Kas eemaldada võtme paroolfraas või jätta see alles? Koopia, mille te loote
Krüpteerimata võtmefail hoiab sama saladust nõrgema kaitse taga. Võrrelge seisuaja riski enne teisendamist ja teadke, mida see ei võta tagasi.
Krüpteeritud privaatvõti ja krüpteerimata võti sisaldavad sama võtmematerjali. Teisendamine ei loo uut identiteeti, ei lähtesta VPN-kontot ega muuda vana faili kehtetuks. See kirjutab teise koopia ja see koopia kannab teistsugust seisuaja riski.
Kas vahetus on seda väärt, sõltub sellest, kus fail asuma hakkab ja kes seda lugeda saab.
Mida teisendamine tegelikult muudab
Enne teisendamist kaitseb võtit operaatori antud paroolfraas. Pärast teisendamist kaitsevad seda failisüsteemi õigused ja mis tahes juurdepääsukontroll faili ümber. Krüptograafia ei ole muutunud; muutunud on asjade arv ründaja ja võtme vahel. See ongi kogu võrdlus.
Tabel muudab erinevuse konkreetseks.
| Form | What protects it | How it fails |
|---|---|---|
| Encrypted key | A passphrase plus file access | Weak passphrase, or an offline attack on the file |
| Unencrypted key | File permissions and host security only | Any reader copies it silently |
Kumbki vorm ei ole automaatselt turvalisem. Need ebaõnnestuvad erineval viisil ja ainult üks neist viisidest jätab logisse kirje.
Millal on parem paroolfraas alles jätta
Kui toetatud klient saab paroolfraasi küsida või selle heakskiidetud saladuste hoidlast tuua, ei osta teisendamine midagi. Teil jääb üks koopia, üks kaitsepiir ja üks fail vähem jälgida. Enamik PEM-võtmeid aktsepteerivaid VPN-kliente suudab seda teha.
Teisendamine on vale käik ka siis, kui meeskond jagab võtit. Krüpteerimata fail jagatud hostil muutub mandaadiks, mille saab kopeerida igaüks, kellel on shelli juurdepääs.
Millal on krüpteerimata koopia õigustatud
Mõned teenused ei saa küsida, mõned konteinerid paigaldavad saladusi kirjutuskaitstult ja mõned seadmed loevad võtmefaili käivitamisel ilma interaktiivse teeta. Sellistel juhtudel võib krüpteerimata võti korralikult piiratud kataloogis olla toetatud lahendus. Õigustus on keskkond, mitte mugavus.
Kui te ei suuda öelda, kes saab faili lugeda ja miks, on vastus ei.
Käsk ja selle teravad servad
Failipõhise võtme jaoks, mida OpenSSL 3.5 toetab, pkey viide dokumenteerib paroolfraasi eemaldamise ja interaktiivse viipa, kui sisend on krüpteeritud ja parooliallikat ei ole antud. Minimaalne vorm on lühike ja seda on lihtne hooletult käivitada.
umask 077
openssl pkey -in protected-key.pem -out new-private-key.pemKolm teravat serva. Väljundfaili I/O ei ole aatomne, seega olemasolev väljundtee võidakse kirjutamise keskel katkestada. Ärge kasutage sisendteed väljundina ja ärge katsetage ainsa kaitstud koopia peal. Sisestage paroolfraas viiba juures, mitte käsureal, kus see satub shelli ajalukku.
Kontrollige tulemust enne mis tahes VPN-konfiguratsiooni muutmist: openssl pkey -in new-private-key.pem -pubout peaks välja printima sama avaliku võtme, mis teil enne oli.
Mida teisendamine ei tee
See ei tühista krüpteeritud koopiat, mis on endiselt olemas seal, kuhu te selle jätsite. See ei muuda VPN-konto parooli ega sertifikaati. Ja see ei paranda juba toimunud paljastust. Kui võti lekib, on lahendus asendamine ja serveripoolne tühistamine, mitte kohalik vormingu muutmine.
Kustutage vahefail tahtlikult ja kinnitage, et kustutatav tee on see, mille te lõite.