பழைய P12 OpenSSL 3 இல் தோல்வியடைகிறது: தவறான கடவுச்சொல்லா அல்லது பழைய மறையீட்டுமுறையா?
OpenSSL 3 திறக்க மறுக்கும் பழைய RC2 தொகுப்பிலிருந்து தவறாக தட்டச்சு செய்த கடவுச்சொற்றொடரை வேறுபடுத்தி, விசைப் பாதுகாப்பை நீக்காமல் கோப்பை மீண்டும் முத்திரையிடுங்கள்.
இறக்குமதி உரையாடல் உங்கள் கடவுச்சொல்லை எடுத்து, சிறிது நேரம் சுழன்று, பின்னர் தொகுப்பைப் படிக்க முடியாது என்று கூறுகிறது. நீங்கள் கடவுச்சொற்றொடரை தவறாகத் தட்டச்சு செய்தீர்களா அல்லது வாடிக்கையாளர் இனி வழங்காத மறையீட்டுமுறையால் கோப்பு முத்திரையிடப்பட்டதா என்பதை அந்தச் செய்தி எதுவும் கூறவில்லை. இவை வெவ்வேறு தோல்விகள், வெவ்வேறு திருத்தங்கள், தவறான தேர்வு வாடிக்கையாளரைத் தாழ்த்துவதற்கு வழிவகுக்கும், அது முடிவைத் தாமதப்படுத்துகிறது. வாடிக்கையாளர் எந்த நிலையில் நிற்கிறது என்பதைப் பார்ப்பது அவற்றை சுமார் ஒரு நிமிடத்தில் பிரிக்கிறது.
உரையாடலுக்கும் சான்றிதழ் பட்டியலுக்கும் இடையே என்ன நடக்கிறது
.p12 கோப்பு ஒரு கொள்கலன், சான்றிதழ் அல்ல. உள்ளே ஒன்று அல்லது அதற்கு மேற்பட்ட சான்றிதழ் பைகளும், உங்கள் கடவுச்சொல்லிலிருந்து பெறப்பட்ட விசையால் மறையாக்கப்பட்ட தனிப்பட்ட விசைப் பையும், முழுக் கோப்பின் மீதான MAC எனப்படும் ஒருமைப்பாட்டுச் சரிபார்ப்பும் உள்ளன. அதைத் திறப்பது என்பது அந்த MAC ஐச் சரிபார்த்து, விசைப் பையை மறையாக்கம் நீக்கி, சான்றிதழை வெளிவரும் விசையுடன் பொருத்துவதாகும்.
கடவுச்சொல் சிக்கல் MAC நிலையில் வருகிறது. மறையீட்டுமுறை சிக்கல் பின்னர் வருகிறது, விசைப் பை திறக்கப்பட வேண்டியிருக்கும் போது, திறக்கும் கட்டுமானத்தில் கோப்பில் பெயரிடப்பட்ட படிமுறையின் செயலாக்கம் இல்லாதபோது.
இரண்டாவது நிலை இன்றைய அமைப்புகளில் பொதுவானது, ஏனெனில் OpenSSL 3 பழைய படிமுறைகளின் குழுவை விருப்பத் தேர்வான legacy provider க்கு நகர்த்தியது. OpenSSL 1.x ஏற்றுமதி செய்த தொகுப்புகள் பொதுவாக சான்றிதழ்களை 40-பிட் RC2 ஆலும், தனிப்பட்ட விசையை மூன்று விசை Triple DES ஆலும் முத்திரையிட்டன. இயல்புநிலை OpenSSL 3 கட்டுமானம் இன்னும் சரியான கடவுச்சொல்லுடன் MAC ஐச் சரிபார்த்து பின்னர் பையில் தோல்வியடைகிறது, எனவே கடவுச்சொல் ஒருபோதும் தவறாக இருந்ததில்லை, மீண்டும் தட்டச்சு செய்வது எதையும் மாற்றாது.
