P12 àtijọ́ kùnà lórí OpenSSL 3: ọ̀rọ̀ ìpamọ́ tí kò tọ́ tàbí kíróńpù àtijọ́?

Àpótí ìbánisọ̀rọ̀ ìgbéwọlé gba ọ̀rọ̀ ìpamọ́ rẹ, yí ká fún ìgbà díẹ̀, lẹ́yìn náà ó sọ pé òun kò lè ka àkójọ náà. Kò sí ohun kan nínú ìfiránṣẹ́ yẹn tí ó sọ bóyá o tẹ̀ ọ̀rọ̀ ìpamọ́ ní àṣìṣe tàbí pé a fi kíróńpù tí aláìsàn náà kò tún pèsè de fáìlì náà. Ìwọ̀nyí jẹ́ ìkùnà ọ̀tọ̀ọ̀tọ̀ pẹ̀lú àtúnṣe ọ̀tọ̀ọ̀tọ̀, àti pé yíyan tí kò tọ́ máa ń mú kí aláìsàn náà sọ̀kalẹ̀, èyí tí ó kàn ń fi ìpinnu náà pẹ́. Wíwo ìpele tí aláìsàn náà dúró sí yóò yà wọ́n sọ́tọ̀ ní nǹkan bí ìṣẹ́jú kan.

Ohun tí ó ṣẹlẹ̀ láàárín àpótí ìbánisọ̀rọ̀ àti àkọsílẹ̀ ìwé-ẹ̀rí

Fáìlì .p12 jẹ́ ohun èlò àpò, kì í ṣe ìwé-ẹ̀rí. Nínú rẹ̀ ni àpò ìwé-ẹ̀rí kan tàbí jù bẹ́ẹ̀ lọ àti àpò kọ́kọ́rọ́ àsírí ewé tí a fi kọ́kọ́rọ́ jáde láti ọ̀rọ̀ ìpamọ́ rẹ ṣe àkóso, pẹ̀lú àyẹ̀wò àìdíbàjẹ́ tí a ń pè ní MAC lórí gbogbo fáìlì náà. Ṣíṣí rẹ̀ túmọ̀ sí yẹ̀wò MAC yẹn, yọ àkóso àpò kọ́kọ́rọ́ kúrò àti bá ìwé-ẹ̀rí mu pẹ̀lú kọ́kọ́rọ́ tí ó jáde.

Ìṣòro ọ̀rọ̀ ìpamọ́ ń dé ní ìpele MAC. Ìṣòro kíróńpù ń dé lẹ́yìn náà, nígbà tí a gbọdọ̀ ṣí àpò kọ́kọ́rọ́ àti nígbà tí ìkọ́ tí ó ń ṣe é kò ní ìmúṣẹ fún àlùmọ́nì tí a dárúkọ nínú fáìlì náà.

Ìṣẹ̀lẹ̀ kejì wọ́pọ̀ lórí àwọn ẹ̀rọ òde òní nítorí OpenSSL 3 gbe ẹgbẹ́ àlùmọ́nì àtijọ́ lọ sínú legacy provider àṣàyàn. Àwọn àkójọ tí OpenSSL 1.x gbé jáde sábà máa ń fi RC2 40-bítì dé àwọn ìwé-ẹ̀rí àti fi Triple DES kọ́kọ́rọ́ mẹ́ta dé kọ́kọ́rọ́ àsírí. Ìkọ́ àkọ́kọ́ OpenSSL 3 ṣì ń yẹ̀wò MAC pẹ̀lú ọ̀rọ̀ ìpamọ́ tí ó tọ́ lẹ́yìn náà ó kùnà ní àpò, nítorí náà ọ̀rọ̀ ìpamọ́ kò tíì ṣe àṣìṣe rí àti títún tẹ̀ kò yí ohunkóhun padà.

