Mae ymadrodd cyfrinair allwedd SSH yn gwarchod y ffeil, nid y llwybr

Mae disg wrth gefn o hen liniadur yn dal i gynnwys allwedd SSH breifat, ac mae rhywun yn gofyn a yw’r VPN yn ei gwarchod. Nac ydy, ac ni wnaeth erioed. Mae’r VPN yn gwarchod llwybr rhwng dau rwydwaith; mae’r ymadrodd cyfrinair yn gwarchod y ffeil; mae’r asiant yn gwarchod sesiwn sy’n rhedeg. Tri mecanwaith gwahanol, tri dull methu gwahanol, a dim ond y ddau gyntaf y mae copi wedi’i ddwyn yn poeni amdanynt.

Mae’r ymadrodd cyfrinair yn perthyn i’r ffeil

Mae ymadrodd cyfrinair allwedd SSH yn amgryptio deunydd yr allwedd breifat pan mae’n gorffwys. Nid yw’n gyfrinair cyfrif a anfonir i’r gweinydd, ac nid yw’n gymhwyster a ddefnyddir i ymuno â’r VPN. Mae eu cymysgu’n arwain at newidiadau nad ydynt yn mynd i’r afael â’r datguddiad.

Mae llawlyfr ssh-keygen OpenSSH yn ymdrin â thrin ymadroddion cyfrinair, gan gynnwys y switsh -p sy’n gosod ymadrodd cyfrinair newydd ar allwedd sy’n bodoli eisoes.

Ar gyfer allwedd sy’n bodoli, mae siâp y gorchymyn yn syml, ac mae’n ailysgrifennu’r ffeil:

ssh-keygen -p -f ~/.ssh/id_ed25519

Defnyddiwch broses gynnal a chadw ac adfer gymeradwy perchennog yr allwedd, oherwydd ysgrifennu yw hwn, nid archwiliad. Peidiwch â chyhoeddi’r ffeil breifat na rhoi ymadrodd cyfrinair go iawn ar linell orchymyn a rennir. Nid yw newid ymadrodd cyfrinair yn ailamgryptio copi a gymerwyd yn gynt. Cadwch leoliad yr hen gopi yn y tocyn fel y gall y perchennog benderfynu a ddylid ei ddinistrio.

Mae copi yn byw’n hwy na’r liniadur a’r twnnel

Unwaith y bydd ffeil allwedd wedi’i chopïo, nid yw cysylltiad VPN byw’r liniadur yn dweud dim mwy amdani. Yr hyn sy’n bwysig yw pa mor dda y mae’r ffeil ei hun wedi’i gwarchod, a pha weinyddion sy’n dal i ymddiried yn yr allwedd gyhoeddus gyfatebol.

Nid yw newid yr ymadrodd cyfrinair ar y ffeil gyfredol yn cyffwrdd â’r copi, ac nid yw’n tynnu’r un allwedd gyhoeddus o authorized_keys ar weinydd. Mae dirymu ac ailamgryptio yn weithredoedd ar wahân.

Felly triniwch allwedd breifat sydd wedi gollwng fel digwyddiad hunaniaeth, nid digwyddiad rhwydwaith. Tynnwch neu ddisodlwch yr allwedd a dderbyniwyd drwy’r gweinyddion a’r broses gofrestru sy’n berchen arni. Mae atal y VPN yn cyfyngu un llwybr ar un adeg; nid dirymu yw hynny.

Mae datgloi yn symud y gyfrinach i asiant

Mae asiant yn dal hunaniaethau wedi’u dadgryptio ar gyfer dilysu diweddarach, fel nad yw’r defnyddiwr yn ail-deipio’r ymadrodd cyfrinair ar gyfer pob cysylltiad. Mae hynny’n nodwedd defnyddioldeb sydd â’i ffin ddiogelwch ei hun.

Gall ssh-agent gyfyngu ar ba mor hir y mae hunaniaeth yn aros wedi’i llwytho drwy ei opsiwn -t, a gall gosodiad ar gyfer un hunaniaeth ddiystyru’r cap hwnnw. Dewiswch y polisi ar gyfer yr asiant rydych chi’n ei redeg mewn gwirionedd yn hytrach na chymryd yn ganiataol bod datgysylltu’r VPN yn anghofio pob allwedd sydd wedi’i llwytho.

Mae proses sy’n cael ei chyfaddawdu ar ôl i’r allwedd gael ei ddatgloi yn broblem wahanol i ffeil amgryptiedig wedi’i dwyn. Mae anfon yr asiant ymlaen i westeiwr arall yn dirprwyo gallu dilysu heb gopïo’r ffeil allwedd, felly galluogwch ef dim ond ar gyfer angen cymeradwy.

Rhestrwch beth mae’r asiant yn ei ddal ar hyn o bryd cyn ac ar ôl newid:

ssh-add -l

Mae angen eu cynllun eu hunain ar dasgau heb oruchwyliaeth

Ni all tasg a drefnwyd ateb anogwr. Mae angen trefniant cymhwyster peiriant cymeradwy arni, ac nid yw cadw’r gyfrinach ddatgloi yn yr un cyfeiriadur â’r allwedd, yn ddarllenadwy gan yr un cyfrif, yn creu ail ffin.

Gweithiwch gyda pherchennog y gwasanaeth ar ddanfon cyfrinachau a gynhelir neu weithrediad â chaledwedd, a chwmpaswch adnewyddu, methiant ac adferiad. Mae eisiau bod dyn wrth y bysellfwrdd yn newid sut mae methiant yn edrych o’i gymharu â gwesteiwr sy’n cychwyn heb neb yn gwylio.

Cadwch y gwiriad hunaniaeth gwesteiwr ar y gweinydd a’i gyfyngiadau cyfrif hefyd. Mae llwybr VPN yn rhoi llwybr preifat i chi; nid yw’n profi mai’r gwesteiwr a fwriadwyd yw pob gwrandawr SSH y gallwch ei gyrraedd. Cofnodwch y gwrandawr a’r ôl-bys allwedd gwesteiwr yn yr un rhestr â’r allwedd ei hun.

Gwiriwch y ffiniau ar wahân

Profwch bob ffin â’i chwestiwn ei hun. A yw’r ffeil yn agor heb yr ymadrodd cyfrinair? A yw’r asiant yn dal yr hunaniaeth ar ôl datgysylltiad? A yw’r gweinydd yn dal i dderbyn yr allwedd gyhoeddus?

Mae dau orchymyn yn ateb y cyntaf a’r trydydd:

ssh-keygen -y -f ~/.ssh/id_ed25519
ssh -v [email protected]

Cofnodwch warchodaeth y ffeil, y defnydd caniataol o’r allwedd a’r tynnu ar ochr y gweinydd fel tair llinell ar wahân. Mae twnnel, ymadrodd cyfrinair ac asiant pob un yn gwarchod darn gwahanol o’r berthynas, a dim ond un ohonynt sy’n ymwneud â’r rhwydwaith.