Pasfrazo de SSH-ŝlosilo protektas la dosieron, ne la itineron

Sekurkopia disko el malnova tekkomputilo ankoraŭ enhavas privatan SSH-ŝlosilon, kaj iu demandas, ĉu la VPN protektas ĝin. Ĝi ne protektas, kaj neniam tion faris. La VPN protektas vojon inter du retoj; la pasfrazo protektas la dosieron; la agento protektas ruliĝantan seancon. Tri malsamaj mekanismoj, tri malsamaj fiaskmanieroj, kaj ŝtelita kopio zorgas nur pri la du unuaj.

La pasfrazo apartenas al la dosiero

Pasfrazo de SSH-ŝlosilo ĉifras la privatan ŝlosilan materialon dum ripozo. Ĝi ne estas la konta pasvorto sendata al la servilo, kaj ĝi ne estas la legitimilo uzata por aliĝi al la VPN. Konfuzi ilin kondukas al ŝanĝoj, kiuj ne traktas la elmeton.

La manlibro de ssh-keygen de OpenSSH kovras traktadon de pasfrazoj, inkluzive de la ŝaltilo -p, kiu starigas novan pasfrazon por ŝlosilo jam ekzistanta.

Por ekzistanta ŝlosilo la komanda formo estas simpla, kaj ĝi reverkas la dosieron:

ssh-keygen -p -f ~/.ssh/id_ed25519

Uzu la aprobitan prizorgan kaj restarigan procezon de la ŝlosilposedanto, ĉar ĉi tio estas skribo, ne inspektado. Ne publikigu la privatan dosieron kaj ne metu realan pasfrazon sur komunan komandlinion. Ŝanĝo de pasfrazo ne reĉifras kopion prenitan pli frue. Notu la lokon de la malnova kopio en la bileto, por ke la posedanto decidu, ĉu detrui ĝin.

Kopio postvivas la tekkomputilon kaj la tunelon

Post kiam ŝlosildosiero estas kopiita, la aktiva VPN-konekto de la tekkomputilo jam diras nenion pri ĝi. Gravas kiom bone la dosiero mem estas protektita, kaj kiuj serviloj ankoraŭ fidas la kongruan publikan ŝlosilon.

Ŝanĝi la pasfrazon de la nuna dosiero ne tuŝas la kopion, kaj ĝi ne forigas la saman publikan ŝlosilon el authorized_keys sur servilo. Revoko kaj reĉifrado estas apartaj agoj.

Do traktu likitan privatan ŝlosilon kiel identecan eventon, ne retan eventon. Forigu aŭ anstataŭigu la akceptitan ŝlosilon per la serviloj kaj la aliĝprocezo, kiuj posedas ĝin. Haltigi la VPN limigas unu itineron en unu momento; ĝi ne estas revoko.

Malŝloso movas la sekreton en agenton

Agento tenas malĉifritajn identecojn por posta aŭtentigo, do la uzanto ne retajpas la pasfrazon por ĉiu konekto. Tio estas uzebleca trajto kun propra sekureca limo.

ssh-agent povas limigi, kiom longe identeco restas ŝargita, per sia opcio -t, kaj agordo por unu identeco povas superi tiun limon. Elektu la politikon por la agento, kiun vi efektive rulas, anstataŭ supozi, ke malkonekto de VPN forgesas ĉiun ŝargitan ŝlosilon.

Proceso kompromitita post kiam la ŝlosilo estas malŝlosita estas alia problemo ol ŝtelita ĉifrita dosiero. Plusendi la agenton al alia gastiganto delegas aŭtentigan kapablon sen kopii la ŝlosildosieron, do ŝaltu ĝin nur por aprobita bezono.

Listigu, kion la agento nun tenas, antaŭ kaj post ŝanĝo:

ssh-add -l

Senhomaj taskoj bezonas sian propran planon

Planita tasko ne povas respondi al invito. Ĝi bezonas aprobitan aranĝon de maŝinaj legitimiloj, kaj teni la malŝlosan sekreton en la sama dosierujo kiel la ŝlosilo, legebla de la sama konto, ne kreas duan limon.

Laboru kun la servoposedanto pri subtenata liverado de sekretoj aŭ aparatara operacio, kaj kovru renovigon, fiaskon kaj restarigon. Deziri homon ĉe la klavaro ŝanĝas kiel fiasko aspektas kompare kun gastiganto, kiu startas sen iu observanta.

Konservu ankaŭ la gastigantan identeckontrolon de la servilo kaj ĝiajn kontolimigojn. VPN-itinero donas al vi privatan vojon; ĝi ne pruvas, ke ĉiu SSH-aŭskultanto, kiun vi povas atingi, estas la gastiganto, kiun vi intencis. Registru la aŭskultanton kaj la fingrospuron de la gastiganta ŝlosilo en la sama inventaro kiel la ŝlosilo mem.

Kontrolu la limojn aparte

Testu ĉiun limon per ĝia propra demando. Ĉu la dosiero malfermiĝas sen la pasfrazo? Ĉu la agento ankoraŭ tenas la identecon post malkonekto? Ĉu la servilo ankoraŭ akceptas la publikan ŝlosilon?

Du komandoj respondas la unuan kaj la trian:

ssh-keygen -y -f ~/.ssh/id_ed25519
ssh -v [email protected]

Registru dosierprotektadon, permesitan ŝlosiluzon kaj forigon ĉe la servila flanko kiel tri apartajn erojn. Tunelo, pasfrazo kaj agento ĉiu gardas alian parton de la rilato, kaj nur unu el ili temas pri la reto.