Ka ohun èlò náà láìkọ kọ́kọ́rọ́ jáde

Bèèrè lọ́wọ́ ìkọ́ OpenSSL lórí ẹ̀rọ rẹ pé kí ó ṣàyẹ̀wò fáìlì náà kí ó sì ka ibi tí ó ti juwọ́ sílẹ̀. Àyẹ̀wò láìsí fáìlì àbájáde fi kọ́kọ́rọ́ sílẹ̀ ní àkóso lórí díísìkì, ìdí kan ṣoṣo tí ìgbésẹ̀ yìí fi jẹ́ àìléwu lórí olùpèsè tí a ń pín ni ìyẹn.

openssl pkcs12 -in vpn-identity.p12 -info -noout

Lórí àkójọ àtijọ́ pẹ̀lú ọ̀rọ̀ ìpamọ́ tí ó tọ́ èyí á tẹ̀ àwọn ànímọ́ àpò jáde lẹ́yìn náà ó dúró pẹ̀lú digital envelope routines::unsupported. Pẹ̀lú ọ̀rọ̀ ìpamọ́ tí kò tọ́ ìwọ yóò gba Mac verify error: invalid password? kí a tó ka àpò kankan. Àwọn ìfiránṣẹ́ méjì náà fi ọ̀nà ìdàkejì hàn, ìsọfúnni tí aláìsàn náà fi pa mọ́ ni pátápátá.

Tí ìkùnà bá jẹ́ ti àlùmọ́nì tí a kò gbà, run ìtọ́nà kan náà lẹ́ẹ̀kan sí i pẹ̀lú -legacy tí a fi kún àti láìyí ohunkóhun mìíràn padà. Àmì yẹn ń gbé legacy provider fún ìlànà kan náà nìkan. Kò fipá mú aláìsàn VPN láti ṣàyẹ̀wò àwọn àkójọ àtijọ́, kò fọwọ́ kan ìlànà kíróńtò gbogbo ẹ̀rọ, ó sì jẹ́ ìwọ̀n kì í ṣe àtúnṣe, nítorí a ṣì ní láti rọ́pò fáìlì náà.

Àṣìṣe wo ni ìpele wo

Tábìlì kúkúrú ń ya àwọn àbájáde mẹ́ta sọ́tọ̀, àti pé ọ̀rọ̀ náà ṣe pàtàkì ju ibi tí àpótí ìbánisọ̀rọ̀ náà ti farahàn.

Ọ̀rọ̀ bíi not enough data tàbí header too long kò sí nínú ẹgbẹ́kẹgbẹ́ méjì àkọ́kọ́. Ìṣòro àdàkọ ni yìí: fáìlì DER tí a tún sọ ní .pem, ẹ̀dà tí olùtúnṣe tí ó tún kọ òpin ìlà bàjẹ́, tàbí ìgbàsílẹ̀ tí kò pé. Ṣe àfiwé àpapọ̀ àyẹ̀wò pẹ̀lú èyí tí olùgbéjáde fi ránṣẹ́ kí o tó bẹ̀rẹ̀ sí wo kíróńpù.

Wo Mac verify error gẹ́gẹ́ bí ẹ̀rí nípa ọ̀rọ̀ ìpamọ́ nìkan. Ó túmọ̀ sí pé MAC tí a ṣírò láti inú ohun tí o tẹ̀ kò bá iye tí a fi pamọ́ mu, èyí tí ó máa ń ṣẹlẹ̀ nípasẹ̀ àṣìṣe títẹ̀, ọ̀rọ̀ ìpamọ́ tí a kó sínú káṣì láti ìgbéwọlé àtẹ̀yìnwá, tàbí fáìlì tí a tún gbé jáde lábẹ́ ọ̀rọ̀ ìpamọ́ mìíràn. Kò sọ ohunkóhun nípa bóyá àwọn àlùmọ́nì inú rẹ̀ ti gbó.

Kọ́ àkójọ tí aláìsàn náà lè ṣí ní tòótọ́

Nígbà tí olùṣàyẹ̀wò legacy bá jẹ́rìí pé fáìlì náà dúró dáadáa, àtúnṣe tí ó dúró pẹ́ ni àrọ́pò tí àwọn àlùmọ́nì rẹ̀ jẹ́ èyí tí aláìsàn àfojúsùn gbà: AES-256-CBC fún àpò kọ́kọ́rọ́ àti ìwé-ẹ̀rí, PBKDF2 pẹ̀lú SHA-256 fún ìjáde àti SHA-256 fún MAC. Olùṣàkóso PKI rẹ lè gbé e jáde láti inú ohun èlò kọ́kọ́rọ́ kan náà, ìwé-ẹ̀rí inú rẹ̀ yóò sì wà gẹ́gẹ́ bí èyí tí àwọn sáfà rẹ ti gbẹ́kẹ̀lé.

