Парольная фраза ключа SSH абараняе файл, а не маршрут

Рэзервовы дыск ад былога ноўтбука ўсё яшчэ змяшчае прыватны ключ SSH, і нехта пытаецца, ці абараняе яго VPN. Не абараняе, і ніколі не абараняў. VPN абараняе шлях паміж дзвюма сеткамі; парольная фраза абараняе файл; агент абараняе працоўную сесію. Тры розныя механізмы, тры розныя рэжымы адмовы, і скрадзеная копія мае значэнне толькі для першых двух.

Парольная фраза належыць файлу

Парольная фраза ключа SSH шыфруе матэрыял прыватнага ключа ў стане спакою. Гэта не пароль уліковага запісу, які адпраўляецца на сервер, і не дадзеныя для ўваходу ў VPN. Блытаніна паміж імі вядзе да змяненняў, якія не ўхіляюць праблему.

Старонка даведкі OpenSSH для ssh-keygen апісвае працу з парольнымі фразамі, уключаючы ключ -p, які задае новую парольную фразу для ўжо існага ключа.

Для існага ключа форма каманды простая, і яна перазапісвае файл:

ssh-keygen -p -f ~/.ssh/id_ed25519

Выкарыстоўвайце зацверджаны ўладальнікам ключа працэс абслугоўвання і аднаўлення, бо гэта запіс, а не праверка. Не публікуйце прыватны файл і не змяшчайце сапраўдную парольную фразу ў агульны радок каманд. Змена парольнай фразы не перашыфроўвае копію, зробленую раней. Захавайце месца старой копіі ў заяўцы, каб уладальнік мог вырашыць, ці знішчаць яе.

Копія перажывае ноўтбук і тунэль

Пасля таго як файл ключа скапіяваны, актыўнае VPN-злучэнне ноўтбука ўжо нічога пра яго не кажа. Важна тое, наколькі добра абаронены сам файл, і якія серверы ўсё яшчэ давяраюць адпаведнаму публічнаму ключу.

Змена парольнай фразы бягучага файла не закранае копію і не выдаляе той самы публічны ключ з authorized_keys на серверы. Адкліканне і перашыфроўка — асобныя дзеянні.

Таму разглядайце ўцечку прыватнага ключа як падзею ідэнтычнасці, а не сеткавую падзею. Выдаліце або заменіце прыняты ключ праз серверы і працэс рэгістрацыі, якія ім валодаюць. Спыненне VPN абмяжоўвае адзін маршрут у адзін момант; гэта не адкліканне.

Разблакаванне пераносіць сакрэт у агент

Агент захоўвае расшыфраваныя ідэнтычнасці для наступнай аўтэнтыфікацыі, каб карыстальнік не ўводзіў парольную фразу пры кожным злучэнні. Гэта функцыя зручнасці з уласнай мяжой бяспекі.

ssh-agent можа абмежаваць, колькі часу ідэнтычнасць застаецца загружанай, праз опцыю -t, і налада для канкрэтнай ідэнтычнасці можа перавысіць гэтае абмежаванне. Выбірайце палітыку для таго агента, які вы сапраўды запускаеце, замест таго каб меркаваць, што адключэнне VPN забывае кожны загружаны ключ.

Працэс, які скампраметаваны пасля разблакавання ключа, — гэта іншая праблема, чым скрадзены шыфраваны файл. Перадача агента на іншы хост дэлегуе магчымасць аўтэнтыфікацыі без капіявання файла ключа, таму ўключайце яе толькі для зацверджанай патрэбы.

Пералічыце, што агент трымае зараз, да і пасля змены:

ssh-add -l

Заданням без нагляду патрэбны ўласны план

Запланаванае заданне не можа адказаць на запыт. Яму патрэбна зацверджаная схема машыннага ўліковага запісу, а захоўванне сакрэту разблакавання ў тым жа каталогу, што і ключ, даступнае таму ж уліковаму запісу, не стварае другой мяжы.

Працуйце з уладальнікам сэрвісу над падтрыманай дастаўкай сакрэтаў або апаратным рэжымам і ахапіце абнаўленне, збой і аднаўленне. Жаданне мець чалавека за клавіятурай змяняе выгляд збою ў параўнанні з хостам, які загружаецца без нагляду.

Захавайце таксама праверку ідэнтычнасці хоста на серверы і абмежаванні ўліковага запісу. Маршрут VPN дае прыватны шлях; ён не даказвае, што кожны SSH-слухач, да якога вы можаце дабрацца, — гэта менавіта той хост. Запішыце слухача і адбітак ключа хоста ў той жа інвентар, што і сам ключ.

Правярайце межы асобна

Праверце кожную мяжу ўласным пытаннем. Ці адкрываецца файл без парольнай фразы? Ці трымае агент ідэнтычнасць пасля адключэння? Ці прымае сервер публічны ключ?

Дзве каманды адказваюць на першае і трэцяе:

ssh-keygen -y -f ~/.ssh/id_ed25519
ssh -v [email protected]

Запішыце абарону файла, дазволенае выкарыстанне ключа і выдаленне на баку сервера як тры асобныя пункты. Тунэль, парольная фраза і агент ахоўваюць розныя часткі ўзаемаадносін, і толькі адна з іх датычыцца сеткі.