VPN sertifikatini nusxalash kalitni nusxalamaydi

Bu qo'llanma mijozning sertifikatlar ro'yxatidan boshlanadi, unda yozuv faqat nom, beruvchi va amal qilish muddati tugash sanasini ko'rsatadi, boshqa hech narsa yo'q. Uni eksport qiling, ikkinchi qurilmaga import qiling, va ulanish rad etiladi, chunki mijoz shaxsiy kalitga egaligini isbotlay olmaydi. Fayl to'liq nusxalangan; xato sertifikat o'z kalitini olib yurishini kutishdir. Formatni tanlashdan oldin eksport muloqot oynasini o'qing, so'ng haqiqatan olgan faylni tekshiring.

Ikki bosish, ikki butunlay boshqa artefakt.

Fayl kengaytmasini emas, eksport muloqot oynasini o'qing

DER yoki PEM sertifikat eksporti ochiq kalit va imzolangan shaxs da'volarini o'z ichiga oladi; bu serverga sizga ishonish, mijozga esa serverni tekshirish uchun kerak. PKCS#12 paketi sertifikat, uning zanjiri va mos shaxsiy kalitni saqlay oladigan, parol bilan himoyalangan konteynerdir, ammo uni kalitsiz ham yaratish mumkin.

PEM faqat matn kodlashdir, mazmun haqida va'da emas. Bir xil kengaytma bitta sertifikatni yoki bir nechta belgilangan blokli faylni tasvirlashi mumkin, qaysi biri ekanini eksport parametrlari hal qiladi.

Shuning uchun foydali savol hech qachon qaysi kengaytma olganingiz emas, faylda qaysi bloklar borligidir. Kalitsiz eksport qilingan paket ham paket bo'lib qoladi. Formatning mashhurligini emas, mazmunni tekshiring.

Haqiqatan nima olganingizni tekshiring

Biror narsani import qilishdan oldin yorliqlarni qidiring, so'ng sertifikat maydonlarini o'qib, qaysi shaxsni ushlab turganingizni tasdiqlang. Tekshiruvlarni haqiqatan import qilinadigan faylda bajaring. Har qayta eksportdan keyin ularni takrorlang, chunki parametrlar farq qilishi mumkin.

grep -E 'BEGIN (CERTIFICATE|PRIVATE KEY|ENCRYPTED PRIVATE KEY)' bundle.pem
openssl x509 -in client.crt -noout -subject -issuer -dates
openssl pkey -in client.key -noout -text | head -5
openssl pkcs12 -info -in client.p12 -noout

Faqat sertifikat bloki bo'lgan eksport ommaviy obyekt bo'lib, autentifikatsiya qila olmaydi. Sertifikatsiz kalit bloki sizni server kutgan zanjirdan mahrum qoldiradi. PKCS#12 ma'lumot chiqishi kalit bor-yo'qligini ham bildiradi va bu o'sha format uchun savolni hal qiladi. U algoritm va kalit o'lchamini ham aytadi, kalit bo'lmasa butunlay muvaffaqiyatsizlikka uchraydi.

Shaxsiy kalit bo'lgan faylni qo'llab-quvvatlash mavzusiga, muammolar kuzatuvchisiga yoki chatga hech qachon joylashtirmang, u ilgari ulashgan sertifikatingizga o'xshasa ham. Kalit panelining ekran suratlari ham shunday ehtiyotni talab qiladi.

Kalit nusxalab bo'lmaydigan joyda turishi mumkin

Boshqariladigan qurilmalarda shaxsiy kalit operatsion tizimning kalitlar to'plamida, apparat tokenida yoki xavfsiz anklavda bo'lishi mumkin, siyosat esa uni eksport qilinmaydigan deb belgilaydi. Shunda sertifikat menejeri ommaviy obyektni ko'rsatadi, sir esa o'z joyida qoladi, va hech bir eksport buyrug'i ko'chiriladigan nusxa yaratmaydi. Mobil qurilmalarni boshqarish orqali ro'yxatdan o'tkazish ko'pincha dizayn bo'yicha shunday ishlaydi.

Bu nazorat, chetlab o'tiladigan to'siq emas. Ommaviy sertifikatdan shaxsiy kalitni tiklash mumkin emas, va buni da'vo qiladigan har qanday vosita boshqa ish qiladi.

Nusxalash o'rniga yangi shaxsni ro'yxatdan o'tkazing

Qo'llab-quvvatlanadigan yo'l odatda yangi qurilma uchun alohida shaxsni ro'yxatdan o'tkazish va eskisini xizmatdan chiqqanda bekor qilishdir, shunda har bir qurilmani mustaqil ravishda qaytarib olish mumkin. Kalit bilan eksport haqiqatan ruxsat etilgan joyda hosil bo'lgan fayl va uning parolini hisob ma'lumotlari sifatida ko'ring: tinch holatda shifrlangan, ishonchli kanal orqali uzatilgan va ro'yxatdan o'tish tugagach o'chirilgan.

Import qilingan shaxs bilan autentifikatsiya qilib tekshiring, import muvaffaqiyatini kuzatib emas. Ommaviy sertifikatni o'z omboriga qabul qilgan mijoz kalit haqida hech narsa isbotlamagan.

Server yangi shaxsni qabul qilishini va eskisi hali ham siyosat nazarda tutganday yo'l tutishini tasdiqlab yakunlang. Shunda qo'llanma to'g'ri ko'rinadigan fayl bilan emas, dalil bilan yakunlanadi.