Sertifikatlarni P12 dan shaxsiy kalitsiz eksport qilish

Qo'llab-quvvatlash so'rovi VPN to'plami ichida qaysi sertifikat borligini so'raydi va birinchi turtki hammasini eksport qilib ilova qilishdir. P12 fayli sertifikatlar va shaxsiy kalit materialini bitta konteynerga qadoqlaydi, shuning uchun hammasini eksport qilish yubormasligingiz kerak bo'lgan narsaning o'zidir. Savolga javob beradigan buyruq tanlov muammosi, konvertatsiya muammosi emas. To'rt bayroq konteynerning qaysi yarmini olishingizni hal qiladi va ulardan ikkitasi bo'lganidan xavfsizroq tuyuladi.

Konteynerni bo'shatish o'rniga uni o'qishdan boshlang.

PKCS12 fayli aslida nima saqlaydi

PKCS12 konteyneri bir yoki bir nechta sertifikat, ehtimol shaxsiy kalit va mazmun ustidan message authentication code saqlaydi. Sertifikatlar mijoz identifikatingizning barg sertifikatini va uni CA bilan zanjirlaydigan oraliq sertifikatlarni o'z ichiga olishi mumkin. Kalit, mavjud bo'lganda, faylni hujjat emas, sir qiladigan narsadir.

Bu farq -nokeys mavjudligining va bu vazifaga aynan shu bayroq kerakligining sababidir.

To'plamni kalitni yozmasdan o'qing

Tekshirish shakli struktura va algoritm tafsilotlarini chop etadi va hech narsa yozmaydi: openssl pkcs12 -in client.p12 -info -noout. Import parolini so'raydi, bu qiymat uchun to'g'ri joy, va faylda umuman kalit bor-yo'qligini aytadi. Parolni terish imkoni bo'lmasa -passin env:PKCS12_PASS dan foydalaning, chunki shell buyrug'idagi parol jarayonlar ro'yxatidagi paroldir. Bu qadam hech narsa eksport qilmaydi va butun mantiq shunda.

Chiqishni uch narsa uchun o'qing: nechta sertifikat, kalit bormi va uni qaysi algoritmlar himoya qiladi.

-nokeys dan foydalaning va uni -nocerts bilan chalkashtirmang

-nokeys shaxsiy kalitlarni chiqarib tashlaydi va sertifikatlarni qoldiradi. -clcerts buni mijoz sertifikatlarigacha toraytiradi, -cacerts CA sertifikatlarigacha toraytiradi va bu ikkisi alternativa emas, filtrdir. -nocerts xuddi shu fikrning xavfsiz yozilishi kabi o'qiladi va teskarisini bildiradi: sertifikat yo'q, bu faqat kalitlarni qoldiradi. Uni sertifikat eksportiga aralashtirish shaxsiy kalitning diskka tushish usulidir.

Sertifikat fayli va CA faylini va boshqa hech narsani hosil qiladigan ikki qatorli shakl quyidagicha:

openssl pkcs12 -in client.p12 -nokeys -clcerts -out client-certificates.pem
openssl pkcs12 -in client.p12 -nokeys -cacerts -out ca-certificates.pem

Eski to'plamlar o'zlarining eski shifrlashini o'qish uchun OpenSSL 3 da -legacy talab qiladi va bu bayroq parser nimani qabul qilishini o'zgartiradi, nimani chiqarishini emas. Agar tahlil qo'llab-quvvatlanmaydigan algoritm xatosi bilan muvaffaqiyatsiz bo'lsa, -legacy qo'shish to'g'ri birinchi qadam, MAC tekshiruvini o'tkazib yuborish esa yo'q.

Chiqishni tekshiring, chiqish kodini emas

Nol chiqish holati buyruq ishlaganini aytadi, fayl kutganingizni saqlashini emas. Chiqishdagi sertifikatlarni sanang va subject va sanalarni o'qing: openssl x509 -in client-certificates.pem -noout -subject -dates -fingerprint. Barmoq izini qo'llab-quvvatlash jamoasi kutgan bilan solishtiring, chunki ikkita mijoz sertifikati bo'lgan to'plam ikki blokli fayl hosil qiladi va ko'pchilik vositalar faqat birinchisini o'qiydi. Maqsad, ishonch va kalit mosligi yana alohida testlardir.

Tahlil qilinadigan sertifikat tahlil qilinadigan sertifikatdir. Bu VPN qabul qiladigan sertifikat emas.

Umuman fayllar kerakmi yoki yo'qmi hal qiling

Agar qabul qiluvchi mijoz PKCS12 ni to'g'ridan-to'g'ri import qilsa, asl to'plamni parolni alohida saqlagan holda tasdiqlangan kanal orqali yuborish soddaroq va himoyani saqlaydi. Ajratib olish tekshirish, PEM kerak bo'lgan mijoz yoki aniq artefakt so'ragan qo'llab-quvvatlash holati uchun. Har bir ajratib olish bir qatlamni olib tashlaydi va sababi bo'lishi kerak.

Ommaviy sertifikatlar shaxsiy kalitni saqlamaydi, lekin nomlar va tashkilot tafsilotlarini saqlaydi. Fayl o'rniga so'rov so'ragan maydonlarni ulashing, agar aynan fayl so'ralmagan bo'lsa.