IKEv2 இல் இரண்டு கையொப்பங்கள் உள்ளன: சான்றிதழ் மற்றும் IKE_AUTH
CA சான்றிதழில் கையொப்பமிடுகிறது, சகாவும் தனது சொந்த திட்டத்தால் தனது IKE_AUTH பரிமாற்றத்தில் கையொப்பமிடுகிறது. ஒவ்வொன்றையும் அதன் சொந்த புலத்திலிருந்து படித்து, இரண்டையும் பதிவு செய்யுங்கள்.
சான்றிதழ் SHA-256 என்று உங்கள் டிக்கெட் கூறுகிறது, ஆனால் நுழைவாயில் பதிவு வேறு கையொப்ப அல்காரிதத்தைக் குறிப்பிடுகிறது, மேலும் யாரோ ஏற்கனவே CA ஐ மீண்டும் வெளியிட கோரிக்கையைத் தயாரித்துள்ளார். அந்தக் கோரிக்கை எங்கும் செல்லும் முன் இரண்டு கையொப்பங்களையும் பிரிக்கவும்: ஒன்று பொது விசையின் மீது வழங்குநரின் முத்திரை, மற்றொன்று IKE_AUTH நேரத்தில் சகாவிடம் பொருந்தும் தனிச்சாவி உள்ளது என்பதற்கான சான்று. வெவ்வேறு கூறுகள் அவற்றைத் தேர்ந்தெடுக்கின்றன, அவை வேறுபட அனுமதிக்கப்படுகிறது. ஒவ்வொன்றையும் அது வாழும் இடத்திலிருந்து படிக்க இரண்டு கட்டளைகளும் ஒரு அட்டவணையும் தேவை.
சான்றிதழிலிருந்து வழங்குநரின் கையொப்பத்தைப் படியுங்கள்
CA தனது கையொப்பத்தை ஒரு அடையாளத்திற்கும் விசைக்கும் இடையிலான பிணைப்பின் மீது வைக்கிறது. அந்தக் கையொப்பம் வழங்கும் நேரத்தில் CA என்ன செய்தது என்பதைப் பதிவு செய்கிறது, இணைக்கும்போது பொருள் என்ன செய்யும் என்பதை அல்ல, எனவே அதன் அல்காரிதம் CA இன் சொந்த ஹாஷ் மற்றும் விசைத் தேர்வை விவரிக்கிறது. ஒரு வகை பொருள் விசை எந்த முரண்பாடும் இல்லாமல் மற்றொரு வகை CA விசையின் கீழ் இருக்கலாம், CA விசை சுழற்சி குறைபாடு அல்ல, வழக்கமான வேலை. இரண்டு புலங்களையும் படியுங்கள், பட்டியலின் பாதி உங்களிடம் உள்ளது:
openssl x509 -in peer.pem -noout -text | grep -E "Signature Algorithm|Public Key Algorithm"இரண்டு லேபிள்களையும் தனித்தனி உள்ளீடுகளாக எழுதுங்கள். முதலாவது CA வை விவரிக்கிறது, இரண்டாவது பொருளின் விசையை விவரிக்கிறது, எதுவும் ஆன்லைன் கையொப்பத்தை முன்னறிவிக்கவில்லை.
IKE பரிமாற்றத்திலிருந்து ஆன்லைன் கையொப்பத்தைப் படியுங்கள்
அங்கீகாரத்தின் போது ஒவ்வொரு சகாவும் தனது சொந்த தனிச்சாவியால் பரிமாற்ற தரவைக் கையொப்பமிடுகிறது, மறுபக்கம் அந்தச் சான்றை சான்றிதழின் அடையாளம், நம்பிக்கைச் சங்கிலி மற்றும் கொள்கையுடன் ஒப்பிட்டுச் சரிபார்க்கிறது. RSA இல் இடைநிரப்பு மற்றும் ஹாஷ் இந்த ஆன்லைன் திட்டத்திற்கு உரியவை, எனவே நீண்ட விசையோ புதிய SHA-256 சான்றிதழோ அங்கீகாரக் கையொப்பத்திற்கு RSA-PSS ஐத் தானாகத் தேர்ந்தெடுக்க முடியாது. பேச்சுவார்த்தையில் தீர்மானிக்கப்பட்ட முறை டீமன் பதிவிலோ அதன் இணைப்புப் பட்டியலிலோ தோன்றும், சான்றிதழில் ஒருபோதும் தோன்றாது. ஒவ்வொரு பக்கமும் என்ன பேசியது என்று கேளுங்கள், ஏனெனில் இரு திசைகளும் வேறுபடலாம்.
ipsec statusall | grep -i "auth\|proposal"ஒரு பக்கம் மற்றொன்று உருவாக்க முடியாத திட்டத்தைக் குறிப்பிடும்போது, டிக்கெட் கூறிய அந்த முரண்பாட்டைக் கண்டுபிடித்தீர்கள். CA ஐ மீண்டும் வெளியிடுவது அதற்குத் தவறான சரிசெய்தல், ஏனெனில் தோல்வியடைந்தது சான்றிதழ் அல்ல.
