మార్చే ముందు: SSH కీ మరియు OpenVPN ధృవపత్రం

ధృవపత్ర లోపంతో దిగుమతి విఫలమవుతుంది, కాబట్టి స్పష్టమైన అడుగు మార్పిడిలా కనిపిస్తుంది. ఆ ప్రవృత్తి ప్రజలను ఫైల్ పొడిగింపు మారే, కానీ తిరస్కరణ అలాగే ఉండే మార్గంలోకి నడిపిస్తుంది. authorized_keys లోని ssh-ed25519 లైన్ మరియు OpenVPN క్లయింట్ ధృవపత్రం వేర్వేరు గుర్తింపు వస్తువులు, వేర్వేరు జారీదారులు, వేర్వేరు కోడింగ్‌లు మరియు వేర్వేరు రద్దు మార్గాలతో. ఈ తనిఖీలను క్రమంగా చేస్తే, మార్పిడి ఏమైనా సహాయపడుతుందో లేదో ఒక నిమిషంలో తెలుస్తుంది.

వాస్తవానికి మీ దగ్గర ఏ వస్తువు ఉంది?

ప్రజలు కీ అని పిలిచే ఐదు విషయాలు ఉన్నాయి, వాటిలో ఒకటి మాత్రమే TLS ప్రొఫైల్ కోరుకునేది. SSH పబ్లిక్ కీ అనేది రకం ఉపసర్గ మరియు base64 పేలోడ్ ఉన్న ఒకే లైన్ పాఠం. OpenSSH ధృవపత్రం అనేది ఆ కీతో పాటు సంతకం, principals మరియు ఎంపికలు, దీన్ని ssh-keygen తన సొంత చిన్న CA గా పనిచేసి తయారుచేస్తుంది. X.509 ధృవపత్రం పూర్తిగా వేరే నిర్మాణం, ఇది విషయం, చెల్లుబాటు కాలం, పొడిగింపులు మరియు ధృవపత్ర అధికారి సంతకాన్ని మోస్తుంది. ప్రైవేట్ కీ రహస్య సగం, జారీ చేసిన కట్ట సాధారణంగా ఒకే ఫైల్‌లో ధృవపత్రం, దాని గొలుసు మరియు ప్రైవేట్ కీ.

మొదటి పరీక్షకు ఒక ఆదేశం చాలు. openssl ను ఫైల్ వైపు చూపి ధృవపత్రం నిర్మాణాన్ని విశ్లేషించమని అడగండి:

openssl x509 -in client.crt -noout -subject -issuer

అది unable-to-load లేదా PEM లోపంతో విఫలమైతే, మీరు ఏ పేరు పెట్టినా ఆ ఫైల్ X.509 ధృవపత్రం కాదు. పేరు మార్చడం లోపలి ASN.1 ను తిరిగి రాయదు, పబ్లిక్ కీ లైన్‌ను PEM శీర్షిక పాఠంలో చుట్టడం కూడా అలా చేయదు.

ప్రొఫైల్ ధృవపత్రాన్ని అడుగుతుందా?

క్లయింట్ ధృవపత్రాలు అనేక ప్రామాణీకరణ పద్ధతులలో ఒకటి, పనిచేసే చాలా TLS ప్రొఫైల్‌లు ఎప్పుడూ ఒకటి కూడా అడగవు. సర్వర్ వినియోగదారులను ప్లగిన్, వినియోగదారు పేరు మరియు సంకేతపదం, లేదా టోకెన్ బ్యాకెండ్ ద్వారా ప్రామాణీకరించగలదు, అదే సమయంలో క్లయింట్ సర్వర్ గుర్తింపును ధృవీకరించాలని కోరుతుంది. ప్రొఫైల్‌లో క్లయింట్-ధృవపత్ర సూచన లేకపోతే, ఎప్పుడూ ధృవపత్రం అడగబడదు, ఏ మార్పిడి గేట్‌వేను ఒకటి అడగమని బలవంతం చేయదు.

పాత స్థిర-కీ కాన్ఫిగరేషన్‌లు మూడవ సందర్భం. అవి TLS చేతినిచ్చే ముందు ఉన్నవి మరియు ముందే పంచుకున్న రహస్య ఫైల్‌ను ఆశిస్తాయి, అందుకే ఆ ఫీల్డ్‌లో పబ్లిక్ కీ అతికించడం కూడా పనిచేయదు. గుర్తింపు తప్పు అని నిర్ణయించే ముందు ప్రొఫైల్ నిజంగా ఏమి అడుగుతుందో చదవండి.

పునఃకోడింగ్ ఏమి చేయగలదు మరియు ఏమి చేయలేదు

ప్రైవేట్ కీలకు నిజంగా చట్టబద్ధమైన ప్రత్యామ్నాయ కంటైనర్లు ఉన్నాయి. అదే RSA లేదా EC కీని సాంప్రదాయ PEM గా, PKCS#8 గా, లేదా PKCS#12 కట్ట లోపల రాయవచ్చు, సాధనాలు సంతోషంగా వాటి మధ్య మారుస్తాయి. పబ్లిక్ కీలకు కూడా ఇదే కథ: ssh-keygen SSH కీ యొక్క RFC 4716 రూపాన్ని జారీ చేయగలదు, OpenSSH తన సొంత ధృవపత్ర ఆకృతిని కూడా అర్థం చేసుకుంటుంది. అదంతా ప్రాతినిధ్యం, ప్రాతినిధ్యం నమ్మకం కాదు.