Nígbà tí o bá ní láti yí padà ní àdúgbò, bèèrè lọ́wọ́ irinṣẹ́ pkcs12 pé kí ó tún fi èdìdì de àwọn àpò dípò kí ó kọ́kọ́ da wọ́n sílẹ̀. Pa ọ̀rọ̀ ìpamọ́ méjèèjì mọ́ kúrò nínú ìtàn shell rẹ nípasẹ̀ kíka wọ́n láti inú fáìlì.

openssl pkcs12 -in vpn-identity.p12 -out vpn-identity-aes.p12 \
  -keypbe AES-256-CBC -certpbe AES-256-CBC -macalg sha256 \
  -passin file:old.pass -passout file:new.pass

Ìyípadà tí ó ṣàṣeyọrí kò sọ ohunkóhun nípa òpin àkókò, ìlò kọ́kọ́rọ́, ìbámu kọ́kọ́rọ́ àsírí tàbí bóyá sáfà gbẹ́kẹ̀lé àwọn ìtẹ̀lépọ̀ olùgbéjáde. Àtúndì jẹ́ ìyípadà ìrìnàjò, kì í ṣe ìsọdọ̀tun, gbogbo wọn sì ṣì nílò àyẹ̀wò tirẹ̀.

Fojú sí àwọn ìlànà tí kọ kọ́kọ́rọ́ àárín tí kò ní ààbò tàbí ọ̀rọ̀ ìpamọ́ àbájáde òfo nìkan nítorí pé aláìsàn náà gba fáìlì náà lẹ́yìn náà. Àkójọ tí a lè kà pẹ̀lú ààbò tí a yọ kúrò jẹ́ àbájáde tí ó burú ju ìkùnà ìgbéwọlé tí o bẹ̀rẹ̀ pẹ̀lú.

Jẹ́rìí pé aláìsàn náà gbé fáìlì tí o kọ́ wọlé

Àyẹ̀wò mímọ́ nínú terminal fi hàn pé ohun èlò náà wúlò. Kò fi hàn pé aláìsàn náà yàn án, nítorí pé profáìlì tí ó kù lè máa tọ́ka sí fáìlì àtijọ́, àwọn aláìsàn kan sì ń kó ìdánimọ̀ tí a gbé wọlé sínú káṣì lábẹ́ orúkọ tí o kò yàn.

Tẹ ìdánimọ̀ tí o ń ṣíwájú láti gbé wọlé jáde kí o sì fi wé ohun tí aláìsàn náà fi hàn nínú ojú ìwé-ẹ̀rí rẹ̀.

openssl pkcs12 -in vpn-identity-aes.p12 -clcerts -nokeys -passin file:new.pass \
  | openssl x509 -noout -subject -dates -fingerprint -sha256

Yọ àkọsílẹ̀ profáìlì àtijọ́ kúrò ní àkọ́kọ́, lẹ́yìn náà gbé wọlé. Tí aláìsàn náà bá kọ kókó-ọ̀rọ̀ tàbí àmì ìka tí ó gbé wọlé sínú ìwé-ìṣẹ́, fi wé ìlà tí ó wà lókè; tí ó bá kàn fi orúkọ ọ̀rẹ́ hàn, ṣàyẹ̀wò ọjọ́ òpin dípò, nítorí ó ṣòro láti dà á pọ̀ mọ́ ìwé-ẹ̀rí mìíràn láti ọ̀dọ̀ olùgbéjáde kan náà.

Ìtọ́kasí PKCS12 ṣe àkójọ provider, ọ̀rọ̀ ìpamọ́ àti àwọn àṣàyàn àbájáde tí a lò níbí. Pípamọ́ legacy provider kúrò ní àyíká aláìsàn ni kókó: fi í wọ̀n, fi í jáde láìsí rẹ̀, kí o sì fi kọ́kọ́rọ́ àsírí sílẹ̀ ní ààbò lórí díísìkì.