إزالة عبارة مرور للمفتاح أم الإبقاء عليها؟ النسخة التي تنشئها
يحمل ملف مفتاح غير مشفّر السر نفسه خلف حماية أضعف. قارن المخاطر أثناء التخزين قبل التحويل، واعرف ما لا يعالجه التحويل.
يحمل المفتاح الخاص المشفّر والمفتاح غير المشفّر المادة نفسها. التحويل لا ينشئ هوية جديدة ولا يعيد ضبط حساب VPN ولا يبطل الملف القديم. إنه يكتب نسخة ثانية، وتلك النسخة تحمل خطرًا مختلفًا أثناء التخزين.
ما إذا كانت المقايضة تستحق ذلك يعتمد على المكان الذي سيعيش فيه الملف ومن يستطيع قراءته.
ما الذي يغيّره التحويل فعليًا
قبل التحويل، يُحمى المفتاح بعبارة مرور يوفّرها المشغّل. بعد التحويل، يُحمى بأذونات نظام الملفات وبأي ضوابط وصول تحيط بالملف. لم تتغير تقنية التشفير؛ لكن عدد الأشياء الواقفة بين المهاجم والمفتاح تغيّر. هذه هي المقارنة كلها.
يجعل الجدول الفرق ملموسًا.
| Form | What protects it | How it fails |
|---|---|---|
| Encrypted key | A passphrase plus file access | Weak passphrase, or an offline attack on the file |
| Unencrypted key | File permissions and host security only | Any reader copies it silently |
لا يكون أي من الشكلين أكثر أمانًا تلقائيًا. إنهما يفشلان بطرق مختلفة، وطريقة واحدة فقط من تلك الطرق تترك سجلًا في السجلات.
متى يكون الإبقاء على عبارة المرور أفضل
إذا كان بإمكان عميل مدعوم أن يطلب عبارة المرور أو يجلبها من مخزن أسرار معتمد، فإن التحويل لا يشتري شيئًا. تحتفظ بنسخة واحدة وحدود حماية واحدة وبملف أقل للمتابعة. تستطيع معظم عملاء VPN التي تقبل مفاتيح PEM فعل ذلك.
التحويل أيضًا خطوة خاطئة عندما يشارك فريق ما المفتاح. يصبح ملف غير مشفّر على مضيف مشترك بيانات اعتماد يمكن لأي شخص لديه وصول إلى الصدفة نسخها.
متى تكون النسخة غير المشفّرة مبرَّرة
بعض الخدمات لا تستطيع الطلب، وبعض الحاويات تُركّب الأسرار للقراءة فقط، وبعض الأجهزة تقرأ ملف مفتاح عند الإقلاع دون مسار تفاعلي. في تلك الحالات، قد يكون مفتاح غير مشفّر داخل دليل مقيّد بشكل صحيح هو التصميم المدعوم. المبرّر هو البيئة، لا السهولة.
إذا لم تستطع أن تذكر من يستطيع قراءة الملف ولماذا، فالجواب لا.
الأمر وحوافه الحادة
بالنسبة لمفتاح قائم على ملف يدعمه OpenSSL 3.5، فإن مرجع pkey يوثّق إزالة عبارة المرور ومطالبة تفاعلية عندما تكون المدخلات مشفّرة ولا يُقدَّم مصدر لكلمة المرور. الصيغة الدنيا قصيرة، ومن السهل تشغيلها بإهمال.
umask 077
openssl pkey -in protected-key.pem -out new-private-key.pemثلاثة حواف حادة. إدخال/إخراج ملف الإخراج ليس ذريًّا، لذا يمكن قطع مسار إخراج موجود في منتصف الكتابة. لا تستخدم مسار الإدخال كمسار إخراج، ولا تجرّب على النسخة المحمية الوحيدة. أدخل عبارة المرور عند المطالبة بدلًا من سطر الأوامر، حيث تنتهي في سجل الصدفة.
تحقّق من النتيجة قبل تغيير أي إعداد لـ VPN: openssl pkey -in new-private-key.pem -pubout يجب أن يطبع المفتاح العام نفسه الذي كان لديك من قبل.
ما لا يفعله التحويل
إنه لا يبطل النسخة المشفّرة، التي لا تزال موجودة حيثما تركتها. إنه لا يغيّر كلمة مرور حساب VPN ولا الشهادة. وهو لا يصلح تعرّضًا حدث بالفعل. إذا تسرّب مفتاح، فإن الحل هو الاستبدال والسحب من جهة الخادم، وليس تغيير الصيغة محليًا.
احذف الملف الوسيط عن قصد، وتأكّد من أن المسار الذي تحذفه هو المسار الذي أنشأته.