Odpravljanje pogostih težav z infrastrukturo PQ-kriptografije.

Zaženite te ukaze za preverjanje stanja sistema:

# 1. Različica OpenSSL
openssl version
# Pričakovano: OpenSSL 3.6.0 ali novejši
 
# 2. Ali so PQ-algoritmi na voljo?
openssl list -signature-algorithms | grep -i "ml-dsa"
openssl list -kem-algorithms | grep -i "ml-kem"
 
# 3. Ali je ponudnik aktiven?
openssl list -providers
 
# 4. .NET Runtime
dotnet --list-runtimes | grep "NETCore.App 8"

Simptom:

Unable to load DLL 'libcrypto-3-x64.dll'

Diagnostika:

# Windows - iskanje DLL
where libcrypto-3-x64.dll
 
# Linux - iskanje deljene knjižnice
ldconfig -p | grep libcrypto
 
# macOS - iskanje dylib
ls /usr/local/lib/libcrypto*

Rešitev Windows (PowerShell kot administrator):

# Preverite PATH
$env:PATH -split ";" | Select-String "OpenSSL"
 
# Razširite PATH (če ni prisoten)
[Environment]::SetEnvironmentVariable("Path", $env:Path + ";C:\Program Files\OpenSSL\bin", "Machine")
 
# Ali nastavite OPENSSL_PATH
[Environment]::SetEnvironmentVariable("OPENSSL_PATH", "C:\Program Files\OpenSSL\bin", "Machine")

Rešitev Linux:

# Posodobite ldconfig
echo "/usr/local/openssl/lib64" | sudo tee /etc/ld.so.conf.d/openssl.conf
sudo ldconfig
 
# Preverite
ldconfig -p | grep libcrypto

Simptom:

OpenSSL version 3.6.0+ required for ML-DSA

Diagnostika:

# Celotna različica in informacije o gradnji
openssl version -a
 
# Poišči nameščene različice (Linux)
find /usr -name "openssl" -type f 2>/dev/null
 
# Poišči nameščene različice (Windows)
where /r C:\ openssl.exe 2>nul

Rešitev: Posodobite na OpenSSL 3.6.0+ → Namestitev

Simptom:

openssl list -signature-algorithms | grep -i "ml-dsa"
# Ni izhoda

Diagnostika:

# Preverite stanje ponudnika
openssl list -providers
 
# Vsi razpoložljivi algoritmi za podpise
openssl list -signature-algorithms
 
# Vsi razpoložljivi KEM-algoritmi
openssl list -kem-algorithms

Možni vzroki:

• OpenSSL < 3.6.0 (ML-DSA/ML-KEM šele od 3.6)
• Ponudnik ni naložen
• Gradnja po meri brez podpore PQ

# Analiziraj certifikat v formatu PEM
openssl x509 -in cert.pem -text -noout
 
# Preverite algoritem podpisa
openssl x509 -in cert.pem -text -noout | grep "Signature Algorithm"
 
# Pri PQ-certifikatih pričakovano:
# Signature Algorithm: ML-DSA-65 ali ML-DSA-87
 
# Podrobnosti javnega ključa
openssl x509 -in cert.pem -pubkey -noout | openssl pkey -pubin -text -noout

# Enostavno preverjanje
openssl verify -CAfile root-ca.crt -untrusted intermediate.crt server.crt
 
# Podrobno s podrobnostmi napak
openssl verify -verbose -CAfile root-ca.crt -untrusted intermediate.crt server.crt
 
# Pričakovani izhod pri uspehu:
# server.crt: OK

Pogoste napake pri preverjanju:

Simptom:

PQ private key not found for certificate thumbprint: ABC123...

Diagnostika:

Windows (PowerShell):

# Pot do shrambe PQ-ključev
$pqKeyStore = "$env:LOCALAPPDATA\WvdS.Crypto\PqKeys"
 
# Preverite obstoj
Test-Path $pqKeyStore
 
# Seznam vsebine
Get-ChildItem $pqKeyStore -ErrorAction SilentlyContinue
 
# Preverite dovoljenja
Get-Acl $pqKeyStore | Format-List

Linux:

# Pot do shrambe PQ-ključev
PQ_KEYSTORE=~/.local/share/wvds-crypto/pqkeys
 
# Preverite obstoj
ls -la $PQ_KEYSTORE
 
# Preverite dovoljenja (mora biti 700)
stat $PQ_KEYSTORE

Rešitev:

1. Obnovite iz varnostne kopije
2. Če ni varnostne kopije: Ponovno ustvarite certifikat z novim parom ključev

Diagnostika:

# Seznam ponudnikov
openssl list -providers
 
# Mora vsebovati:
#   fips
#     name: OpenSSL FIPS Provider
#     status: active

Rešitev: Aktivirajte FIPS Provider v openssl.cnf → Konfiguracija FIPS

Simptom:

error:0308010C:digital envelope routines::unsupported

Vzrok: Algoritem ni dovoljen v FIPS-načinu.

Algoritmi, odobreni za FIPS 140-3:

# Preverite TLS-rokovanje in certifikat
openssl s_client -connect server.example.com:443 -showcerts
 
# S specifičnim CA-paketom
openssl s_client -connect server.example.com:443 -CAfile /pot/do/ca-bundle.crt
 
# Prisili TLS 1.3
openssl s_client -connect server.example.com:443 -tls1_3

# Prenesi in shrani certifikat
openssl s_client -connect server.example.com:443 < /dev/null 2>/dev/null | \
    openssl x509 -outform PEM > server.crt
 
# Analiziraj certifikat
openssl x509 -in server.crt -text -noout

# Poišči kodo napake
openssl errstr 0308010C
 
# Prikaži vse nedavne napake (če je v načinu za razhroščevanje)
openssl errstr

# Dogodki, povezani s kriptografijo
Get-EventLog -LogName Application -Source "*Crypto*" -Newest 20
 
# Napake .NET Runtime
Get-EventLog -LogName Application -Source ".NET Runtime" -Newest 10 -EntryType Error

# Vnosi, povezani z OpenSSL
journalctl | grep -i openssl | tail -20
 
# Napake .NET Runtime
journalctl | grep -i dotnet | tail -20

• Namestitev – Pravilna nastavitev
• Konfiguracija – FIPS-način, poti
• Obratovanje – Zdravstveni pregledi, certifikati

Wolfgang van der Stille @ EMSR DATA d.o.o. - Post-Quantum Cryptography Professional