IKEv2'de iki imza var: sertifika ve IKE_AUTH
CA sertifikayı imzalar, eş ise kendi IKE_AUTH alışverişini kendi şemasıyla imzalar. Her birini kendi alanından okuyun, sonra ikisini de kaydedin.
Biletiniz sertifikanın SHA-256 olduğunu söylüyor, oysa ağ geçidi günlüğü farklı bir imza algoritması adlandırıyor ve biri çoktan CA'yı yeniden düzenleme talebi hazırlamış. O talep bir yere gitmeden önce iki imzayı ayırın: biri verenin açık anahtar üzerindeki mührüdür, diğeri eşin IKE_AUTH sırasında eşleşen özel anahtara sahip olduğunu kanıtlamasıdır. Bunları farklı bileşenler seçer ve farklı olmalarına izin verilir. Her birini yaşadığı yerden okumak iki komut ve bir tablo gerektirir.
Verenin imzasını sertifikadan okuyun
CA imzasını bir kimlik ile anahtar arasındaki bağ üzerine koyar. Bu imza CA'nın düzenleme sırasında ne yaptığını kaydeder, öznenin bağlanırken ne yapacağını değil, dolayısıyla algoritması CA'nın kendi hash ve anahtar seçimini tanımlar. Bir tür özne anahtarı, hiçbir tutarsızlık olmadan başka tür bir CA anahtarının altında durabilir ve CA anahtarının döndürülmesi arıza değil rutindir. İki alanı okuyun, envanterin yarısı sizde:
openssl x509 -in peer.pem -noout -text | grep -E "Signature Algorithm|Public Key Algorithm"Her iki etiketi ayrı girdiler olarak yazın. Birincisi CA'yı, ikincisi öznenin anahtarını tanımlar ve hiçbiri çevrimiçi imzayı önceden söylemez.
Çevrimiçi imzayı IKE alışverişinden okuyun
Kimlik doğrulama sırasında her eş alışveriş verilerini kendi özel anahtarıyla imzalar ve karşı taraf bu kanıtı sertifikanın kimliğine, güven zincirine ve ilkesine göre denetler. RSA'da dolgu ve hash bu çevrimiçi şemaya aittir, bu yüzden daha uzun bir anahtar ya da yeni bir SHA-256 sertifikası kimlik doğrulama imzası için kendi başına RSA-PSS seçemez. Görüşülen yöntem sunucunun günlüğünde ya da bağlantı listesinde görünür, asla sertifikada değil. Her tarafa ne görüştüğünü sorun, çünkü iki yön farklı olabilir.
ipsec statusall | grep -i "auth\|proposal"Bir taraf ötekinin üretemediği bir şemayı adlandırdığında, biletin konusu olan uyuşmazlığı buldunuz. CA'yı yeniden düzenlemek bunun için yanlış onarımdır, çünkü başarısız olan hiçbir zaman sertifika değildi.
RFC 7427 neyi değiştirir, neyi değiştirmez
Özgün yöntemler RFC 7296'da algoritma birleşimi başına numaralandırılmıştır. Daha sonraki RFC 7427 imza uzantısı imza-hash desteğinin sinyallenmesiyle genel bir Digital Signature yöntemi ekler, böylece yeni bir hash artık kendi yöntem numarasına ihtiyaç duymaz. Bu görüşülür, varsayılmaz: eş, kütüphanesi aynı sertifikaları ayrıştırabildiği için uzantıyı kazanmaz ve yalnızca özgün yöntemleri uygulayan bir eş ağ geçidini bunlardan birini tutmaya zorlar. Bu, uyumluluk maliyeti olan bir ilke takasıdır, kusur değil.
Destek yön ve bağlantı başına ayrıdır, bu yüzden aile düzeyindeki bir iddiaya güvenmek yerine önünüzdeki derlemeyi sınayın. Üç yıl önce yazılmış bir yetenek matrisi üç yıllık derlemeleri tanımlar.
Envantere dört satır koyun
Tartışmayı bitiren kaydın dört satırı vardır, her biri farklı bir yerden okunur ve her biri farklı bir kişi tarafından değiştirilir. Bir şeye karar vermeden önce doldurun, çünkü onarımı seçen tam olarak yanlış satırdır.
| Nesne | Nereden okunur | Kim değiştirir |
|---|---|---|
| sertifika verenin imzası | sertifikanın Signature Algorithm alanı | CA işletmecisi, düzenlemede |
| öznenin açık anahtarı | sertifikanın Public Key Algorithm alanı | öznenin anahtarını üreten kişi |
| IKE kimlik doğrulama şeması | sunucu günlüğü veya bağlantı listesi, auth ve signature-hash bildirimi | iki eşteki IKE profili |
| IKE ve ESP koruma algoritmaları | bağlantının öneri listesi | IPsec profili, yön başına |
Her satır kendi uyumluluk sonucunu taşır. ESP şifre değişikliği verenin imzasını seçmez ve CA doğrulamasını gevşetmek eşlerin hiç görüşmediği bir çevrimiçi yöntem eklemez. Bir bilet imza uyuşmazlığı iddia ettiğinde, gerçekten yanlış olan satır neredeyse hiçbir zaman ilk satır değildir.
Eski durumu PKI'yi zayıflatmadan çözün
Daha eski bir eş yalnızca ilkenizin artık izin vermediği bir şema sunabilir. Seçenekler süreyle sınırlı bir uyumluluk istisnası, istemci güncellemesi ya da yalnızca o eş için farklı bir kimlik doğrulama düzenidir. PKI'yi daha zayıf bir sertifika imzası etrafında yeniden kurmak çevrimiçi alışverişteki bir sınırlamayı gidermez ve aynı CA'ya güvenen diğer her hizmeti zayıflatır. Hangi satırı değiştirdiğinizi ve istisnanın ne zaman biteceğini kaydedin.
Sonra iki okumayı baştan yeniden çalıştırın, çünkü bir satırdaki değişiklik diğerinde görüşüleni kaydırabilir. Envanterin tamamı iki komut ve bir tablodur ve eş ister yönlendirici, ister dizüstü, isterse cihaz olsun iş aynıdır.