Pristupna fraza SSH ključa štiti datoteku, ne rutu

Rezervni disk sa starog laptopa još uvijek sadrži privatni SSH ključ, i neko pita da li ga VPN štiti. Ne štiti, i nikada nije. VPN štiti put između dvije mreže; pristupna fraza štiti datoteku; agent štiti pokrenutu sesiju. Tri različita mehanizma, tri različita načina kvara, a ukradena kopija brine samo o prva dva.

Pristupna fraza pripada datoteci

Pristupna fraza SSH ključa šifrira materijal privatnog ključa dok miruje. To nije lozinka računa koja se šalje serveru i nije vjerodajnica za pridruživanje VPN-u. Njihovo miješanje vodi promjenama koje ne rješavaju izloženost.

OpenSSH-ov priručnik za ssh-keygen pokriva rukovanje pristupnim frazama, uključujući prekidač -p koji postavlja novu pristupnu frazu na ključ koji već postoji.

Za postojeći ključ oblik naredbe je jednostavan i prepisuje datoteku:

ssh-keygen -p -f ~/.ssh/id_ed25519

Koristite odobreni proces održavanja i oporavka vlasnika ključa, jer ovo je pisanje, a ne pregled. Ne objavljujte privatnu datoteku i ne stavljajte stvarnu pristupnu frazu na zajedničku komandnu liniju. Promjena pristupne fraze ne ponovno šifrira kopiju uzetu ranije. Zabilježite lokaciju stare kopije u ticketu da vlasnik može odlučiti hoće li je uništiti.

Kopija nadživljava laptop i tunel

Kada se datoteka ključa kopira, aktivna VPN veza laptopa više ništa ne govori o njoj. Važno je koliko je dobro zaštićena sama datoteka, i koji serveri još uvijek vjeruju odgovarajućem javnom ključu.

Promjena pristupne fraze na trenutnoj datoteci ne dira kopiju i ne uklanja isti javni ključ iz authorized_keys na serveru. Opoziv i ponovno šifriranje su odvojene radnje.

Zato tretirajte procurjeli privatni ključ kao događaj identiteta, a ne mrežni događaj. Uklonite ili zamijenite prihvaćeni ključ kroz servere i proces registracije koji ga posjeduju. Zaustavljanje VPN-a ograničava jednu rutu u jednom trenutku; to nije opoziv.

Otključavanje premješta tajnu u agenta

Agent drži dešifrirane identitete za kasniju autentifikaciju, pa korisnik ne upisuje pristupnu frazu za svaku vezu. To je pogodnost s vlastitom sigurnosnom granicom.

ssh-agent može ograničiti koliko dugo identitet ostaje učitan kroz svoju opciju -t, a postavka za pojedini identitet može nadjačati to ograničenje. Odaberite politiku za agenta koji stvarno pokrećete umjesto da pretpostavljate da prekid VPN-a zaboravlja svaki učitani ključ.

Proces koji bude kompromitiran nakon otključavanja ključa drugi je problem od ukradene šifrirane datoteke. Prosljeđivanje agenta drugom hostu delegira sposobnost autentifikacije bez kopiranja datoteke ključa, pa ga omogućite samo za odobrenu potrebu.

Navedite šta agent trenutno drži prije i poslije promjene:

ssh-add -l

Poslovi bez nadzora trebaju vlastiti plan

Zakazani posao ne može odgovoriti na upit. Potrebno mu je odobreno rješenje za mašinske vjerodajnice, a držanje tajne za otključavanje u istom direktoriju kao ključ, čitljivo istom računu, ne stvara drugu granicu.

Radite s vlasnikom usluge na podržanoj isporuci tajni ili hardverskom radu i pokrijte obnovu, kvar i oporavak. Želja za čovjekom za tastaturom mijenja kako izgleda kvar u poređenju s hostom koji se podiže bez nadzora.

Zadržite i provjeru identiteta hosta na serveru i njegova ograničenja računa. VPN ruta vam daje privatni put; ona ne dokazuje da je svaki SSH slušalac do kojeg dođete host koji ste namjeravali. Zabilježite slušaoca i otisak ključa hosta u isti inventar kao i sam ključ.

Provjerite granice odvojeno

Testirajte svaku granicu vlastitim pitanjem. Otvara li se datoteka bez pristupne fraze? Drži li agent identitet nakon prekida veze? Prihvata li server još uvijek javni ključ?

Dvije naredbe odgovaraju na prvo i treće:

ssh-keygen -y -f ~/.ssh/id_ed25519
ssh -v [email protected]

Zabilježite zaštitu datoteke, dozvoljenu upotrebu ključa i uklanjanje na strani servera kao tri odvojene stavke. Tunel, pristupna fraza i agent svaki čuva drugi dio odnosa, a samo jedan se tiče mreže.