Açar ifadəsini silmək, yoxsa saxlamaq? Yaradığınız surət
Şifrənməmiş açar faylı eyni sirri daha zəif qoruma altında saxlayır. Çevirməzdən əvvəl saxlanma riskini müqayisə edin və bunun nəyi düzəltmədiyini bilin.
Şifrələnmiş şəxsi açar ilə şifrələnməmiş açar eyni açar materialını saxlayır. Çevirmə yeni kimlik yaratmır, VPN hesabını sıfırlamır və köhnə faylı etibarsız etmir. O, ikinci surət yazır və bu surət fərqli saxlanma riski daşıyır.
Bu mübadilənin dəyərli olub-olmaması faylın harada yaşayacağından və onu kimin oxuya biləcəyindən asılıdır.
Çevirmə əslində nəyi dəyişir
Çevirmədən əvvəl açar operatorun təqdim etdiyi açar ifadəsi ilə qorunur. Çevirmədən sonra açar fayl sistemi icazələri və faylı əhatə edən istənilən giriş nəzarəti ilə qorunur. Kriptoqrafiya dəyişməyib; hücumçu ilə açar arasında duran şeylərin sayı dəyişib. Bütün müqayisə budur.
Cədvəl fərqi konkretləşdirir.
| Form | What protects it | How it fails |
|---|---|---|
| Encrypted key | A passphrase plus file access | Weak passphrase, or an offline attack on the file |
| Unencrypted key | File permissions and host security only | Any reader copies it silently |
Heç bir forma avtomatik olaraq daha təhlükəsiz deyil. Onlar fərqli şəkildə uğursuz olur və bu yollardan yalnız biri jurnal qeydi buraxır.
Açar ifadəsini saxlamaq nə vaxt daha yaxşıdır
Dəstəklənən müştəri açar ifadəsini soruşa və ya təsdiqlənmiş sirr anbarından götürə bilirsə, çevirmə heç nə qazandırmır. Bir surət, bir qoruma sərhədi və izləmək üçün bir fayl az saxlayırsınız. PEM açarlarını qəbul edən VPN müştərilərinin çoxu bunu edə bilir.
Komanda açarı paylaşdıqda çevirmə də yanlış addımdır. Paylaşılan hostdakı şifrələnməmiş fayl shell girişi olan hər kəsin kopyalaya biləcəyi bir etimadnaməyə çevrilir.
Şifrələnməmiş surət nə vaxt əsaslandırılır
Bəzi xidmətlər soruşa bilmir, bəzi konteynerlər sirləri yalnız oxuma rejimində bağlayır və bəzi cihazlar yüklənmə zamanı interaktiv yol olmadan açar faylını oxuyur. Belə hallarda düzgün məhdudlaşdırılmış qovluqda şifrələnməmiş açar dəstəklənən dizayn ola bilər. Əsaslandırma mühitdir, rahatlıq deyil.
Faylı kimin oxuya biləcəyini və niyə oxuya biləcəyini deyə bilmirsinizsə, cavab xeyrdir.
Əmr və onun kəskin kənarları
OpenSSL 3.5 tərəfindən dəstəklənən fayl əsaslı açar üçün pkey arayışı açar ifadəsinin silinməsini və giriş şifrələnmiş olduqda və heç bir parol mənbəyi verilmədikdə interaktiv sorğunu sənədləşdirir. Minimum forma qısadır və onu səhlənkarlıqla işə salmaq asandır.
umask 077
openssl pkey -in protected-key.pem -out new-private-key.pemÜç kəskin kənar. Çıxış faylının giriş/çıxışı atomik deyil, ona görə mövcud çıxış yolu yazının ortasında kəsilə bilər. Giriş yolunu çıxış kimi istifadə etməyin və yeganə qorunan surət üzərində təcrübə aparmayın. Açar ifadəsini əmr sətrində deyil, sorğuda daxil edin, çünki orada shell tarixçəsinə düşür.
Hər hansı VPN konfiqurasiyasını dəyişməzdən əvvəl nəticəni yoxlayın: openssl pkey -in new-private-key.pem -pubout əvvəl malik olduğunuz eyni açıq açarı çap etməlidir.
Çevirmə nəyi etmir
O, şifrələnmiş surəti ləğv etmir, hansı ki onu harada buraxdınızsa orada hələ də mövcuddur. O, VPN hesabının parolunu və ya sertifikatı dəyişmir. Və artıq baş vermiş məruz qalmanı bərpa etmir. Əgər açar sızıbsa, həll yerli format dəyişikliyi deyil, əvəzetmə və server tərəfində geri çəkmədir.
Ara faylı qəsdən silin və sildiyiniz yolun yaratdığınız yol olduğunu təsdiqləyin.