RFC 7427 எதை மாற்றுகிறது, எதை மாற்றவில்லை
அசல் முறைகள் RFC 7296 இல் ஒவ்வொரு அல்காரிதம் கலவையின்படியும் எண்ணிடப்பட்டுள்ளன. பிந்தைய RFC 7427 கையொப்ப நீட்டிப்பு கையொப்ப-ஹாஷ் ஆதரவு சமிக்ஞையுடன் பொதுவான Digital Signature முறையைச் சேர்க்கிறது, எனவே புதிய ஹாஷுக்கு அதன் சொந்த முறை எண் தேவையில்லை. இது பேச்சுவார்த்தையால் தீர்மானிக்கப்படுகிறது, ஊகிக்கப்படுவதில்லை: சகாவின் நூலகம் அதே சான்றிதழ்களைப் பகுப்பாய்வு செய்ய முடியும் என்பதால் நீட்டிப்பைப் பெறாது, அசல் முறைகளை மட்டுமே செயல்படுத்தும் சகா நுழைவாயிலை அவற்றில் ஒன்றை வைத்திருக்கக் கட்டாயப்படுத்துகிறது. இது இணக்கச் செலவுடன் கூடிய கொள்கை பரிமாற்றம், குறைபாடு அல்ல.
ஆதரவு ஒவ்வொரு திசைக்கும் ஒவ்வொரு இணைப்பிற்கும் உண்டு, எனவே குடும்ப அளவிலான கூற்றை நம்புவதற்குப் பதிலாக உங்கள் முன் உள்ள கட்டமைப்பைச் சோதியுங்கள். மூன்று ஆண்டுகளுக்கு முன் எழுதப்பட்ட திறன் அணி மூன்று ஆண்டுப் பழைய கட்டமைப்புகளை விவரிக்கிறது.
பட்டியலில் நான்கு வரிகளை இடுங்கள்
விவாதத்தை முடிக்கும் பதிவில் நான்கு வரிகள் உள்ளன, ஒவ்வொன்றும் வெவ்வேறு இடத்திலிருந்து படிக்கப்பட்டு ஒவ்வொன்றும் வெவ்வேறு நபரால் மாற்றப்பட்டது. எதையும் முடிவு செய்வதற்கு முன் அதை நிரப்புங்கள், ஏனெனில் தவறான வரியே சரிசெய்தலைத் தேர்ந்தெடுக்கிறது.
| பொருள் | எங்கிருந்து படிக்க வேண்டும் | யார் மாற்றுகிறார் |
|---|---|---|
| சான்றிதழ் வழங்குநரின் கையொப்பம் | சான்றிதழின் Signature Algorithm புலம் | CA இயக்குபவர், வழங்கும் நேரத்தில் |
| பொருளின் பொது விசை | சான்றிதழின் Public Key Algorithm புலம் | பொருள் விசையை உருவாக்குபவர் |
| IKE அங்கீகாரத் திட்டம் | டீமன் பதிவு அல்லது இணைப்புப் பட்டியல், auth மற்றும் signature-hash அறிவிப்பு | இரு சகாக்களிலும் IKE சுயவிவரம் |
| IKE மற்றும் ESP பாதுகாப்பு அல்காரிதங்கள் | இணைப்பின் முன்மொழிவுப் பட்டியல் | IPsec சுயவிவரம், திசைவாரியாக |
ஒவ்வொரு வரியும் அதன் சொந்த இணக்க விளைவைக் கொண்டுள்ளது. ESP சைஃபர் மாற்றம் வழங்குநரின் கையொப்பத்தைத் தேர்ந்தெடுக்காது, CA சரிபார்ப்பைத் தளர்த்துவது சகாக்கள் ஒருபோதும் பேசாத ஆன்லைன் முறையைச் சேர்க்காது. டிக்கெட் கையொப்ப முரண்பாட்டைக் கூறும்போது, உண்மையில் தவறான வரி கிட்டத்தட்ட ஒருபோதும் முதல் வரியாக இருக்காது.
PKI ஐ பலவீனப்படுத்தாமல் பழைய வழக்கைத் தீருங்கள்
பழைய சகா உங்கள் கொள்கை இனி அனுமதிக்காத திட்டத்தை மட்டுமே வழங்கக்கூடும். விருப்பங்கள் காலவரையறை கொண்ட இணக்க விதிவிலக்கு, வாடிக்கையாளர் புதுப்பிப்பு, அல்லது அந்தச் சகாவுக்கு மட்டும் வேறு அங்கீகார ஏற்பாடு. பலவீனமான சான்றிதழ் கையொப்பத்தைச் சுற்றி PKI ஐ மீண்டும் கட்டுவது ஆன்லைன் பரிமாற்றத்தின் வரம்பைச் சரிசெய்யாது, அதே CA ஐ நம்பும் மற்ற ஒவ்வொரு சேவையையும் பலவீனப்படுத்துகிறது. நீங்கள் எந்த வரியை மாற்றினீர்கள், விதிவிலக்கு எப்போது முடிவடையும் என்பதைப் பதிவு செய்யுங்கள்.
பின்னர் இரு படிப்புகளையும் மேலிருந்து மீண்டும் இயக்குங்கள், ஏனெனில் ஒரு வரியில் மாற்றம் மற்றொன்றில் பேசப்படுவதை நகர்த்தலாம். முழுப் பட்டியலும் இரண்டு கட்டளைகளும் ஒரு அட்டவணையும், சகா திசைவி, மடிக்கணினி அல்லது சாதனமாக இருந்தாலும் வேலை ஒன்றே.