SSH açarının parol ifadəsi faylı qoruyur, marşrutu yox

Keçmiş noutbukdan qalan ehtiyat diskdə hələ də şəxsi SSH açarı var və kimsə VPN-in onu qoruyub-qorumadığını soruşur. Qorumur, heç vaxt da qorumayıb. VPN iki şəbəkə arasındakı yolu qoruyur; parol ifadəsi faylı qoruyur; agent işləyən sessiyanı qoruyur. Üç fərqli mexanizm, üç fərqli uğursuzluq rejimi və oğurlanmış nüsxə yalnız ilk ikisinə diqqət edir.

Parol ifadəsi fayla aiddir

SSH açarının parol ifadəsi şəxsi açar materialını istirahət vəziyyətində şifrələyir. O, serverə göndərilən hesab parolu deyil və VPN-ə qoşulmaq üçün istifadə olunan etimad məlumatı deyil. Onları qarışdırmaq, məruz qalmanı aradan qaldırmayan dəyişikliklərə gətirib çıxarır.

OpenSSH-nin ssh-keygen təlimatı parol ifadələri ilə işləməyi, o cümlədən artıq mövcud olan açara yeni parol ifadəsi təyin edən -p açarını əhatə edir.

Mövcud açar üçün əmr forması sadədir və faylı yenidən yazır:

ssh-keygen -p -f ~/.ssh/id_ed25519

Açar sahibinin təsdiqlənmiş texniki xidmət və bərpa prosesindən istifadə edin, çünki bu, yoxlama deyil, yazmadır. Şəxsi faylı dərc etməyin və real parol ifadəsini ortaq əmr sətrinə qoymayın. Parol ifadəsinin dəyişdirilməsi əvvəllər götürülmüş nüsxəni yenidən şifrələmir. Köhnə nüsxənin yerini biletdə saxlayın ki, sahib onu məhv edib-etməyəcəyinə qərar verə bilsin.

Nüsxə noutbukdan və tuneldən uzun yaşayır

Açar faylı kopyalandıqdan sonra noutbukun canlı VPN bağlantısı onun haqqında artıq heç nə demir. Vacib olan faylın özünün nə qədər yaxşı qorunduğu və hansı serverlərin uyğun açıq açarı hələ də etibarlı saydığıdır.

Cari faylda parol ifadəsini dəyişmək nüsxəyə toxunmur və serverdəki authorized_keys-dən eyni açıq açarı silmir. Ləğv etmə və yenidən şifrələmə ayrı-ayrı əməliyyatlardır.

Buna görə sızmış şəxsi açarı şəbəkə hadisəsi deyil, kimlik hadisəsi kimi qəbul edin. Qəbul edilmiş açarı ona sahib olan serverlər və qeydiyyat prosesi vasitəsilə silin və ya dəyişdirin. VPN-i dayandırmaq bir anda bir marşrutu məhdudlaşdırır; bu, ləğv etmə deyil.

Kilidi açmaq sirri agentə köçürür

Agent sonrakı autentifikasiya üçün şifrəsi açılmış kimlikləri saxlayır, beləliklə istifadəçi hər bağlantıda parol ifadəsini yenidən yazmır. Bu, öz təhlükəsizlik sərhədi olan istifadə rahatlığı xüsusiyyətidir.

ssh-agent kimliyin nə qədər yüklü qalacağını -t seçimi ilə məhdudlaşdıra bilər və hər kimlik üçün ayrı parametr bu həddi üstələyə bilər. VPN-in ayrılmasının hər yüklü açarı unutduğunu fərz etmək əvəzinə, həqiqətən işlətdiyiniz agent üçün siyasət seçin.

Açarın kilidi açıldıqdan sonra ələ keçirilən proses oğurlanmış şifrəli fayldan fərqli problemdir. Agentin başqa hosta yönləndirilməsi açar faylını kopyalamadan autentifikasiya imkanını həvalə edir, ona görə onu yalnız təsdiqlənmiş ehtiyac üçün aktivləşdirin.

Dəyişiklikdən əvvəl və sonra agentin hazırda nə saxladığını sadalayın:

ssh-add -l

Nəzarətsiz işlərin öz planı olmalıdır

Planlaşdırılmış iş sorğuya cavab verə bilməz. Onun üçün təsdiqlənmiş maşın etimad məlumatı tənzimi lazımdır və kilidi açan sirri açarın yerləşdiyi qovluqda, eyni hesabla oxuna bilən şəkildə saxlamaq ikinci sərhəd yaratmır.

Dəstəklənən sirr çatdırılması və ya aparat əsaslı işləmə üçün xidmət sahibi ilə işləyin və yenilənməni, uğursuzluğu və bərpanı əhatə edin. Klaviaturanın arxasında insan istəmək, kimsə baxmadan yüklənən hostla müqayisədə uğursuzluğun görünüşünü dəyişir.

Serverin host kimliyi yoxlamasını və hesab məhdudiyyətlərini də saxlayın. VPN marşrutu sizə şəxsi yol verir; o, çata bildiyiniz hər SSH dinləyicisinin nəzərdə tutduğunuz host olduğunu sübut etmir. Dinləyicini və host açarının barmaq izini açarın özü ilə eyni inventarda qeyd edin.

Sərhədləri ayrı-ayrılıqda yoxlayın

Hər sərhədi öz sualı ilə sınayın. Fayl parol ifadəsi olmadan açılır? Bağlantı kəsildikdən sonra agent kimliyi hələ də saxlayır? Server açıq açarı hələ də qəbul edir?

İki əmr birinciyə və üçüncüyə cavab verir:

ssh-keygen -y -f ~/.ssh/id_ed25519
ssh -v [email protected]

Fayl qorunmasını, icazə verilən açar istifadəsini və server tərəfində silinməni üç ayrı sətir kimi qeyd edin. Tunel, parol ifadəsi və agent hər biri əlaqənin fərqli hissəsini qoruyur və yalnız biri şəbəkə ilə bağlıdır.