VPN விசை கோப்பில் RSA இன் n, e, d, p மற்றும் q எங்கே உள்ளன
n, e, d, p மற்றும் q கோப்புப் பெயர்களில் அல்ல, ஒரே கட்டமைப்பின் உள்ளே உள்ளன. OpenSSL மூலம் RSA VPN விசையைப் படித்து, ரகசியங்களை அச்சிடாமல் அதை அதன் சான்றிதழுடன் இணைக்கவும்.
RSA விளக்கத்தில் உள்ள எழுத்துக்கள் ஒரு பொருளின் உள்ளேயுள்ள புலங்களைக் குறிக்கின்றன, PKI கருவி வழங்கும் கோப்புகளை அல்ல. தனிப்பட்ட விசைக் கோப்பு ஒரு கட்டமைப்பைக் கொண்டுள்ளது; அதன் முதல் புலங்கள் பொதுவானவை, பிந்தைய புலங்கள் சுரங்கப்பாதையை முடிக்கும் இயந்திரத்தை விட்டு ஒருபோதும் வெளியேறக்கூடாது. இந்த இரண்டு உண்மைகளுக்கு இடையே எந்தக் கோப்பு எந்தக் கேள்விக்குப் பதிலளிக்கிறது என்பது பற்றிய பெரும்பாலான நடைமுறைக் கேள்விகள் உள்ளன. இந்தக் கையேடு முதலில் கட்டமைப்பைப் படித்து, பின்னர் அதைக் கொட்டாமல் ஆய்வு செய்யும் கட்டளைகளைப் படிக்கிறது.
பகா எண்களைத் தேடும் முன் விசை RSA என்பதை உறுதிசெய்யவும்
சான்றிதழ் ஏதோ ஒரு விசை உள்ளது என்றும் அது கையொப்பமிடப்பட்டது என்றும் நிரூபிக்கிறது; விசை RSA என்று நிரூபிக்கவில்லை. அமைப்புகள் நீள்வட்ட வளைவுகள் அல்லது Ed25519 மீது கட்டப்படலாம், அதே கோப்பக அமைப்பு எல்லாவற்றுக்கும் சேவை செய்கிறது. ஒருபோதும் இல்லாத பகாக் காரணிகளைத் தேடத் தொடங்கும் முன் அல்காரிதத்தைச் சரிபார்க்கவும்.
இந்த மூன்று படிக்க-மட்டும் கட்டளைகள் கேள்விக்குப் பதிலளித்து கருவியின் பதிப்பைப் பதிவு செய்கின்றன.
openssl version
openssl x509 -in vpn-client.crt -noout -text
openssl pkey -in vpn-client.key -noout -textபதிப்பு முக்கியம், ஏனெனில் விருப்பப் பெயர்கள் முதன்மை வெளியீடுகளுக்கு இடையே நகர்ந்துள்ளன. சான்றிதழ் வெளியீட்டில் பொது விசை அல்காரிதம் வரியையும் விசை அளவையும் கண்டறியவும்; விசை வெளியீட்டில் RSA விசை ஒரு மட்டு மற்றும் ஒரு பொது அடுக்கை அச்சிடுகிறது. நீள்வட்ட வளைவு விசை அதற்குப் பதிலாக பெயரிடப்பட்ட வளைவை அச்சிடுகிறது, எவ்வளவு தேடினாலும் அதிலிருந்து n அல்லது q கிடைக்காது.
base64 அல்ல, கட்டமைப்பைப் படிக்கவும்
PEM என்பது தலைப்பு வரிகளில் சுற்றப்பட்ட base64, அதை டிகோட் செய்தால் DER கிடைக்கும், அதாவது பெரிய முழு எண் அல்ல, வரிசைப்படுத்தப்பட்ட கட்டமைப்பு. RSA தனிப்பட்ட விசைகள் PKCS#1 மற்றும் PKCS#8 என்ற இரு பொதுவான கொள்கலன்களில் பயணிக்கின்றன, இரண்டும் ஒரே எண்கள் தொகுப்புக்கு வருகின்றன.