விசையை வெளியே எழுதாமல் கொள்கலனைப் படியுங்கள்
உங்கள் இயந்திரத்தில் உள்ள OpenSSL கட்டுமானத்தை கோப்பைப் பகுப்பாய்வு செய்து அது எங்கு விட்டுக்கொடுக்கிறது என்பதைப் படிக்கச் சொல்லுங்கள். வெளியீட்டு கோப்பு இல்லாத பரிசோதனை விசையை வட்டில் மறையாக்கப்பட்டதாகவே விடுகிறது, பகிரப்பட்ட புரவலனில் இந்தப் படி பாதுகாப்பானதற்கு அதுவே ஒரே காரணம்.
openssl pkcs12 -in vpn-identity.p12 -info -nooutசரியான கடவுச்சொல்லுடன் கூடிய பழைய தொகுப்பில் இது பையின் பண்புகளை அச்சிட்டு பின்னர் digital envelope routines::unsupported உடன் நிற்கிறது. தவறான கடவுச்சொல்லுடன் எந்தப் பையும் படிக்கப்படுவதற்கு முன்பே Mac verify error: invalid password? கிடைக்கும். இரண்டு செய்திகளும் எதிர் திசைகளைக் காட்டுகின்றன, வாடிக்கையாளர் மறைத்த தகவல் அதுவே.
தோல்வி ஆதரிக்கப்படாத படிமுறையின் தோல்வியாக இருந்தால், அதே கட்டளையை -legacy சேர்த்து வேறு எதையும் மாற்றாமல் மீண்டும் இயக்குங்கள். அந்தக் கொடி legacy provider ஐ அந்த ஒரு செயல்முறைக்கு மட்டுமே ஏற்றுகிறது. இது VPN வாடிக்கையாளரைப் பழைய தொகுப்புகளைப் பகுப்பாய்வு செய்ய வற்புறுத்தாது, முழு அமைப்பின் மறையாக்கக் கொள்கையைத் தொடாது, கோப்பு இன்னும் மாற்றப்பட வேண்டியிருப்பதால் இது பழுதுநீக்கம் அல்ல, அளவீடு.
எந்தப் பிழை எந்த நிலை
ஒரு சிறிய அட்டவணை மூன்று விளைவுகளையும் தனித்தனியாக வைத்திருக்கிறது, உரையாடல் எங்கு தோன்றியது என்பதை விட வார்த்தைகளே முக்கியம்.
| Text you see | Stage | What it tells you |
|---|---|---|
Mac verify error: invalid password? | Integrity check | Passphrase or cached credential, not the cipher |
digital envelope routines::unsupported | Bag decrypt | Algorithm missing from the default provider |
not enough data / header too long | Container format | Wrong encoding, edited file, or truncated download |
not enough data அல்லது header too long போன்ற உரை முதல் இரண்டு குழுக்களில் எதிலும் சேராது. இது வடிவச் சிக்கல்: .pem எனப் பெயர் மாற்றப்பட்ட DER கோப்பு, வரி முடிவுகளை மீண்டும் எழுதிய தொகுப்பியால் சேதமடைந்த நகல், அல்லது முழுமையற்ற பதிவிறக்கம். மறையீட்டுமுறைகளைப் பார்ப்பதற்கு முன் வழங்குநர் அனுப்பிய செக்சம்முடன் ஒப்பிடுங்கள்.
Mac verify error ஐ கடவுச்சொல் பற்றிய சான்றாக மட்டும் கருதுங்கள். நீங்கள் தட்டச்சு செய்ததிலிருந்து கணக்கிடப்பட்ட MAC சேமிக்கப்பட்ட மதிப்புடன் பொருந்தவில்லை என்று அர்த்தம், இது தட்டச்சுப் பிழை, முந்தைய இறக்குமதியிலிருந்து தற்காலிகச் சேமிப்பில் உள்ள கடவுச்சொல், அல்லது வேறு கடவுச்சொற்றொடரின் கீழ் மீண்டும் ஏற்றுமதி செய்யப்பட்ட கோப்பு ஆகியவற்றால் நிகழும். உள்ளே உள்ள படிமுறைகள் பழையவையா என்பதைப் பற்றி எதுவும் கூறவில்லை.
வாடிக்கையாளர் உண்மையில் திறக்கக்கூடிய தொகுப்பை உருவாக்குங்கள்
legacy பகுப்பாய்வி கோப்பு நலமென உறுதிப்படுத்தியதும், நீடித்த தீர்வு இலக்கு வாடிக்கையாளர் ஆதரிக்கும் படிமுறைகளைக் கொண்ட மாற்றீடு: விசை மற்றும் சான்றிதழ் பைகளுக்கு AES-256-CBC, வழிப்பிறப்புக்கு SHA-256 உடன் PBKDF2, MAC க்கு SHA-256. உங்கள் PKI நிர்வாகி அதை அதே விசைப் பொருளிலிருந்து ஏற்றுமதி செய்யலாம், உள்ளே உள்ள சான்றிதழ் உங்கள் சேவையகங்கள் ஏற்கனவே நம்பும் சான்றிதழாகவே இருக்கும்.
