Voleu eliminar la contrasenya d'una clau o conservar-la? La còpia que creeu

Una clau privada xifrada i una de sense xifrar contenen el mateix material de clau. Convertir no crea una identitat nova, no reinicia un compte de VPN ni invalida el fitxer antic. Escriu una segona còpia, i aquesta còpia porta un risc en repòs diferent.

Si l'intercanvi val la pena depèn d'on viurà el fitxer i de qui el pot llegir.

Què canvia realment la conversió

Abans de la conversió, la clau està protegida per una contrasenya que proporciona l'operador. Després de la conversió, està protegida pels permisos del sistema de fitxers i per qualsevol control d'accés que envolti el fitxer. La criptografia no ha canviat; ha canviat el nombre de coses entre un atacant i la clau. Aquesta és tota la comparació.

Una taula fa la diferència concreta.

Cap de les dues formes és automàticament més segura. Fallen de maneres diferents, i només una d'aquestes maneres deixa una entrada al registre.

Quan és millor conservar la contrasenya

Si un client compatible pot demanar la contrasenya o obtenir-la d'un magatzem de secrets aprovat, la conversió no aporta res. Manteniu una còpia, una frontera de protecció i un fitxer menys per seguir. La majoria de clients VPN que accepten claus PEM poden fer-ho.

La conversió també és una mala decisió quan un equip comparteix la clau. Un fitxer sense xifrar en un amfitrió compartit es converteix en una credencial que qualsevol amb accés a l'intèrpret pot copiar.

Quan es justifica una còpia sense xifrar

Alguns serveis no poden demanar res, alguns contenidors munten secrets de només lectura i alguns aparells llegeixen un fitxer de clau a l'arrencada sense cap camí interactiu. En aquests casos, una clau sense xifrar dins d'un directori ben restringit pot ser el disseny admès. La justificació és l'entorn, no la comoditat.

Si no podeu dir qui pot llegir el fitxer i per què, la resposta és no.

L'ordre i les seves arestes

Per a una clau basada en fitxer compatible amb OpenSSL 3.5, la referència de pkey documenta la supressió de la contrasenya i una indicació interactiva quan l'entrada està xifrada i no s'ha subministrat cap font de contrasenya. La forma mínima és curta i és fàcil executar-la amb descuit.

umask 077
openssl pkey -in protected-key.pem -out new-private-key.pem

Tres arestes. L'E/S del fitxer de sortida no és atòmica, així que una ruta de sortida existent es pot truncar a mig escriure. No feu servir la ruta d'entrada com a sortida i no experimenteu amb l'única còpia protegida. Introduïu la contrasenya a l'indicador i no a la línia d'ordres, on acaba a l'historial de l'intèrpret.

Comproveu el resultat abans de canviar qualsevol configuració de VPN: openssl pkey -in new-private-key.pem -pubout hauria d'imprimir la mateixa clau pública que teníeu abans.

Què no fa la conversió

No revoca la còpia xifrada, que encara existeix allà on la vau deixar. No canvia la contrasenya del compte de VPN ni el certificat. I no repara una exposició que ja ha passat. Si una clau s'ha filtrat, la solució és la substitució i la retirada al costat del servidor, no un canvi de format local.

Elimineu el fitxer intermedi deliberadament i confirmeu que la ruta que elimineu és la que vau crear.