IKEv2 da ikkita imzo bor: sertifikat va IKE_AUTH
CA sertifikatni imzolaydi, hamroh esa o‘z IKE_AUTH almashinuvini o‘z sxemasi bilan imzolaydi. Har birini o‘z maydonidan o‘qing, so‘ng ikkalasini yozib qo‘ying.
Sizning tiketingiz sertifikat SHA-256 deb aytadi, ammo shlyuz jurnali boshqa imzo algoritmini nomlaydi va kimdir allaqachon CA ni qayta chiqarish uchun ariza tayyorlagan. O‘sha ariza biror joyga ketishidan oldin ikkita imzoni ajrating: biri chop etuvchining ochiq kalitdagi tamg‘asi, ikkinchisi hamrohning IKE_AUTH vaqtida mos keluvchi maxfiy kalitga ega ekanini isbotlashi. Ularni turli komponentlar tanlaydi va ularning farq qilishiga ruxsat beriladi. Har birini yashaydigan joyidan o‘qish ikkita buyruq va bitta jadval talab qiladi.
Chop etuvchining imzosini sertifikatdan o‘qing
CA o‘z imzosini o‘zlik va kalit o‘rtasidagi bog‘lanishga qo‘yadi. Bu imzo CA chiqarish paytida nima qilganini qayd etadi, sub’yekt ulanganda nima qilishini emas, shuning uchun uning algoritmi CA ning o‘z xesh va kalit tanlovini tavsiflaydi. Bir turdagi sub’yekt kaliti hech qanday ziddiyatsiz boshqa turdagi CA kaliti ostida bo‘lishi mumkin va CA kalitining aylanishi nuqson emas, odatiy ish. Ikkita maydonni o‘qing, ro‘yxatning yarmi sizda:
openssl x509 -in peer.pem -noout -text | grep -E "Signature Algorithm|Public Key Algorithm"Ikkala yorliqni alohida yozuv sifatida yozing. Birinchisi CA ni, ikkinchisi sub’yekt kalitini tavsiflaydi va hech biri onlayn imzoni oldindan aytmaydi.
Onlayn imzoni IKE almashinuvidan o‘qing
Autentifikatsiya paytida har bir hamroh almashinuv ma’lumotlarini o‘zining maxfiy kaliti bilan imzolaydi va qarshi tomon bu isbotni sertifikatning o‘zligi, ishonch zanjiri va siyosatiga qarab tekshiradi. RSA da to‘ldirish va xesh shu onlayn sxemaga tegishli, shuning uchun uzunroq kalit yoki yangi SHA-256 sertifikati autentifikatsiya imzosi uchun RSA-PSS ni o‘zi tanlay olmaydi. Kelishilgan usul demon jurnalida yoki uning ulanishlar ro‘yxatida ko‘rinadi, sertifikatda hech qachon emas. Har bir tomondan nima kelishilganini so‘rang, chunki ikki yo‘nalish farq qilishi mumkin.
ipsec statusall | grep -i "auth\|proposal"Bir tomon ikkinchisi ishlab chiqara olmaydigan sxemani aytsa, siz tiket aytgan nomuvofiqlikni topdingiz. CA ni qayta chiqarish bunga noto‘g‘ri tuzatish, chunki muvaffaqiyatsiz bo‘lgan narsa sertifikat emas edi.
RFC 7427 nimani o‘zgartiradi va nimani yo‘q
Asl usullar RFC 7296 da har bir algoritm birikmasi bo‘yicha raqamlangan. Keyingi RFC 7427 imzo kengaytmasi imzo xeshi qo‘llab-quvvatlanishi signali bilan umumiy Digital Signature usulini qo‘shadi, shuning uchun yangi xesh endi o‘z usul raqamiga muhtoj emas. Bu kelishiladi, taxmin qilinmaydi: hamroh kengaytmani kutubxonasi bir xil sertifikatlarni tahlil qila olgani uchun olmaydi va faqat asl usullarni joriy etuvchi hamroh shlyuzni ulardan birini saqlashga majbur qiladi. Bu moslik xarajati bo‘lgan siyosat almashinuvi, nuqson emas.
Qo‘llab-quvvatlash har bir yo‘nalish va har bir ulanish bo‘yicha, shuning uchun oila darajasidagi da’voga ishonish o‘rniga oldingizdagi qurilmani sinab ko‘ring. Uch yil oldin yozilgan imkoniyatlar matritsasi uch yillik qurilmalarni tavsiflaydi.
Ro‘yxatga to‘rt qator qo‘ying
Bahsni tugatadigan yozuvda to‘rt qator bor, har biri boshqa joydan o‘qilgan va har birini boshqa odam o‘zgartirgan. Biror narsani hal qilishdan oldin uni to‘ldiring, chunki aynan noto‘g‘ri qator tuzatishni tanlaydi.
| Obyekt | Qayerdan o‘qiladi | Kim o‘zgartiradi |
|---|---|---|
| sertifikat chop etuvchining imzosi | sertifikatning Signature Algorithm maydoni | CA operatori, chiqarish paytida |
| sub’yektning ochiq kaliti | sertifikatning Public Key Algorithm maydoni | sub’yekt kalitini yaratuvchi shaxs |
| IKE autentifikatsiya sxemasi | demon jurnali yoki ulanishlar ro‘yxati, auth va signature-hash xabarnomasi | ikkala hamrohdagi IKE profili |
| IKE va ESP himoya algoritmlari | ulanishning takliflar ro‘yxati | IPsec profili, yo‘nalish bo‘yicha |
Har bir qator o‘zining moslik oqibatini olib yuradi. ESP shifrining o‘zgarishi chop etuvchining imzosini tanlamaydi va CA tekshiruvini yumshatish hamrohlar hech qachon kelishmagan onlayn usulni qo‘shmaydi. Tiket imzo nomuvofiqligini da’vo qilsa, haqiqatan noto‘g‘ri qator deyarli hech qachon birinchi bo‘lmaydi.
Eski holatni PKI ni zaiflashtirmasdan hal qiling
Eski hamroh faqat siyosatingiz endi ruxsat bermaydigan sxemani taklif qilishi mumkin. Variantlar — muddatli moslik istisnosi, mijoz yangilanishi yoki faqat o‘sha hamroh uchun boshqa autentifikatsiya tartibi. PKI ni zaifroq sertifikat imzosi atrofida qayta qurish onlayn almashinuvdagi cheklovni tuzatmaydi va o‘sha CA ga ishonadigan barcha boshqa xizmatlarni zaiflashtiradi. Qaysi qatorni o‘zgartirganingizni va istisno qachon tugashini yozib qo‘ying.
So‘ngra ikkala o‘qishni yana yuqoridan bajaring, chunki bir qatordagi o‘zgarish boshqasida kelishilayotgan narsani siljitishi mumkin. Butun ro‘yxat ikki buyruq va bir jadval, hamroh marshrutizator, noutbuk yoki qurilma bo‘lishidan qat’i nazar ish bir xil.