இரு பகா எண்கள் இருந்தால் தனிப்பட்ட கட்டமைப்பு ஒன்பது புலங்களைக் கொண்டுள்ளது: பதிப்பு, மட்டு n, பொது அடுக்கு e, தனிப்பட்ட அடுக்கு d, பகா எண்கள் p மற்றும் q, இரு CRT அடுக்குகள் மற்றும் ஒரு CRT குணகம். RFC 8017 பிரிவு A.1 அந்தக் கூறுகளையும் ASN.1 அமைப்பையும் வரையறுக்கிறது, இரண்டுக்கு மேற்பட்ட பகா எண்களையும் அனுமதிக்கிறது, எனவே ஒரு பொது பாகுபடுத்தி கூடுதல் பகா பதிவுகளை அச்சிடலாம். வரிசையைக் கவனிக்கவும், ஏனெனில் அது ஒரு பொதுவான தவறை விளக்குகிறது: பொது பாதி தனிப்பட்ட கோப்புக்குள் சேமிக்கப்படுகிறது, எனவே பொது புலம் இருப்பது அந்தக் கோப்பைப் பகிர பாதுகாப்பானதாக்காது. அதற்குப் பிறகு உள்ளவை அனைத்தும் ஹோஸ்ட்டில் இருக்க வேண்டிய பொருள்.
குறியாக்கம் உள்ளடக்கத்துடன் குழப்பிக்கொள்ளக்கூடிய அடுக்கைச் சேர்க்கிறது. openssl asn1parse கட்டமைப்பை மரமாக வரைகிறது, அதனால் புல வரிசை தெரியும், அது எதையும் டிக்ரிப்ட் செய்யவில்லை, விசை பயன்படுத்தக்கூடியதா என்றும் சொல்லவில்லை.
விசையை அச்சிடாமல் சான்றிதழை விசையுடன் இணைக்கவும்
அடுத்த கேள்வி பொதுவாக சான்றிதழும் விசையும் சேர்ந்தவையா என்பது. மட்டுக்களை ஒப்பிடுவது அதற்குப் பதிலளிக்கிறது, ஆனால் தனிப்பட்டதற்கு அருகிலுள்ள பொருளையும் முனையப் பதிவுக்கு நகலெடுக்கிறது, அது டிக்கெட்டில் முடியலாம். பொது பாதிகளை ஒப்பிடுவது அதே கேள்விக்கு திரையில் உணர்திறன் உள்ள எதையும் வைக்காமல் பதிலளிக்கிறது.
openssl pkey -in vpn-client.key -pubout -out /tmp/key.pub
openssl x509 -in vpn-client.crt -pubkey -noout > /tmp/cert.pub
cmp /tmp/key.pub /tmp/cert.pub && echo MATCHஒரே மாதிரியான கோப்புகள் என்றால் சான்றிதழ் அந்த விசையின் பொது பாதியைக் கொண்டுள்ளது, வேறுபாடு என்றால் நீங்கள் தவறான ஜோடியைப் பிடித்துள்ளீர்கள். அந்தப் பொருந்தாமையே மகிழ்ச்சியாகப் பேசி பின்னர் அங்கீகாரத்தை மறுக்கும் சுரங்கப்பாதையின் மிகவும் பொதுவான காரணம். பின்னர் இரு தற்காலிகக் கோப்புகளை நீக்கவும்; அவற்றில் ரகசியம் எதுவும் இல்லை, ஆனால் சம்பவத்தின் நடுவில் தூய்மையான பணி அடைவைப் பற்றி சிந்திப்பது எளிது.
