I-export ang mga sertipiko mula sa P12 nang walang pribadong susi

Ang tiket ng suporta ay nagtatanong kung aling sertipiko ang nasa loob ng VPN bundle, at ang unang instinct ay i-export ang lahat at ilakip ito. Ang P12 file ay nagbabalot ng mga sertipiko at materyal ng pribadong susi sa isang container, kaya ang pag-export ng lahat ay eksaktong hindi mo dapat ipadala. Ang command na sumasagot sa tanong ay problema ng pagpili, hindi problema ng conversion. Apat na flag ang nagpapasya kung aling kalahati ng container ang makukuha mo, at dalawa sa kanila ay parang mas ligtas kaysa sa aktwal.

Simulan sa pagbasa ng container sa halip na itong i-empty.

Ano ang talagang bitbit ng file na PKCS12

Ang container ng PKCS12 ay may isa o higit pang sertipiko, posibleng pribadong susi, at message authentication code sa nilalaman. Maaaring kabilang sa mga sertipiko ang leaf certificate ng iyong pagkakakilanlang kliyente at ang mga intermediate na nagkakabit nito sa isang CA. Ang susi, kapag naroroon, ang gumagawa sa file na isang lihim sa halip na isang dokumento.

Ang pagkakaibang iyon ang dahilan kung bakit may -nokeys at kung bakit iyon ang flag na kailangan ng gawaing ito.

Basahin ang bundle nang hindi isinusulat ang susi

Ang inspection form nagpi-print ng istruktura at mga detalye ng algorithm at wala itong isinusulat: openssl pkcs12 -in client.p12 -info -noout. Humihingi ito ng import password, na siyang tamang lugar para sa halagang iyon, at sinasabi nito kung may dalang susi ang file. Gamitin ang -passin env:PKCS12_PASS kapag hindi maitatype ang password, dahil ang password sa loob ng shell command ay password sa listahan ng proseso. Wala itong ini-export sa hakbang na ito, at iyon ang buong punto.

Basahin ang output para sa tatlong bagay: ilang sertipiko, kung may susi, at aling mga algorithm ang nagpoprotekta rito.

Gamitin ang -nokeys, at huwag itong ipagkamali sa -nocerts

Ang -nokeys ay nagbubukod ng mga pribadong susi at nag-iiwan ng mga sertipiko. Ang -clcerts ay nagpapaliit nito sa mga sertipiko ng kliyente, ang -cacerts ay nagpapaliit sa mga sertipiko ng CA, at ang dalawang ito ay mga filter at hindi mga alternatibo. Ang -nocerts ay parang ligtas na baybay ng parehong ideya at nangangahulugan ng kabaligtaran: walang sertipiko, na nag-iiwan lamang ng mga susi. Ang pagsasama nito sa isang export ng sertipiko ay kung paano napupunta ang pribadong susi sa disk.

Ang dalawang-linyang anyo na gumagawa ng file ng mga sertipiko at file ng CA, at wala nang iba, ay:

openssl pkcs12 -in client.p12 -nokeys -clcerts -out client-certificates.pem
openssl pkcs12 -in client.p12 -nokeys -cacerts -out ca-certificates.pem

Ang mga lumang bundle ay nangangailangan ng -legacy sa OpenSSL 3 upang mabasa ang kanilang lumang encryption, at binabago ng flag na iyon ang tinatanggap ng parser, hindi ang inilalabas nito. Kung mabibigo ang pag-parse na may error tungkol sa hindi sinusuportahang algorithm, ang pagdaragdag ng -legacy ang tamang unang hakbang at ang paglaktaw sa MAC check ay hindi.

Suriin ang output, hindi ang exit code

Ang zero exit status ay nagsasabing tumakbo ang command, hindi na naglalaman ang file ng inaasahan mo. Bilangin ang mga sertipiko sa output at basahin ang subject at mga petsa: openssl x509 -in client-certificates.pem -noout -subject -dates -fingerprint. Ihambing ang fingerprint sa inaasahan ng support team, dahil ang bundle na may dalawang sertipiko ng kliyente ay gumagawa ng file na may dalawang bloke at ang karamihan ng tool ay binabasa lamang ang una. Layunin, tiwala at tugma ng susi ay muling hiwalay na mga pagsubok.

Ang sertipikong nagpa-parse ay sertipikong nagpa-parse. Hindi ito sertipikong tinatanggap ng VPN.

Magpasya kung kailangan mo talaga ng mga file

Kung ang kliyenteng tumatanggap ay nag-iimport ng PKCS12 nang direkta, ang pagpapadala ng orihinal na bundle sa isang aprubadong channel na hiwalay ang password ay mas simple at pinapanatili ang proteksyon. Ang pag-extract ay para sa inspeksyon, para sa kliyenteng nangangailangan ng PEM, o para sa kaso ng suporta na humiling ng partikular na artifact. Ang bawat pag-extract ay nag-aalis ng isang layer at dapat may dahilan.

Ang mga pampublikong sertipiko ay hindi naglalaman ng pribadong susi, ngunit naglalaman ng mga pangalan at detalye ng organisasyon. Ibahagi ang mga field na hiningi ng tiket sa halip na ang file, maliban kung ang file ang hiniling.