SSH-võtme paroolifraas kaitseb faili, mitte marsruuti

Vana sülearvuti varunduskett sisaldab endiselt privaatset SSH-võtit ja keegi küsib, kas VPN kaitseb seda. Ei kaitse, ega ole kunagi kaitsnud. VPN kaitseb teed kahe võrgu vahel; paroolifraas kaitseb faili; agent kaitseb töötavat seanssi. Kolm erinevat mehhanismi, kolm erinevat rikkerežiimi ja varastatud koopia hoolib ainult kahest esimesest.

Paroolifraas kuulub faili juurde

SSH-võtme paroolifraas krüpteerib privaatvõtme materjali puhkeolekus. See ei ole serverile saadetav konto parool ega VPN-iga liitumiseks kasutatav volitus. Nende segiajamine viib muudatusteni, mis kokkupuudet ei lahenda.

OpenSSH ssh-keygeni juhend käsitleb paroolifraaside käsitlemist, sealhulgas lülitit -p, mis määrab juba olemasolevale võtmele uue paroolifraasi.

Olemasoleva võtme puhul on käsu kuju lihtne ja see kirjutab faili üle:

ssh-keygen -p -f ~/.ssh/id_ed25519

Kasutage võtme omaniku heakskiidetud hooldus- ja taastamisprotsessi, sest see on kirjutamine, mitte ülevaatus. Ärge avaldage privaatset faili ega asetage tegelikku paroolifraasi jagatud käsureale. Paroolifraasi muutmine ei krüpteeri uuesti varem tehtud koopiat. Märkige vana koopia asukoht piletile, et omanik saaks otsustada, kas see hävitada.

Koopia elab sülearvutist ja tunnelist kauem

Kui võtmefail on kopeeritud, ei ütle sülearvuti aktiivne VPN-ühendus selle kohta enam midagi. Tähtis on, kui hästi on kaitstud fail ise, ja millised serverid usaldavad endiselt vastavat avalikku võtit.

Paroolifraasi muutmine praegusel failil ei puuduta koopiat ega eemalda sama avalikku võtit serveri authorized_keys failist. Tühistamine ja ümberkrüpteerimine on eraldi toimingud.

Seega käsitlege lekkinud privaatvõtit identiteedisündmusena, mitte võrgusündmusena. Eemaldage või asendage aktsepteeritud võti nende serverite ja registreerimisprotsessi kaudu, kellele see kuulub. VPN-i peatamine piirab ühte marsruuti ühel hetkel; see ei ole tühistamine.

Lukust avamine viib saladuse agendile

Agent hoiab dekrüpteeritud identiteete hilisemaks autentimiseks, et kasutaja ei peaks igal ühendusel paroolifraasi uuesti sisestama. See on kasutusmugavuse funktsioon, millel on oma turvapiir.

ssh-agent saab oma -t valikuga piirata, kui kaua identiteet laadituna püsib, ja üksiku identiteedi säte võib selle piiri ületada. Valige poliitika agendile, mida tegelikult käitate, selle asemel et eeldada, nagu unustaks VPN-ist lahtiühendamine iga laaditud võtme.

Protsess, mis kompromiteeritakse pärast võtme lukust avamist, on teine probleem kui varastatud krüpteeritud fail. Agendi edasisaatmine teisele hostile delegeerib autentimisvõimaluse ilma võtmefaili kopeerimata, seega lubage seda ainult heakskiidetud vajaduse korral.

Loetlege, mida agent praegu hoiab, enne ja pärast muudatust:

ssh-add -l

Järelevalveta tööd vajavad oma plaani

Ajastatud töö ei saa viibale vastata. See vajab heakskiidetud masinavolituste korda, ja avamissaladuse hoidmine võtmega samas kataloogis, sama konto loetav, ei loo teist piiri.

Tehke koostööd teenuse omanikuga toetatud saladuste edastamisel või riistvarapõhisel töötamisel ning katke uuendamine, rike ja taastamine. Soov, et klaviatuuri taga oleks inimene, muudab rikke ilmet võrreldes hostiga, mis käivitub ilma kellegi järele vaatamata.

Säilitage ka serveri hosti identiteedi kontroll ja selle konto piirangud. VPN-marsruut annab privaatse tee; see ei tõesta, et iga SSH-kuulaja, kelleni jõuate, on kavatsetud host. Kirjutage kuulaja ja hosti võtme sõrmejälg samasse inventeerimisse nagu võti ise.

Kontrollige piire eraldi

Testige iga piiri oma küsimusega. Kas fail avaneb ilma paroolifraasita? Kas agent hoiab identiteeti pärast ühenduse katkemist? Kas server võtab avaliku võtme endiselt vastu?

Kaks käsku vastavad esimesele ja kolmandale:

ssh-keygen -y -f ~/.ssh/id_ed25519
ssh -v [email protected]

Kandke faili kaitse, lubatud võtmekasutus ja serveripoolne eemaldamine kolme eraldi reana kirja. Tunnel, paroolifraas ja agent valvavad igaüks erinevat osa suhtest ja ainult üks neist puudutab võrku.