🥇 Fotodrafitrasa fototra ho an'ny daholobe. Famoahana certificat mandritra ny fitokan-tena

Ahoana no nanombohan'izany rehetra izany?

Tany am-piandohan'ny vanim-potoana fitokanan-tena dia naharay taratasy tamin'ny mailaka aho:

Ny fanehoan-kevitra voalohany dia voajanahary: na tsy maintsy mandeha amin'ny marika ianao, na tsy maintsy entina, fa hatramin'ny alatsinainy dia nipetraka tao an-trano izahay rehetra, misy ny famerana ny hetsika, ary iza moa izany? Noho izany, tena voajanahary ny valiny:

Ary araka ny fantatsika rehetra, ny Alatsinainy 1 Aprily no nanamarika ny fiandohan'ny fe-potoana fitokana-monina henjana. Isika rehetra koa dia efa nifindra tamin'ny asa lavitra, ary nila VPN koa isika. Ny VPN-ntsika dia miorina amin'ny OpenVPN, saingy novaina mba hanohanana ny kriptografia Rosiana sy ny fahafahana miasa amin'ny token PKCS#11 sy ny fitoeran-javatra PKCS#12. Mazava ho azy fa hita fa izahay koa dia mbola tsy vonona hiasa amin'ny alàlan'ny VPN: maro no tsy nanana mari-pankasitrahana fotsiny, ary ny sasany efa lany daty.

Nanao ahoana ny fandehan'ny dingana?

Ary eto no tonga ny utility mba hamonjy cryptoarmpkcs ary fampiharana CAFL63 (Ivontoerana fanamarinana).

Ny fampiasa cryptoarmpkcs dia nahafahan'ny mpiasa mitoka-monina ary manana mari-pamantarana ao amin'ny solosainy ao an-tranony hamorona fangatahana fanamarinana:

Nandefa fangatahana voatahiry tamin'ny alàlan'ny mailaka tamiko ny mpiasa. Mety hisy hanontany hoe: - Ahoana ny momba ny angon-drakitra manokana, fa raha jerena akaiky dia tsy ao anatin'ny fangatahana izany. Ary ny fangatahana mihitsy dia arovan'ny soniany.

Rehefa voaray dia ampidirina ao amin'ny tahiry CAFL63 ny fangatahana fanamarinana:

Aorian'izay dia tsy maintsy lavina na ekena ny fangatahana. Mba handinihana ny fangatahana dia mila misafidy izany ianao, tsindrio havanana ary safidio ny "Make decision" ao amin'ny menio midina:

Ny fomba fandraisana fanapahan-kevitra dia mangarahara tanteraka:

Toy izany koa no avoaka ny taratasy fanamarinana, ny sakafo ihany no antsoina hoe "Certificat de issue":

Raha hijery ny taratasy fanamarinana navoaka dia azonao atao ny mampiasa ny menu context na tsindrio fotsiny indroa eo amin'ny tsipika mifanandrify:

Ankehitriny ny atiny dia azo jerena na amin'ny alàlan'ny openssl (tabaka Text OpenSSL) sy ny mpijery naorina ao amin'ny rindranasa CAFL63 (tabilao taratasy fanamarinana). Amin'ity tranga farany ity, azonao atao ny mampiasa ny menu context mba handikana ny taratasy fanamarinana amin'ny endrika lahatsoratra, voalohany amin'ny takelaka, ary avy eo amin'ny rakitra.

Marihina eto hoe inona no niova tamin'ny CAFL63 raha oharina tamin'ny dikan-teny voalohany? Raha ny momba ny fanamarinana dia efa nanamarika izany izahay. Nanjary azo atao ihany koa ny mifidy vondrona zavatra (certificat, fangatahana, CRLs) ary mijery azy ireo amin'ny fomba paging (ny bokotra "Jereo ny voafantina ...").

Angamba ny zava-dehibe indrindra dia ny fisian'ny tetikasa malalaka amin'ny githubAnkoatra ny fizarana ho an'ny Linux, dia efa nomanina ho an'ny Windows ary OS X. Fizarana ho an'ny Android havoaka afaka kelikely.

Raha oharina amin'ny dikan-teny teo aloha CAFL63, tsy ny interface ihany no niova, fa koa, araka ny efa nomarihina, dia nampiana endri-javatra vaovao. Ohatra, nohavaozina ny pejy misy ny famaritana ny fampiharana ary nampiana rohy mivantana amin'ny fampidinana fizarana:

Maro no nanontany ary mbola manontany hoe aiza no hahazoana GOST openssl. Fomban-drazana no omeko rohy, omena tsara garex. Ny fomba fampiasana ity openssl ity dia voasoratra eto.
Saingy ankehitriny ny kitapo fanapariahana dia misy dikan-teny andrana amin'ny openssl miaraka amin'ny kriptografika Rosiana.

