faragha kwenye mashine yako lakini hutoa nusu ya umma tu. Iwe hivyo, na kamwe usibandike ufunguo wa faragha kwenye tiketi. Ikiwa ufunguo umesimbwa, acha zana inayotumika iombe nenosiri badala ya kuliweka kwenye mstari wa amri ambapo orodha ya michakato inaweza kulifichua.

ipsec.secrets za zamani au vitambulisho vya swanctl

strongSwan ina njia mbili za vitambulisho zinazotumika kwa kawaida. Rundo la starter la zamani husoma maingizo maalum kwa aina kutoka ipsec.secrets, na kila ingizo lazima litaje aina sahihi ya nyenzo. Rundo la swanctl na vici hupakia funguo kutoka kwenye saraka yake ya vitambulisho kupitia usanidi wake. Kuhariri faili ambalo backend inayoendesha haisomi hakubadilishi chochote.

: ECDSA "/etc/ipsec.d/private/server-key.pem"

Gundua ni backend ipi inayoendesha kweli, kisha weka ufunguo mahali backend hiyo inatazama. mwongozo wa zamani wa strongSwan 5.9 hufafanua maingizo ya siri maalum kwa aina, na hii si nyaraka za swanctl. Kuchanganya mawili huzalisha daemon inayopuuza faili ambalo msimamizi analiona kuwa lenye mamlaka. Upakiaji upya usioripoti hitilafu unamaanisha tu kuwa usanidi ulichanganuliwa.

Soma tukio la upakiaji na matokeo ya uthibitishaji

Baada ya upakiaji upya uliodhibitiwa, soma matokeo ya upakiaji ya daemon yenyewe kwa ufunguo mahususi. Cheti kilichoorodheshwa kwenye dampo la hali hakionyeshi kuwa ufunguo wa faragha ulilinganishwa nacho.

Ikiwa mteja bado anashindikana, tenga tukio la seva na hitilafu ya mteja. Uthibitishaji wa mnyororo, ulinganifu wa utambulisho na upatanifu wa mbinu ni maswali ya baadaye yenye ushahidi wake. Andika matokeo pamoja na njia kamili ya ufunguo na digest uliyolinganisha, kwa sababu vinginevyo zamu inayofuata itarudia upakiaji upya huo. Kubadilisha CA si jibu la kwanza kwa kutolingana kwa kipakiaji.

Makala zinazohusiana