Να αφαιρέσετε τη φράση πρόσβασης ενός κλειδιού ή να την κρατήσετε; Το αντίγραφο που δημιουργείτε
Ένα μη κρυπτογραφημένο αρχείο κλειδιού κρατά το ίδιο μυστικό πίσω από ασθενέστερη προστασία. Συγκρίνετε τον κίνδυνο σε ηρεμία πριν από τη μετατροπή και μάθετε τι δεν αναιρεί.
Ένα κρυπτογραφημένο ιδιωτικό κλειδί και ένα μη κρυπτογραφημένο περιέχουν το ίδιο υλικό κλειδιού. Η μετατροπή δεν δημιουργεί νέα ταυτότητα, δεν επαναφέρει λογαριασμό VPN και δεν ακυρώνει το παλιό αρχείο. Γράφει ένα δεύτερο αντίγραφο, και αυτό το αντίγραφο φέρει διαφορετικό κίνδυνο σε ηρεμία.
Το αν η ανταλλαγή αξίζει εξαρτάται από το πού θα ζήσει το αρχείο και ποιος μπορεί να το διαβάσει.
Τι αλλάζει πραγματικά η μετατροπή
Πριν από τη μετατροπή, το κλειδί προστατεύεται από μια φράση πρόσβασης που παρέχει ο χειριστής. Μετά τη μετατροπή, προστατεύεται από δικαιώματα του συστήματος αρχείων και από όποιον έλεγχο πρόσβασης περιβάλλει το αρχείο. Η κρυπτογραφία δεν άλλαξε· άλλαξε ο αριθμός των πραγμάτων ανάμεσα σε έναν επιτιθέμενο και το κλειδί. Αυτή είναι όλη η σύγκριση.
Ένας πίνακας κάνει τη διαφορά συγκεκριμένη.
| Form | What protects it | How it fails |
|---|---|---|
| Encrypted key | A passphrase plus file access | Weak passphrase, or an offline attack on the file |
| Unencrypted key | File permissions and host security only | Any reader copies it silently |
Καμία από τις δύο μορφές δεν είναι αυτόματα ασφαλέστερη. Αποτυγχάνουν με διαφορετικούς τρόπους, και μόνο ένας από αυτούς τους τρόπους αφήνει καταχώριση στο αρχείο καταγραφής.
Πότε είναι καλύτερο να κρατήσετε τη φράση πρόσβασης
Αν ένας υποστηριζόμενος πελάτης μπορεί να ζητήσει τη φράση πρόσβασης ή να την αντλήσει από εγκεκριμένη αποθήκη μυστικών, η μετατροπή δεν προσφέρει τίποτα. Κρατάτε ένα αντίγραφο, ένα όριο προστασίας και ένα αρχείο λιγότερο για παρακολούθηση. Οι περισσότεροι πελάτες VPN που δέχονται κλειδιά PEM μπορούν να το κάνουν.
Η μετατροπή είναι επίσης λάθος κίνηση όταν μια ομάδα μοιράζεται το κλειδί. Ένα μη κρυπτογραφημένο αρχείο σε κοινόχρηστο host γίνεται διαπιστευτήριο που οποιοσδήποτε έχει πρόσβαση σε κέλυφος μπορεί να αντιγράψει.
Πότε δικαιολογείται ένα μη κρυπτογραφημένο αντίγραφο
Ορισμένες υπηρεσίες δεν μπορούν να ζητήσουν, ορισμένα κοντέινερ προσαρτούν μυστικά μόνο για ανάγνωση και ορισμένες συσκευές διαβάζουν αρχείο κλειδιού κατά την εκκίνηση χωρίς διαδραστική διαδρομή. Σε αυτές τις περιπτώσεις, ένα μη κρυπτογραφημένο κλειδί μέσα σε σωστά περιορισμένο κατάλογο μπορεί να είναι ο υποστηριζόμενος σχεδιασμός. Η δικαιολόγηση είναι το περιβάλλον, όχι η ευκολία.
Αν δεν μπορείτε να πείτε ποιος μπορεί να διαβάσει το αρχείο και γιατί, η απάντηση είναι όχι.
Η εντολή και οι αιχμηρές ακμές της
Για ένα κλειδί που βασίζεται σε αρχείο και υποστηρίζεται από το OpenSSL 3.5, η αναφορά pkey τεκμηριώνει την αφαίρεση της φράσης πρόσβασης και μια διαδραστική προτροπή όταν η είσοδος είναι κρυπτογραφημένη και δεν παρέχεται πηγή κωδικού. Η ελάχιστη μορφή είναι σύντομη και εύκολο να εκτελεστεί απρόσεκτα.
umask 077
openssl pkey -in protected-key.pem -out new-private-key.pemΤρεις αιχμηρές ακμές. Η Ε/Ε του αρχείου εξόδου δεν είναι ατομική, οπότε μια υπάρχουσα διαδρομή εξόδου μπορεί να κοπεί στη μέση της εγγραφής. Μη χρησιμοποιείτε τη διαδρομή εισόδου ως έξοδο και μην πειραματίζεστε στο μοναδικό προστατευμένο αντίγραφο. Εισαγάγετε τη φράση πρόσβασης στην προτροπή και όχι στη γραμμή εντολών, όπου καταλήγει στο ιστορικό του κελύφους.
Ελέγξτε το αποτέλεσμα πριν αλλάξετε οποιαδήποτε διαμόρφωση VPN: openssl pkey -in new-private-key.pem -pubout θα πρέπει να τυπώσει το ίδιο δημόσιο κλειδί που είχατε πριν.
Τι δεν κάνει η μετατροπή
Δεν ανακαλεί το κρυπτογραφημένο αντίγραφο, το οποίο εξακολουθεί να υπάρχει όπου κι αν το αφήσατε. Δεν αλλάζει τον κωδικό του λογαριασμού VPN ούτε το πιστοποιητικό. Και δεν επιδιορθώνει μια έκθεση που έχει ήδη συμβεί. Αν ένα κλειδί διέρρευσε, η λύση είναι αντικατάσταση και ανάκληση από την πλευρά του διακομιστή, όχι τοπική αλλαγή μορφής.
Διαγράψτε σκόπιμα το ενδιάμεσο αρχείο και επιβεβαιώστε ότι η διαδρομή που διαγράφετε είναι αυτή που δημιουργήσατε.