VPN sertifikasını kopyalamak anahtarı kopyalamaz

Bu anlatım istemcinin sertifika listesinde başlar; oradaki kayıt yalnızca bir ad, bir veren ve bir son kullanma tarihi gösterir, başka bir şey göstermez. Bunu dışa aktarın, ikinci cihaza içe aktarın ve özel anahtarın sahipliğini istemci kanıtlayamadığı için bağlantı reddedilir. Dosya tamamen kopyalanmıştı; hata, bir sertifikanın kendi anahtarını taşımasını beklemektir. Biçimi seçmeden önce dışa aktarma penceresini okuyun, sonra gerçekten aldığınız dosyayı inceleyin.

İki tıklama, birbirinden çok farklı iki ürün.

Dosya uzantısını değil, dışa aktarma penceresini okuyun

DER veya PEM sertifika dışa aktarımı bir ortak anahtar ve imzalı kimlik iddiaları içerir; sunucunun size güvenmesi, istemcinin de sunucuyu doğrulaması için gereken budur. PKCS#12 paketi bir sertifikayı, zincirini ve eşleşen özel anahtarı tutabilen, parolayla korunan bir kapsayıcıdır; ancak anahtar olmadan da oluşturulabilir.

PEM yalnızca bir metin kodlamasıdır, içerik hakkında bir vaat değildir. Aynı uzantı tek bir sertifikayı ya da etiketli birkaç blok içeren bir dosyayı tanımlayabilir ve hangisi olduğuna dışa aktarma seçenekleri karar verir.

Yani yararlı soru asla hangi uzantıyı aldığınız değil, dosyanın hangi blokları içerdiğidir. Anahtarı olmadan dışa aktarılan paket yine pakettir. Biçimin popülerliğini değil, içeriği denetleyin.

Gerçekten ne aldığınızı inceleyin

Bir şeyi içe aktarmadan önce etiketleri arayın, ardından sertifikanın alanlarını okuyarak hangi kimliği tuttuğunuzu doğrulayın. Denetimleri gerçekten içe aktarılacak dosya üzerinde çalıştırın. Her yeniden dışa aktarmadan sonra bunları yineleyin, çünkü seçenekler değişebilir.

grep -E 'BEGIN (CERTIFICATE|PRIVATE KEY|ENCRYPTED PRIVATE KEY)' bundle.pem
openssl x509 -in client.crt -noout -subject -issuer -dates
openssl pkey -in client.key -noout -text | head -5
openssl pkcs12 -info -in client.p12 -noout

Yalnızca sertifika bloğu içeren bir dışa aktarım ortak bir nesnedir ve kimlik doğrulayamaz. Sertifikasız bir anahtar bloğu sizi sunucunun beklediği zincirden yoksun bırakır. PKCS#12 bilgi çıktısı bir anahtarın olup olmadığını da bildirir ve bu, o biçim için soruyu kapatır. Algoritmayı ve anahtar boyutunu da adlandırır; anahtar yoksa tamamen başarısız olur.

Özel anahtar içeren bir dosyayı, daha önce paylaştığınız sertifikaya benziyor olsa bile asla bir destek dizisine, sorun izleyicisine veya sohbete yapıştırmayın. Bir anahtar panelinin ekran görüntüleri de aynı özeni hak eder.

Anahtar kopyalayamadığınız bir yerde yaşıyor olabilir

Yönetilen cihazlarda özel anahtar işletim sisteminin anahtarlığında, bir donanım belirtecinde veya güvenli bir enklavda bulunabilir ve bir ilke onu dışa aktarılamaz olarak işaretler. Sertifika yöneticisi o zaman ortak nesneyi gösterirken sır yerinde kalır ve hiçbir dışa aktarma komutu taşınabilir bir kopya üretmez. Mobil cihaz yönetimiyle kayıt çoğu zaman tasarım gereği tam olarak böyle çalışır.

Bu bir denetimdir, etrafından dolaşılacak bir engel değildir. Özel bir anahtarı ortak sertifikadan yeniden oluşturmak mümkün değildir ve bunu iddia eden her araç başka bir şey yapıyordur.

Kopyalamak yerine yeni bir kimlik kaydedin

Desteklenen yol genellikle yeni cihaz için ayrı bir kimlik kaydetmek ve eski cihaz kullanımdan kalktığında onu iptal etmek olur; böylece her cihaz bağımsız olarak geri çekilebilir. Anahtarla dışa aktarımın gerçekten onaylandığı yerlerde, ortaya çıkan dosyayı ve parolasını kimlik bilgisi olarak görün: durağan halde şifrelenmiş, güvenilir bir kanaldan aktarılmış ve kayıt tamamlandığında silinmiş.

İçe aktarmanın başarılı olduğunu izleyerek değil, içe aktarılan kimlikle kimlik doğrulayarak doğrulayın. Ortak bir sertifikayı deposuna kabul eden bir istemci, anahtar hakkında hiçbir şey kanıtlamış olmaz.

Sunucunun yeni kimliği kabul ettiğini ve eski kimliğin hâlâ ilkenin öngördüğü gibi davrandığını doğrulayarak bitirin. Böylece anlatım doğru görünen bir dosyayla değil, kanıtla kapanır.