உள்ளூரில் மாற்ற வேண்டியிருந்தால், பைகளை முதலில் கொட்டுவதற்குப் பதிலாக மீண்டும் முத்திரையிட pkcs12 கருவியைக் கேளுங்கள். இரண்டு கடவுச்சொற்றொடர்களையும் கோப்பிலிருந்து படித்து உங்கள் ஷெல் வரலாற்றிலிருந்து விலக்குங்கள்.
openssl pkcs12 -in vpn-identity.p12 -out vpn-identity-aes.p12 \
-keypbe AES-256-CBC -certpbe AES-256-CBC -macalg sha256 \
-passin file:old.pass -passout file:new.passவெற்றிகரமான மாற்றம் காலாவதி, விசைப் பயன்பாடு, தனிப்பட்ட விசைப் பொருத்தம் அல்லது சேவையகம் வழங்குநர் சங்கிலியை நம்புகிறதா என்பது பற்றி எதுவும் கூறாது. மீண்டும் பொதிவது போக்குவரத்து மாற்றம், புதுப்பித்தல் அல்ல, அவை ஒவ்வொன்றுக்கும் அதன் சொந்தச் சரிபார்ப்பு இன்னும் தேவை.
வாடிக்கையாளர் கோப்பை ஏற்றுக்கொண்டது என்பதற்காக மட்டும் பாதுகாப்பற்ற இடைநிலை விசையை எழுதும் அல்லது காலியான வெளியீட்டுக் கடவுச்சொல்லை வைக்கும் எந்தச் செய்முறையையும் தவிர்க்கவும். பாதுகாப்பு நீக்கப்பட்ட படிக்கக்கூடிய தொகுப்பு நீங்கள் தொடங்கிய இறக்குமதித் தோல்வியை விட மோசமான விளைவு.
நீங்கள் உருவாக்கிய கோப்பை வாடிக்கையாளர் இறக்குமதி செய்ததை உறுதிப்படுத்துங்கள்
முனையத்தில் தூய்மையான பகுப்பாய்வு கொள்கலன் செல்லுபடியானது என்பதை நிரூபிக்கிறது. வாடிக்கையாளர் அதைத் தேர்ந்தெடுத்தது என்பதை நிரூபிக்கவில்லை, ஏனெனில் எஞ்சிய சுயவிவரம் பழைய கோப்பைத் தொடர்ந்து சுட்டிக்காட்டலாம், சில வாடிக்கையாளர்கள் இறக்குமதி செய்த அடையாளத்தை நீங்கள் தேர்ந்தெடுக்காத பெயரில் தற்காலிகச் சேமிப்பில் வைக்கின்றனர்.
நீங்கள் இறக்குமதி செய்யப்போகும் அடையாளத்தை அச்சிட்டு, வாடிக்கையாளர் அதன் சான்றிதழ் காட்சியில் காட்டுவதுடன் ஒப்பிடுங்கள்.
openssl pkcs12 -in vpn-identity-aes.p12 -clcerts -nokeys -passin file:new.pass \
| openssl x509 -noout -subject -dates -fingerprint -sha256முதலில் பழைய சுயவிவரப் பதிவை அகற்றி, பின்னர் இறக்குமதி செய்யுங்கள். வாடிக்கையாளர் ஏற்றிய பொருள் அல்லது விரல்ரேகையைப் பதிவு செய்தால், மேலே உள்ள வரியுடன் பொருத்துங்கள்; அது நட்புப் பெயரை மட்டும் காட்டினால், அதற்குப் பதிலாக காலாவதி தேதியைச் சரிபாருங்கள், ஏனெனில் அதை அதே வழங்குநரின் மற்றொரு சான்றிதழுடன் குழப்புவது கடினம்.
PKCS12 குறிப்பு இங்கு பயன்படுத்தப்பட்ட provider, கடவுச்சொற்றொடர் மற்றும் வெளியீட்டு விருப்பங்களைப் பட்டியலிடுகிறது. legacy provider ஐ வாடிக்கையாளர் சூழலுக்கு வெளியே வைப்பதே முக்கியம்: அதனுடன் அளவிடுங்கள், அது இல்லாமல் வழங்குங்கள், தனிப்பட்ட விசையை வட்டில் பாதுகாக்கப்பட்டதாக விடுங்கள்.