Ang pagkopya ng sertipiko ng VPN ay hindi nagkokopya ng susi

Nagsisimula ang paglalakbay sa listahan ng mga sertipiko ng kliyente, kung saan ang entry ay nagpapakita lamang ng pangalan, nagbigay at petsa ng pag-expire at wala nang iba. I-export ito, i-import sa pangalawang aparato, at tatanggihan ang koneksyon dahil hindi mapapatunayan ng kliyente na hawak nito ang pribadong susi. Ang file ay nakopya nang buo; ang pagkakamali ay ang umasa na ang sertipiko ay may dalang sariling susi. Basahin ang dialog ng pag-export bago pumili ng format, pagkatapos suriin ang file na aktwal na natanggap mo.

Dalawang klik, dalawang lubos na magkaibang bagay.

Basahin ang dialog ng pag-export, hindi ang extension ng file

Ang pag-export ng sertipikong DER o PEM ay may pampublikong susi at mga pinirmahang pag-angkin ng pagkakakilanlan, na siyang kailangan ng server upang magtiwala sa iyo at kailangan ng kliyente upang i-verify ang server. Ang bundle ng PKCS#12 ay isang lalagyan na maaaring maglaman ng sertipiko, ang kadena nito at ang tugmang pribadong susi, protektado ng password, bagaman maaari rin itong likhain nang walang susi.

Ang PEM ay encoding ng teksto lamang, hindi pangako tungkol sa nilalaman. Ang parehong extension ay maaaring maglarawan ng isang sertipiko o ng file na may ilang may-label na bloke, at ang mga opsyon sa pag-export ang magpapasya.

Kaya ang kapaki-pakinabang na tanong ay hindi kailanman kung aling extension ang nakuha mo, kundi kung aling mga bloke ang nasa file. Ang bundle na in-export nang walang susi ay bundle pa rin. Suriin ang nilalaman, hindi ang katanyagan ng format.

Suriin ang aktwal na nakuha mo

Hanapin ang mga label bago mag-import ng anuman, pagkatapos basahin ang mga field ng sertipiko upang kumpirmahin kung aling pagkakakilanlan ang hawak mo. Isagawa ang mga pagsusuri sa file na aktwal na ii-import. Ulitin ang mga ito pagkatapos ng anumang muling pag-export, dahil maaaring magkaiba ang mga opsyon.

grep -E 'BEGIN (CERTIFICATE|PRIVATE KEY|ENCRYPTED PRIVATE KEY)' bundle.pem
openssl x509 -in client.crt -noout -subject -issuer -dates
openssl pkey -in client.key -noout -text | head -5
openssl pkcs12 -info -in client.p12 -noout

Ang pag-export na may bloke ng sertipiko lamang ay pampublikong bagay at hindi makakapagpatotoo. Ang bloke ng susi na walang sertipiko ay nag-iiwan sa iyo na walang kadena na inaasahan ng server. Ang output ng impormasyon ng PKCS#12 ay nag-uulat din kung may susi, na nagtatapos sa tanong para sa format na iyon. Binabanggit din nito ang algorithm at laki ng susi, at ganap itong nabigo kapag walang susi.

Huwag kailanman i-paste ang file na may pribadong susi sa isang thread ng suporta, tagasubaybay ng isyu o chat, kahit na mukhang ang sertipikong ibinabahagi mo na. Ang mga screenshot ng panel ng susi ay karapat-dapat sa parehong pag-iingat.

Maaaring nasa lugar na hindi mo makopya ang susi

Sa mga pinamamahalaang aparato, ang pribadong susi ay maaaring nasa keychain ng operating system, sa hardware token o sa secure na enclave, na may patakarang nagmamarka nito bilang hindi ma-export. Ipinapakita ng tagapamahala ng sertipiko ang pampublikong bagay habang nananatili ang lihim, at walang utos ng pag-export na gagawa ng naibibitbit na kopya. Madalas na ganito ang pagpapatala sa pamamahala ng mobile device ayon sa disenyo.

Iyon ay isang kontrol, hindi hadlang na dapat iwasan. Imposibleng muling buuin ang pribadong susi mula sa pampublikong sertipiko, at anumang kasangkapan na nagsasabing kaya ito ay gumagawa ng iba.

Magpatala ng bagong pagkakakilanlan sa halip na kopyahin

Ang sinusuportahang landas ay karaniwang magpatala ng hiwalay na pagkakakilanlan para sa bagong aparato at bawiin ang luma kapag nagretiro, upang ang bawat aparato ay maaaring bawiin nang nakapag-iisa. Kung saan tunay na inaprubahan ang pag-export na may susi, ituring ang resultang file at ang password nito bilang mga kredensyal: naka-encrypt habang nakapahinga, inilipat sa mapagkakatiwalaang channel, at binura kapag tapos na ang pagpapatala.

I-verify sa pamamagitan ng pagpapatotoo gamit ang na-import na pagkakakilanlan, hindi sa panonood na nagtagumpay ang pag-import. Ang kliyenteng tumatanggap ng pampublikong sertipiko sa imbakan nito ay walang napatunayan tungkol sa susi.

Tapusin sa pagpapatunay na tinatanggap ng server ang bagong pagkakakilanlan at ang luma ay kumikilos pa rin ayon sa layunin ng patakaran. Sa gayon nagtatapos ang paglalakbay nang may ebidensya, hindi ng file na mukhang tama.