Una frase de contrasenya d’una clau SSH protegeix el fitxer, no la ruta

Una unitat de còpia de seguretat d’un portàtil antic encara conté una clau privada SSH, i algú pregunta si la VPN la protegeix. No ho fa, i mai ho ha fet. La VPN protegeix un camí entre dues xarxes; la frase de contrasenya protegeix el fitxer; l’agent protegeix una sessió en marxa. Tres mecanismes diferents, tres maneres de fallar diferents, i una còpia robada només es preocupa pels dos primers.

La frase de contrasenya pertany al fitxer

Una frase de contrasenya de clau SSH xifra el material de la clau privada en repòs. No és la contrasenya del compte que s’envia al servidor, ni és la credencial que s’utilitza per unir-se a la VPN. Confondre-les porta a canvis que no aborden l’exposició.

El manual d’ssh-keygen d’OpenSSH tracta la gestió de frases de contrasenya, inclòs el commutador -p que estableix una frase nova en una clau que ja existeix.

Per a una clau existent la forma de l’ordre és simple, i reescriu el fitxer:

ssh-keygen -p -f ~/.ssh/id_ed25519

Utilitzeu el procés de manteniment i recuperació aprovat pel propietari de la clau, perquè això és una escriptura, no una inspecció. No publiqueu el fitxer privat ni poseu una frase de contrasenya real en una línia d’ordres compartida. Canviar la frase no torna a xifrar una còpia feta abans. Deixeu la ubicació de la còpia antiga al tiquet perquè el propietari decideixi si la vol destruir.

Una còpia sobreviu al portàtil i al túnel

Un cop s’ha copiat un fitxer de clau, la connexió VPN activa del portàtil ja no diu res sobre ell. El que importa és com n’està de protegit el fitxer mateix, i quins servidors encara confien en la clau pública corresponent.

Canviar la frase de contrasenya del fitxer actual no toca la còpia, ni elimina la mateixa clau pública d’authorized_keys en un servidor. La revocació i el rexifrat són accions separades.

Per tant, tracteu una clau privada filtrada com un esdeveniment d’identitat, no de xarxa. Elimineu o substituïu la clau acceptada a través dels servidors i del procés d’alta que la posseeixen. Aturar la VPN limita una ruta en un moment concret; no és una revocació.

Desbloquejar mou el secret a un agent

Un agent guarda identitats desxifrades per a autenticacions posteriors, de manera que l’usuari no ha de tornar a escriure la frase a cada connexió. És una comoditat amb una frontera de seguretat pròpia.

ssh-agent pot limitar quant de temps una identitat roman carregada amb la seva opció -t, i un paràmetre per identitat pot superar aquest límit. Trieu la política per a l’agent que realment executeu en lloc de suposar que desconnectar la VPN oblida totes les claus carregades.

Un procés compromès després de desbloquejar la clau és un problema diferent d’un fitxer xifrat robat. Reenviar l’agent a un altre amfitrió delega la capacitat d’autenticació sense copiar el fitxer de clau, així que activeu-ho només per a una necessitat aprovada.

Lliste el que l’agent té en aquest moment abans i després d’un canvi:

ssh-add -l

Les tasques sense supervisió necessiten el seu propi pla

Una tasca programada no pot respondre a una sol·licitud. Necessita un acord aprovat de credencials de màquina, i mantenir el secret de desbloqueig al mateix directori que la clau, llegible pel mateix compte, no crea una segona frontera.

Treballeu amb el propietari del servei en el lliurament de secrets suportat o el funcionament amb maquinari, i cobriu la renovació, el fracàs i la recuperació. Voler una persona davant del teclat canvia com es veu el fracàs en comparació amb un amfitrió que arrenca sense ningú vigilant.

Manteniu també la comprovació d’identitat de l’amfitrió al servidor i les seves restriccions de compte. Una ruta VPN us dóna un camí privat; no demostra que cada oient SSH que podeu assolir sigui l’amfitrió que volíeu. Registreu l’oient i l’empremta de la clau de l’amfitrió al mateix inventari que la clau.

Verifiqueu les fronteres per separat

Proveu cada frontera amb la seva pròpia pregunta. El fitxer s’obre sense la frase de contrasenya? L’agent encara té la identitat després d’una desconnexió? El servidor encara accepta la clau pública?

Dues ordres responen la primera i la tercera:

ssh-keygen -y -f ~/.ssh/id_ed25519
ssh -v [email protected]

Registreu la protecció del fitxer, l’ús permès de la clau i l’eliminació al costat del servidor com tres línies separades. Un túnel, una frase de contrasenya i un agent guarden cadascun una part diferent de la relació, i només un d’ells tracta de la xarxa.