அடுத்த கோப்புகள் என்ன அல்ல என்பதை அறியுங்கள்
சான்றிதழ் என்பது எதிர்ப்பக்கம் CA சான்றிதழால் திறக்கும் மறையாக்கப்பட்ட பொது விசை அல்ல; அது பொது விசைக்கும் அடையாளத் தரவுக்கும் இடையிலான கையொப்பமிடப்பட்ட பிணைப்பு. CA இன் தனிப்பட்ட கையொப்ப விசை அதன் சொந்தச் சான்றிதழிலிருந்தும் ஒவ்வொரு வாடிக்கையாளர் விசையிலிருந்தும் தனியாக இருக்கிறது. கோரிக்கையும் சான்றிதழ் அல்ல: அது கோரப்பட்ட தகவலையும் பொது விசையையும் கோரிக்கையின் மீதான கையொப்பத்துடன் கொண்டுள்ளது, இது பதிவுசெய்தல் உள்ளீடாக மாற்றுகிறது, உரிமைக்கான ஆதாரமாக அல்ல.
| File | Answers | Does not prove |
|---|---|---|
| vpn-client.key | Possession of the private key | That the identity is enrolled |
| vpn-client.crt | A signed binding of public key to identity | That the client holds the matching key |
| vpn-client.csr | The requested binding and public key | That access was granted |
| dh2048.pem | Group parameters for key exchange | Any RSA component |
| crl.pem | Revocation status for certificates | Anything about a private key |
அந்தப் பதிவுகளில் இரண்டு RSA அளவுருக்களுடன் அடிக்கடி குழம்புவதால் இருமுறை பெயரிட வேண்டும். Diffie-Hellman அளவுருக் கோப்பு விசை நிறுவலுக்கான குழு அளவுருக்களைக் கொண்டுள்ளது, RSA பகா எண் எதுவும் இல்லை, அது பெரிய பகா எண்ணாகவும் அச்சிடப்பட்டாலும். ரத்து பட்டியல் சான்றிதழ்களின் நிலையை வெளியிடுகிறது, தனிப்பட்ட அடுக்கு ஒளிந்திருக்கக்கூடிய இடம் அல்ல.
எனவே ஒவ்வொரு பட்டியல் வரியும் நான்கு விஷயங்களைப் பதிவு செய்ய வேண்டும்: பொருள் வகை, உரிமையாளர், நோக்கம் மற்றும் தனிப்பட்ட பொருள் சேர்க்கப்பட்டுள்ளதா. கடைசி நிரல் கோப்பை எங்கு நகலெடுக்கலாம் என்பதைத் தீர்மானிக்கிறது, அதைத்தான் மக்கள் தவிர்க்கிறார்கள்.
இணையைப் பதிவுசெய்து, பின்னர் கைக்குலுக்கலைச் சரிபார்க்கவும்
எதையும் மாற்றும் முன் சரிபார்ப்பு வெளியீட்டைத் தேதி மற்றும் OpenSSL பதிப்புடன் சேமிக்கவும். பின்னர் நினைவகத்திற்குப் பதிலாக ஆதாரங்களுடன் ஒப்பிடலாம்.
openssl verify -CAfile ca.crt vpn-client.crt
openssl x509 -in vpn-client.crt -noout -subject -issuer -datesபொது விசை ஒப்பீட்டுக்குப் பிறகு ஜோடியைப் பயன்படுத்தும் பாதையை இயக்கவும்: சுரங்கப்பாதையை மேலேற்றவும், சான்றிதழ் சமர்ப்பிக்கப்பட்டு ஏற்கப்படுவதை உறுதிசெய்யவும், நுழைவாயில் எந்த அடையாளத்தைப் பதிவுசெய்தது என்பதைப் பார்க்கவும். விசையும் சான்றிதழும் பொருந்தியும் அங்கீகாரம் தோல்வியடைந்தால், குறைபாடு ஜோடியில் அல்ல, நம்பிக்கை, அடையாள மேப்பிங் அல்லது அணுகல் கொள்கையில் உள்ளது.
மீள்வதற்கு முந்தைய விசையையும் சான்றிதழையும் தேதியுள்ள அடைவில் வைத்து இரண்டையும் சேர்த்து மீட்டமைக்கவும், ஒன்றை மட்டும் ஒருபோதும் அல்ல. சான்றிதழ் இல்லாத விசையும் விசை இல்லாத சான்றிதழும் வெளியிலிருந்து ஒரே மாதிரி தோல்வியடைகின்றன, இது பாதி மீட்டமைக்கப்பட்ட ஜோடிகளை இரவு இரண்டு மணிக்கு அவிழ்ப்பதை விலை உயர்ந்ததாக்குகிறது.