Odstranit heslo klíče, nebo ho ponechat? Kopie, kterou vytváříte
Nešifrovaný soubor klíče drží stejné tajemství za slabší ochrany. Porovnejte riziko v klidu před převodem a vězte, co neodčiní.
Šifrovaný soukromý klíč a nešifrovaný drží stejný klíčový materiál. Převod nevytváří novou identitu, neresetuje účet VPN ani neznehodnocuje starý soubor. Zapíše druhou kopii a tato kopie nese jiné riziko v klidu.
Zda se výměna vyplatí, závisí na tom, kde bude soubor žít a kdo ho může číst.
Co převod skutečně mění
Před převodem je klíč chráněn heslem, které zadává operátor. Po převodu je chráněn oprávněními systému souborů a jakoukoli kontrolou přístupu kolem souboru. Kryptografie se nezměnila; změnil se počet věcí mezi útočníkem a klíčem. To je celé srovnání.
Tabulka rozdíl zkonkrétňuje.
| Form | What protects it | How it fails |
|---|---|---|
| Encrypted key | A passphrase plus file access | Weak passphrase, or an offline attack on the file |
| Unencrypted key | File permissions and host security only | Any reader copies it silently |
Ani jedna forma není automaticky bezpečnější. Selhávají různými způsoby a jen jeden z těch způsobů zanechává záznam v logu.
Kdy je lepší heslo ponechat
Pokud podporovaný klient umí heslo vyžádat nebo ho načíst ze schváleného úložiště tajemství, převod nic nepřinese. Ponecháte si jednu kopii, jednu hranici ochrany a o jeden soubor méně ke sledování. Většina VPN klientů, kteří přijímají klíče PEM, to umí.
Převod je také špatný krok, když tým klíč sdílí. Nešifrovaný soubor na sdíleném hostiteli se stane přihlašovacím údajem, který může zkopírovat kdokoli s přístupem k shellu.
Kdy je nešifrovaná kopie odůvodněná
Některé služby nemohou vyžádat vstup, některé kontejnery připojují tajemství jen pro čtení a některá zařízení čtou soubor klíče při startu bez interaktivní cesty. V těchto případech může být nešifrovaný klíč ve správně omezeném adresáři podporovaným designem. Odůvodněním je prostředí, ne pohodlí.
Pokud nemůžete říct, kdo může soubor číst a proč, odpověď je ne.
Příkaz a jeho ostré hrany
Pro klíč v souboru podporovaný OpenSSL 3.5 reference pkey dokumentuje odstranění hesla a interaktivní výzvu, když je vstup šifrovaný a není zadán zdroj hesla. Minimální forma je krátká a snadno se spustí neopatrně.
umask 077
openssl pkey -in protected-key.pem -out new-private-key.pemTři ostré hrany. Vstupně-výstupní operace výstupního souboru nejsou atomické, takže existující výstupní cesta může být přerušena uprostřed zápisu. Nepoužívejte vstupní cestu jako výstup a neexperimentujte na jediné chráněné kopii. Zadejte heslo na výzvě, ne na příkazovém řádku, kde skončí v historii shellu.
Zkontrolujte výsledek, než změníte jakoukoli konfiguraci VPN: openssl pkey -in new-private-key.pem -pubout by mělo vypsat stejný veřejný klíč, jaký jste měli předtím.
Co převod nedělá
Neodvolává šifrovanou kopii, která stále existuje tam, kde jste ji nechali. Nemění heslo účtu VPN ani certifikát. A neopravuje expozici, která už nastala. Pokud klíč unikl, řešením je výměna a odvolání na straně serveru, ne místní změna formátu.
Mezilehlý soubor záměrně smažte a potvrďte, že cesta, kterou mažete, je ta, kterou jste vytvořili.