’n SSH-sleutelwagfrase beskerm die lêer, nie die roete nie

’n Rugsteuskyf van ’n ou skootrekenaar bevat steeds ’n private SSH-sleutel, en iemand vra of die VPN dit beskerm. Dit doen nie, en dit het nooit gedoen nie. Die VPN beskerm ’n pad tussen twee netwerke; die wagfrase beskerm die lêer; die agent beskerm ’n lopende sessie. Drie verskillende meganismes, drie verskillende foutmodusse, en ’n gesteelde kopie gee net om die eerste twee.

Die wagfrase hoort by die lêer

’n SSH-sleutelwagfrase versleutel die private sleutelmateriaal in rus. Dit is nie die rekeningwagwoord wat na die bediener gestuur word nie, en dit is nie die geloofsbrief waarmee jy by die VPN aansluit nie. Om hulle te verwar lei tot veranderinge wat nie die blootstelling aanspreek nie.

OpenSSH se ssh-keygen-handleiding dek die hantering van wagfrases, insluitend die -p-skakelaar wat ’n nuwe wagfrase op ’n sleutel stel wat reeds bestaan.

Vir ’n bestaande sleutel is die opdragvorm eenvoudig, en dit herskryf die lêer:

ssh-keygen -p -f ~/.ssh/id_ed25519

Gebruik die sleuteleienaar se goedgekeurde onderhouds- en herstelproses, want dit is ’n skryfaksie, nie ’n inspeksie nie. Moenie die private lêer publiseer of ’n werklike wagfrase op ’n gedeelde opdragreël plaas nie. ’n Wagfraseverandering herversleutel nie ’n kopie wat vroeër geneem is nie. Hou die ou kopie se ligging in die kaartjie sodat die eienaar kan besluit of dit vernietig moet word.

’n Kopie oorleef die skootrekenaar en die tonnel

Sodra ’n sleutellêer gekopieer is, sê die skootrekenaar se lewendige VPN-verbinding niks meer daaroor nie. Wat saak maak, is hoe goed die lêer self beskerm word, en watter bedieners die ooreenstemmende publieke sleutel nog vertrou.

Om die wagfrase op die huidige lêer te verander, raak nie die kopie nie, en dit verwyder nie dieselfde publieke sleutel uit authorized_keys op ’n bediener nie. Herroeping en herversleuteling is afsonderlike aksies.

Behandel dus ’n gelekte private sleutel as ’n identiteitsgebeurtenis, nie ’n netwerkgebeurtenis nie. Verwyder of vervang die aanvaarde sleutel deur die bedieners en die inskrywingsproses wat dit besit. Om die VPN te stop, beperk een roete op een oomblik; dit is nie herroeping nie.

Ontsluiting skuif die geheim in ’n agent in

’n Agent hou ontsyferde identiteite vir latere verifikasie, sodat die gebruiker nie die wagfrase vir elke verbinding intik nie. Dit is ’n bruikbaarheidsfunksie met ’n eie sekuriteitsgrens.

ssh-agent kan beperk hoe lank ’n identiteit gelaai bly via sy -t-opsie, en ’n instelling per identiteit kan daardie beperking oorheers. Kies die beleid vir die agent wat jy werklik gebruik, eerder as om aan te neem dat ’n VPN-ontkoppeling elke gelaaide sleutel vergeet.

’n Proses wat gekompromitteer word nadat die sleutel ontsluit is, is ’n ander probleem as ’n gesteelde versleutelde lêer. Om die agent na ’n ander gasheer deur te stuur, delegeer verifikasievermoë sonder om die sleutellêer te kopieer, so aktiveer dit net vir ’n goedgekeurde behoefte.

Lys wat die agent tans hou voor en ná ’n verandering:

ssh-add -l

Ongesiene take het hulle eie plan nodig

’n Geskeduleerde taak kan nie ’n opdrag beantwoord nie. Dit het ’n goedgekeurde reëling vir masjienbewyse nodig, en om die ontsluitingsgeheim in dieselfde gids as die sleutel te hou, leesbaar deur dieselfde rekening, skep nie ’n tweede grens nie.

Werk saam met die dienseienaar oor ondersteunde geheimelevering of hardewaregebaseerde werking, en dek hernuwing, mislukking en herstel. Om ’n mens by die sleutelbord te wil hê, verander hoe mislukking lyk in vergelyking met ’n gasheer wat opstart terwyl niemand kyk nie.

Hou ook die bediener se gasheeridentiteitskontrole en sy rekeningbeperkings. ’n VPN-roete gee jou ’n private pad; dit bewys nie dat elke SSH-luisteraar wat jy kan bereik die gasheer is wat jy bedoel het nie. Teken die luisteraar en die gasheersleutel-vingerafdruk in dieselfde inventaris as die sleutel self aan.

Verifieer die grense afsonderlik

Toets elke grens met sy eie vraag. Maak die lêer oop sonder die wagfrase? Hou die agent die identiteit ná ’n ontkoppeling? Aanvaar die bediener steeds die publieke sleutel?

Twee opdragte beantwoord die eerste en die derde:

ssh-keygen -y -f ~/.ssh/id_ed25519
ssh -v [email protected]

Teken lêerbeskerming, toegelate sleutelgebruik en verwydering aan die bedienerkant as drie afsonderlike lyne aan. ’n Tonnel, ’n wagfrase en ’n agent beskerm elk ’n ander deel van die verhouding, en net een van hulle gaan oor die netwerk.