మార్పిడి చేయలేనిది మీ కీని ఎప్పుడూ చూడని ధృవపత్ర అధికారి నుండి సంతకాన్ని సృష్టించడం. ధృవపత్రం అనేది ఒక నిర్దిష్ట పబ్లిక్ కీ ఒక నిర్దిష్ట ప్రయోజనం కోసం ఒక నిర్దిష్ట విషయానికి చెందినదని జారీదారు చేసే ప్రకటన. పునఃకోడింగ్ కీ యొక్క బైట్‌లను కాపాడి ప్రకటనను లేకుండా వదిలేస్తుంది, కాబట్టి గేట్‌వేకు తన నమ్మక నిల్వతో పోల్చడానికి ఏమీ ఉండదు.

చాలా ప్రయత్నాలు నిశ్శబ్దంగా విఫలమయ్యే దశ ఇదే: ఫైల్ ఇప్పుడు .crt తో ముగుస్తుంది, క్లయింట్ దాన్ని ఫిర్యాదు లేకుండా చదువుతుంది, చేతినిచ్చేది ఇప్పటికీ ఆగిపోతుంది ఎందుకంటే ఎదుటి పక్షం విశ్వసనీయ జారీదారు వరకు గొలుసును నిర్మించలేదు.

ధృవపత్ర అధికారి చిత్రంలో ఎక్కడికి వస్తుంది

నిజమైన నమోదు మీ నియంత్రణలోని కీ జంట మరియు నిర్వాహకుడు ఆశించే విషయాన్ని మోసే ధృవపత్ర సంతక అభ్యర్థనతో ప్రారంభమవుతుంది. నిర్వాహకుడు హక్కును ధృవీకరించి, CA కీతో అభ్యర్థనపై సంతకం చేసి, జారీ చేసిన ధృవపత్రాన్ని క్లయింట్ సమర్పించాల్సిన ఏదైనా మధ్యవర్తి గొలుసుతో తిరిగి ఇస్తాడు. తర్వాత క్లయింట్‌కు దానిపై సంతకం చేసిన CA ధృవపత్రం అవసరం, ఎందుకంటే తాను మాట్లాడుతున్న సర్వర్ అదే విస్తరణకు చెందినదని నిర్ధారించడానికి అదే అనుమతిస్తుంది.

ఆ చివరి ఫైల్ మరచిపోవడం సులభం, భర్తీ చేయడం అసాధ్యం. CA యొక్క సంతక కీ ఎప్పుడూ క్లయింట్ కాన్ఫిగరేషన్‌లో ఉండదు, ఏ స్థానిక మార్పిడి మీరు పొందాల్సిన గొలుసును ఉత్పత్తి చేయదు.

SSH కీని తిరిగి ఉపయోగించడం ఖర్చు

ఒక మార్పిడి నిజంగా ఆమోదయోగ్యమైనది ఉత్పత్తి చేసిందని అనుకోండి. SSH ప్రవేశం మరియు VPN ప్రామాణీకరణ కోసం ఒకే కీ జంటను తిరిగి ఉపయోగించడం ఇప్పటికీ రెండు స్వతంత్ర భద్రతా నిర్ణయాలను కలుపుతుంది. authorized_keys నుండి ఒక లైన్ తీసివేయడం SSH లాగిన్‌లను ఆపుతుంది, అదే పబ్లిక్ కీ కోసం VPN CA ఇప్పటికే జారీ చేసిన ధృవపత్రానికి ఏమీ చేయదు. VPN వైపు దాని సొంత యంత్రాంగం ద్వారా రద్దు చేయబడుతుంది, అంటే ధృవపత్ర రద్దు జాబితా లేదా నిర్వాహకుని నమోదు రికార్డు.

అందువల్ల తనిఖీ జాబితా ఏదో ఉపాయంతో కాదు, ఆపే షరతుతో ముగుస్తుంది. openssl ఫైల్‌ను ధృవపత్రంగా విశ్లేషించకపోతే, మార్పిడిని ఆపి మీ దగ్గర ఏమి ఉందో వివరించండి: SSH కీ, SSH ధృవపత్రం, X.509 ధృవపత్రం, ప్రైవేట్ కీ లేదా కట్ట. ప్రొఫైల్ క్లయింట్ ధృవపత్రాన్ని అడగకపోతే, ఆగి సర్వర్ ఏ ప్రామాణీకరణ పద్ధతిని ఆశిస్తుందో అడగండి. రెండు సమాధానాలు X.509 వైపు చూపినప్పుడే నమోదు తదుపరి అడుగు అవుతుంది, మొదటి వాక్యంలో సరైన నామవాచకం ఉంటే ఆ సంభాషణ చాలా వేగంగా సాగుతుంది.