การคัดลอกใบรับรอง VPN ไม่ได้คัดลอกกุญแจ

เส้นทางนี้เริ่มที่รายการใบรับรองของไคลเอนต์ ซึ่งรายการแสดงเพียงชื่อ ผู้ออก และวันหมดอายุเท่านั้น ส่งออกใบรับรองนั้น นำเข้าบนอุปกรณ์เครื่องที่สอง แล้วการเชื่อมต่อจะถูกปฏิเสธเพราะไคลเอนต์พิสูจน์ไม่ได้ว่าถือกุญแจส่วนตัวอยู่ ไฟล์ถูกคัดลอกมาครบถ้วน ข้อผิดพลาดคือการคาดว่าใบรับรองจะพากุญแจของตัวเองมาด้วย อ่านกล่องโต้ตอบการส่งออกก่อนเลือกฟอร์แมต แล้วตรวจไฟล์ที่คุณได้รับจริง

สองคลิก สองสิ่งที่ต่างกันโดยสิ้นเชิง

อ่านกล่องโต้ตอบการส่งออก ไม่ใช่นามสกุลไฟล์

การส่งออกใบรับรองแบบ DER หรือ PEM มีกุญแจสาธารณะและคำกล่าวอ้างตัวตนที่ลงนามแล้ว ซึ่งเป็นสิ่งที่เซิร์ฟเวอร์ต้องใช้เพื่อไว้ใจคุณ และสิ่งที่ไคลเอนต์ต้องใช้เพื่อตรวจสอบเซิร์ฟเวอร์ ชุด PKCS#12 คือคอนเทเนอร์ที่เก็บใบรับรอง ห่วงโซ่ของมัน และกุญแจส่วนตัวที่เข้าคู่กันได้ ป้องกันด้วยรหัสผ่าน แม้ว่าจะสร้างโดยไม่มีกุญแจก็ได้

PEM เป็นเพียงการเข้ารหัสข้อความ ไม่ใช่คำสัญญาเกี่ยวกับเนื้อหา นามสกุลเดียวกันอาจอธิบายใบรับรองเดียวหรือไฟล์ที่มีหลายบล็อกติดป้าย และตัวเลือกการส่งออกเป็นตัวกำหนด

ดังนั้นคำถามที่มีประโยชน์ไม่เคยเป็นว่าคุณได้นามสกุลไหน แต่เป็นว่าไฟล์มีบล็อกอะไร ชุดที่ส่งออกโดยไม่มีกุญแจก็ยังเป็นชุดอยู่ ตรวจเนื้อหา ไม่ใช่ความนิยมของฟอร์แมต

ตรวจสิ่งที่คุณได้รับจริง

มองหาป้ายก่อนนำเข้าสิ่งใด จากนั้นอ่านฟิลด์ของใบรับรองเพื่อยืนยันว่าคุณถือตัวตนใดอยู่ ทำการตรวจสอบกับไฟล์ที่จะนำเข้าจริง ทำซ้ำทุกครั้งหลังการส่งออกใหม่ เพราะตัวเลือกอาจแตกต่างกัน

grep -E 'BEGIN (CERTIFICATE|PRIVATE KEY|ENCRYPTED PRIVATE KEY)' bundle.pem
openssl x509 -in client.crt -noout -subject -issuer -dates
openssl pkey -in client.key -noout -text | head -5
openssl pkcs12 -info -in client.p12 -noout

การส่งออกที่มีเพียงบล็อกใบรับรองเป็นวัตถุสาธารณะและยืนยันตัวตนไม่ได้ บล็อกกุญแจที่ไม่มีใบรับรองทำให้คุณขาดห่วงโซ่ที่เซิร์ฟเวอร์คาดหวัง ข้อมูลเอาต์พุตของ PKCS#12 ยังรายงานว่ามีกุญแจหรือไม่ ซึ่งช่วยตัดสินคำถามสำหรับฟอร์แมตนั้น มันระบุอัลกอริทึมและขนาดกุญแจด้วย และล้มเหลวโดยสิ้นเชิงเมื่อไม่มีกุญแจ

อย่าวางไฟล์ที่มีกุญแจส่วนตัวลงในกระทู้สนับสนุน ตัวติดตามปัญหา หรือแชต แม้จะดูเหมือนใบรับรองที่คุณเคยแชร์ไปแล้ว ภาพหน้าจอของแผงกุญแจก็ควรระวังเช่นเดียวกัน

กุญแจอาจอยู่ที่ที่คุณคัดลอกไม่ได้

บนอุปกรณ์ที่ถูกจัดการ กุญแจส่วนตัวอาจอยู่ในพวงกุญแจของระบบปฏิบัติการ โทเคนฮาร์ดแวร์ หรือเอ็นเคลฟที่ปลอดภัย โดยมีนโยบายทำเครื่องหมายว่าไม่สามารถส่งออกได้ ตัวจัดการใบรับรองจะแสดงวัตถุสาธารณะในขณะที่ความลับยังอยู่ที่เดิม และไม่มีคำสั่งส่งออกใดจะสร้างสำเนาที่พกพาได้ การลงทะเบียนผ่านการจัดการอุปกรณ์เคลื่อนที่มักทำงานเช่นนี้โดยการออกแบบ

นี่คือการควบคุม ไม่ใช่อุปสรรคที่ต้องหลบเลี่ยง การสร้างกุญแจส่วนตัวขึ้นใหม่จากใบรับรองสาธารณะเป็นไปไม่ได้ และเครื่องมือใดที่อ้างว่าทำได้กำลังทำอย่างอื่น

ลงทะเบียนตัวตนใหม่แทนการคัดลอก

เส้นทางที่รองรับมักคือ ลงทะเบียนตัวตนแยกต่างหากสำหรับอุปกรณ์ใหม่ และเพิกถอนตัวตนเก่าเมื่อปลดระวาง เพื่อให้แต่ละอุปกรณ์ถอนออกได้อย่างอิสระ ที่ใดมีการอนุมัติการส่งออกพร้อมกุญแจจริง ให้ถือไฟล์ที่ได้และรหัสผ่านเป็นข้อมูลรับรอง: เข้ารหัสเมื่อพัก ถ่ายโอนผ่านช่องทางที่เชื่อถือได้ และลบเมื่อการลงทะเบียนเสร็จสิ้น

ตรวจสอบด้วยการยืนยันตัวตนด้วยตัวตนที่นำเข้า ไม่ใช่ดูว่าการนำเข้าสำเร็จ ไคลเอนต์ที่รับใบรับรองสาธารณะเข้าคลังของตนไม่ได้พิสูจน์อะไรเกี่ยวกับกุญแจเลย

ปิดท้ายด้วยการยืนยันว่าเซิร์ฟเวอร์ยอมรับตัวตนใหม่ และตัวตนเก่ายังทำงานตามที่นโยบายตั้งใจ เส้นทางนี้จึงจบด้วยหลักฐาน ไม่ใช่ด้วยไฟล์ที่ดูถูกต้อง