কী পাসফ্রেজ মুছবেন নাকি রাখবেন? আপনি যে কপি তৈরি করেন
এনক্রিপ্ট না করা কী ফাইল একই গোপন তথ্য দুর্বল সুরক্ষায় ধরে রাখে। রূপান্তরের আগে বিশ্রামে থাকা ঝুঁকি তুলনা করুন এবং এটি কী ঠিক করে না তা জানুন।
এনক্রিপ্ট করা প্রাইভেট কী এবং এনক্রিপ্ট না করা কী একই কী উপাদান ধারণ করে। রূপান্তর নতুন পরিচয় তৈরি করে না, VPN অ্যাকাউন্ট রিসেট করে না বা পুরোনো ফাইল বাতিল করে না। এটি একটি দ্বিতীয় কপি লেখে, আর সেই কপি ভিন্ন এক বিশ্রামকালীন ঝুঁকি বহন করে।
এই বিনিময় লাভজনক কি না তা নির্ভর করে ফাইলটি কোথায় থাকবে এবং কে এটি পড়তে পারবে তার উপর।
রূপান্তর আসলে কী বদলায়
রূপান্তরের আগে কী-টি অপারেটরের দেওয়া পাসফ্রেজ দ্বারা সুরক্ষিত। রূপান্তরের পরে এটি ফাইলসিস্টেম অনুমতি এবং ফাইলের চারপাশের যেকোনো অ্যাক্সেস নিয়ন্ত্রণ দ্বারা সুরক্ষিত। ক্রিপ্টোগ্রাফি বদলায়নি; হামলাকারী ও কী-এর মধ্যে থাকা জিনিসের সংখ্যা বদলেছে। এটাই পুরো তুলনা।
একটি টেবিল পার্থক্যটি স্পষ্ট করে।
| Form | What protects it | How it fails |
|---|---|---|
| Encrypted key | A passphrase plus file access | Weak passphrase, or an offline attack on the file |
| Unencrypted key | File permissions and host security only | Any reader copies it silently |
কোনো রূপই স্বয়ংক্রিয়ভাবে বেশি নিরাপদ নয়। তারা ভিন্নভাবে ব্যর্থ হয়, এবং সেই উপায়গুলোর মধ্যে কেবল একটি লগ এন্ট্রি রেখে যায়।
কখন পাসফ্রেজ রাখা ভালো
যদি একটি সমর্থিত ক্লায়েন্ট পাসফ্রেজের জন্য অনুরোধ করতে পারে বা অনুমোদিত গোপন ভান্ডার থেকে আনতে পারে, তবে রূপান্তর কিছুই কিনে না। আপনি একটি কপি, একটি সুরক্ষা সীমা এবং ট্র্যাক করার জন্য একটি কম ফাইল রাখেন। PEM কী গ্রহণ করে এমন বেশিরভাগ VPN ক্লায়েন্ট এটি করতে পারে।
যখন একটি দল কী ভাগ করে তখনও রূপান্তর ভুল পদক্ষেপ। শেয়ার করা হোস্টে এনক্রিপ্ট না করা ফাইল এমন একটি ক্রেডেনশিয়াল হয়ে যায় যা শেল অ্যাক্সেস আছে এমন যে কেউ কপি করতে পারে।
কখন এনক্রিপ্ট না করা কপি ন্যায্য
কিছু পরিষেবা অনুরোধ করতে পারে না, কিছু কন্টেইনার গোপন তথ্য কেবল-পঠনযোগ্য হিসেবে মাউন্ট করে, আর কিছু ডিভাইস বুটের সময় ইন্টারঅ্যাকটিভ পথ ছাড়াই কী ফাইল পড়ে। সেই ক্ষেত্রে যথাযথভাবে সীমাবদ্ধ ডিরেক্টরির ভিতরে এনক্রিপ্ট না করা কী সমর্থিত নকশা হতে পারে। ন্যায্যতা পরিবেশ, সুবিধা নয়।
যদি আপনি বলতে না পারেন কে ফাইলটি পড়তে পারে এবং কেন, উত্তর হলো না।
কমান্ড এবং এর ধারালো দিক
OpenSSL 3.5 দ্বারা সমর্থিত ফাইল-ভিত্তিক কী-এর জন্য, pkey রেফারেন্স পাসফ্রেজ অপসারণ এবং একটি ইন্টারঅ্যাকটিভ প্রম্পট নথিভুক্ত করে যখন ইনপুট এনক্রিপ্ট করা থাকে এবং কোনো পাসওয়ার্ড উৎস দেওয়া না থাকে। ন্যূনতম রূপটি সংক্ষিপ্ত, এবং এটি অসাবধানতায় চালানো সহজ।
umask 077
openssl pkey -in protected-key.pem -out new-private-key.pemতিনটি ধারালো দিক। আউটপুট ফাইলের I/O পারমাণবিক নয়, তাই বিদ্যমান আউটপুট পাথ লেখার মাঝখানে কেটে যেতে পারে। ইনপুট পাথকে আউটপুট হিসেবে ব্যবহার করবেন না, এবং একমাত্র সুরক্ষিত কপিতে পরীক্ষা করবেন না। পাসফ্রেজটি কমান্ড লাইনে নয়, প্রম্পটে দিন, কারণ সেখানে এটি শেল ইতিহাসে ঢুকে পড়ে।
যেকোনো VPN কনফিগারেশন বদলানোর আগে ফলাফল যাচাই করুন: openssl pkey -in new-private-key.pem -pubout আগে আপনার যে পাবলিক কী ছিল সেটাই প্রিন্ট করা উচিত।
রূপান্তর যা করে না
এটি এনক্রিপ্ট করা কপিটি প্রত্যাহার করে না, যা আপনি যেখানেই রেখে গেছেন সেখানেই রয়েছে। এটি VPN অ্যাকাউন্টের পাসওয়ার্ড বা সার্টিফিকেট বদলায় না। আর এটি ইতিমধ্যে ঘটে যাওয়া কোনো প্রকাশ মেরামত করে না। যদি একটি কী ফাঁস হয়ে যায়, সমাধান হলো প্রতিস্থাপন ও সার্ভার-সাইড প্রত্যাহার, স্থানীয় ফরম্যাট পরিবর্তন নয়।
মধ্যবর্তী ফাইলটি ইচ্ছাকৃতভাবে মুছুন, এবং নিশ্চিত করুন যে আপনি যে পাথটি মুছছেন সেটি আপনার তৈরি করা পাথ।