Dileu cyfrinair allwedd neu ei gadw? Y copi rydych yn ei greu
Mae ffeil allwedd heb ei hamgryptio yn dal yr un gyfrinach o dan amddiffyniad gwannach. Cymharwch y risg wrth orffwys cyn trosi, a gwybod beth nad yw'n ei ddadwneud.
Mae allwedd breifat wedi'i hamgryptio ac un heb ei hamgryptio yn dal yr un deunydd allwedd. Nid yw trosi yn creu hunaniaeth newydd, yn ailosod cyfrif VPN nac yn annilysu'r hen ffeil. Mae'n ysgrifennu ail gopi, ac mae'r copi hwnnw'n cario risg wahanol wrth orffwys.
Mae a yw'r cyfnewid yn werth chweil yn dibynnu ar ble bydd y ffeil yn byw a phwy all ei darllen.
Beth mae trosi yn ei newid mewn gwirionedd
Cyn trosi, mae'r allwedd yn cael ei diogelu gan gyfrinair y mae'r gweithredwr yn ei ddarparu. Ar ôl trosi, mae'n cael ei diogelu gan ganiatadau'r system ffeiliau a pha bynnag reolaeth mynediad sy'n amgylchynu'r ffeil. Nid yw'r cryptograffeg wedi newid; mae nifer y pethau rhwng ymosodwr a'r allwedd wedi newid. Dyna'r gymhariaeth gyfan.
Mae tabl yn gwneud y gwahaniaeth yn goncrit.
| Form | What protects it | How it fails |
|---|---|---|
| Encrypted key | A passphrase plus file access | Weak passphrase, or an offline attack on the file |
| Unencrypted key | File permissions and host security only | Any reader copies it silently |
Nid yw'r naill ffurf na'r llall yn fwy diogel yn awtomatig. Maent yn methu mewn ffyrdd gwahanol, a dim ond un o'r ffyrdd hynny sy'n gadael cofnod yn y log.
Pryd y mae cadw'r cyfrinair yn well
Os gall cleient a gefnogir ofyn am y cyfrinair neu ei nôl o storfa gyfrinachau a gymeradwywyd, nid yw trosi yn prynu dim. Rydych yn cadw un copi, un ffin amddiffyn ac un ffeil yn llai i'w holrhain. Gall y rhan fwyaf o gleientiaid VPN sy'n derbyn allweddi PEM wneud hyn.
Mae trosi hefyd yn gam anghywir pan fo tîm yn rhannu'r allwedd. Mae ffeil heb ei hamgryptio ar westeiwr a rennir yn dod yn ddilysiad mynediad y gall unrhyw un â mynediad shell ei gopïo.
Pryd y mae copi heb ei amgryptio yn gyfiawn
Ni all rhai gwasanaethau ofyn, mae rhai cynhwysyddion yn mowntio cyfrinachau'n ddarllen yn unig, ac mae rhai offer yn darllen ffeil allwedd wrth gychwyn heb lwybr rhyngweithiol. Yn yr achosion hynny, gall allwedd heb ei hamgryptio mewn cyfeiriadur sydd wedi'i gyfyngu'n briodol fod y dyluniad a gefnogir. Y cyfiawnhad yw'r amgylchedd, nid cyfleustra.
Os na allwch nodi pwy all ddarllen y ffeil a pham, yr ateb yw na.
Y gorchymyn a'i ymylon miniog
Ar gyfer allwedd sy'n seiliedig ar ffeil a gefnogir gan OpenSSL 3.5, mae'r cyfeirlyfr pkey yn dogfennu dileu cyfrinair a phrompt rhyngweithiol pan fo'r mewnbwn wedi'i amgryptio ac na roddwyd ffynhonnell gyfrinair. Mae'r ffurf leiaf yn fyr, ac mae'n hawdd ei redeg yn ddiofal.
umask 077
openssl pkey -in protected-key.pem -out new-private-key.pemTri ymyl miniog. Nid yw I/O ffeil allbwn yn atomig, felly gellir torri llwybr allbwn sy'n bodoli eisoes yng nghanol y sgrifennu. Peidiwch â defnyddio'r llwybr mewnbwn fel allbwn, a pheidiwch ag arbrofi ar yr unig gopi gwarchodedig. Rhowch y cyfrinair wrth y prompt yn hytrach nag ar y llinell orchymyn, lle mae'n glanio yn hanes y shell.
Gwiriwch y canlyniad cyn newid unrhyw ffurfweddiad VPN: openssl pkey -in new-private-key.pem -pubout dylai argraffu'r un allwedd gyhoeddus oedd gennych o'r blaen.
Beth nad yw trosi yn ei wneud
Nid yw'n dirymu'r copi amgryptiedig, sydd yn dal i fod lle bynnag y gwnaethoch ei adael. Nid yw'n newid cyfrinair cyfrif VPN nac yn newid y dystysgrif. Ac nid yw'n atgyweirio datguddiad sydd eisoes wedi digwydd. Os yw allwedd wedi gollwng, yr ateb yw disodli a thynnu'n ôl ar ochr y gweinydd, nid newid fformat lleol.
Dileuwch y ffeil ganolradd yn fwriadol, a chadarnhewch mai'r llwybr rydych yn ei ddileu yw'r un a grëwyd gennych.