Noho izany, rehefa manamboatra ny CA ianao dia azonao faritana na /tmp/lirssl_static ho an'ny Linux na $::env(TEMP)/lirssl_static.exe ho an'ny openssl hampiasaina. Windows:

Amin'ity tranga ity dia mila mamorona rakitra lirssl.cnf tsy misy na inona na inona ianao ary mamaritra ny lalana mankany amin'ity rakitra ity ao amin'ny fari-piainana LIRSSL_CONF:

Ny tabilao "Extensions" ao amin'ny firafitry ny mari-pankasitrahana dia nampiana ny saha "Access Info momba ny fahefana", izay ahafahanao mametraka teboka fidirana amin'ny taratasy fanamarinana root CA sy amin'ny mpizara OCSP:

Matetika izahay no mandre fa tsy manaiky ny fangatahana novokarin'izy ireo ny CA (PKCS#10) na, ratsy kokoa aza, manery ny fananganana fangatahana miaraka amin'ny famoronana mpivady manan-danja amin'ny mpitatitra amin'ny alàlan'ny CSP sasany. Ary mandà ny hamoaka fangatahana amin'ny mari-pamantarana misy fanalahidy tsy azo alaina (amin'ny RuToken EDS-2.0 mitovy) amin'ny alàlan'ny interface PKCS#11. Noho izany dia nanapa-kevitra ny hampiditra famokarana fangatahana amin'ny fampandehanana ny fampiharana CAFL63 amin'ny alàlan'ny mekanika kriptografika amin'ny marika PKCS#11. Mba hahafahan'ireo mekanika famantarana dia nampiasaina ny fonosana TclPKCS11. Rehefa mamorona fangatahana amin'ny CA (pejy "Fangatahana mari-pankasitrahana", miasa "Mamorona fangatahana/CSR") dia azonao atao izao ny misafidy ny fomba hamoronana ny mpivady fanalahidy (mampiasa openssl na amin'ny marika) ary ny fangatahana dia hosoniavina:

Ny tranomboky ilaina amin'ny fiasana amin'ny mari-pamantarana dia voafaritra ao amin'ny firafitry ny taratasy fanamarinana:

Saingy nivily niala tamin'ny asa lehibe izahay dia ny fanomezana mari-pankasitrahana ho an'ny mpiasa hiasa amin'ny tambajotra VPN orinasa amin'ny fomba mitoka-tena. Hita fa misy mpiasa tsy manana marika. Tapa-kevitra ny hanome azy ireo kaontenera arovana PKCS#12, satria mamela izany ny fampiharana CAFL63. Voalohany, ho an'ny mpiasa toy izany izahay dia manao fangatahana PKCS#10 manondro ny karazana CIPF "OpenSSL", avy eo dia mamoaka taratasy fanamarinana izahay ary mametraka izany ao amin'ny PKCS12. Mba hanaovana izany, eo amin'ny pejy "Certificate", safidio ny taratasy fanamarinana tiana, tsindrio havanana ary safidio ny "Export to PKCS #12":

Mba hahazoana antoka fa milamina ny zava-drehetra miaraka amin'ny kaontenera, andao hampiasa ny fampiasa cryptoarmpkcs:

Azonao atao izao ny mandefa taratasy fanamarinana navoaka ho an'ny mpiasa. Ny olona sasany dia alefa fotsiny ny rakitra miaraka amin'ny mari-pankasitrahana (tompon'ny marika ireo, ireo izay nandefa fangatahana), na kaontenera PKCS#12. Amin'ny tranga faharoa, ny mpiasa tsirairay dia omena ny tenimiafina amin'ny kaontenera amin'ny telefaona. Ireo mpiasa ireo dia mila manitsy ny rakitra fikirakirana VPN amin'ny alàlan'ny famaritana tsara ny lalana mankany amin'ny fitoeran-javatra.

Ho an'ireo tompon'ny mari-pamantarana dia nila nanafatra taratasy fanamarinana ho an'ny mari-pamantarana ihany koa izy ireo. Mba hanaovana izany dia nampiasa ny fampiasa cryptoarmpkcs mitovy izy ireo:

Ankehitriny dia misy fiovana kely eo amin'ny config VPN (mety niova ny mari-pamantarana mari-pankasitrahana amin'ny famantarana) ary izay no izy, ny tambajotra VPN orinasa dia miasa.

Fiafarana mahafinaritra

Ary avy eo dia tonga saina aho hoe nahoana ny olona no hitondra famantarana ho ahy, na handefa iraka ho azy ireo aho. Ary mandefa taratasy miaraka amin'ireto votoaty manaraka ireto aho:

Tonga ny valiny ny ampitso:

Mandefa rohy mankany amin'ny fampiasa cryptoarmpkcs avy hatrany aho:

Alohan'ny hamoronana fangatahana fanamarinana, dia nanoro hevitra aho mba hanadio ireo famantarana:

Avy eo dia nalefa tamin'ny mailaka ny fangatahana mari-pankasitrahana amin'ny endrika PKCS#10 ary namoaka taratasy fanamarinana aho, izay nalefako tamin'ny: