Data Domain: 인증서 가져오기에 실패했습니다. 지원되지 않는 알고리즘이 사용되었습니다.

문제 설명

sysadmin@DDhostname(active:1)# adminaccess certificate import host application all file DDhostname.p12
Enter password:

**   Importing the certificate will restart the http/https services and currently active http/https user sessions will be terminated.

        Do you want to import this certificate? (yes|no) [yes]: yes

**** Certificate import failed. Unsupported algorithm used.

Only "PBES2, PBKDF2, AES-256-CBC" (AES-256-CBC) encryption algorithm is supported for the PKCS12 file.

근본 원인:

보다 안전한 알고리즘이 필요하도록 동작 변경은 8.4에서 처음 추가된 후 7.13.1.40 및 8.3.1.10으로 백포트되었습니다. 

8.4 보안 구성 가이드 24페이지:
"PKCS12 및 PEM 형식이 지원됩니다. AES-256-CBC는 PKCS12 파일에 대해 지원되는 유일한 암호화 알고리즘입니다."

https://dl.dell.com/content/manual48623864-ddos-dell-powerprotect-data-domain-virtual-edition-and-powerprotect-dd-management-center-ddmc-8-4-security-configuration-guide.pdf?language=en-us (p24)

해결 방법/참고 사항:

호환되지 않는 PKCS12 키 저장소 파일은 다음 2개의 명령을 실행하여 AES-256-CBC 알고리즘을 사용하여 호환되는 키 저장소로 쉽게 변환할 수 있습니다 

#1 단계: 호환되지 않는 PKCS # 12 키 저장소 파일의 개인 키 및 인증서를 PEM 형식으로 내 보냅니다.

openssl pkcs12 -in nonCompiantkeystore.p12  -nokeys -out cert.pem
openssl pkcs12 -in nonCompiantkeystore.p12  -nodes -nocerts -out key.pem

#2 단계: 내보낸 키 쌍 파일을 호환 PKCS # 12 키 저장소 파일로 변환합니다.

openssl pkcs12 -export -in cert.pem -inkey key.pem -name  tomcat -out Compiantkeystore.p12 -macalg SHA256  -keypbe AES-256-CBC -certpbe AES-256-CBC -passout pass:DD_1234

#3 단계 : (선택 사항) 변환 된 파일 알고리즘의 유효성을 검사합니다.

openssl pkcs12 -info -in Compiantkeystore.p12 -noout

openssl pkcs12 -info -in ddv.p12 -noout

openssl pkcs12 -in ddv.p12 -clcerts -nokeys -out cert.pem
openssl pkcs12 -in ddv.p12 -cacerts -nokeys -out public.pem
openssl pkcs12 -in ddv.p12 -nocerts -out key.pem
openssl rsa -in key.pem -out dkey.pem

openssl pkcs12 -export -out ddvnew.p12 -keypbe AES-256-CBC -certpbe AES-256-CBC -certfile public.pem -inkey dkey.pem -in cert.pem