Gako baten pasaesaldia kendu edo mantendu? Sortzen duzun kopia
Zifratu gabeko gako-fitxategi batek sekretu bera gordetzen du babes ahulagoaren atzean. Alderatu atsedenaldiko arriskua bihurtu aurretik, eta jakin zer ez duen desegiten.
Zifratutako gako pribatu batek eta zifratu gabe batek gako-material bera dute. Bihurtzeak ez du identitate berririk sortzen, ez du VPN konturik berrezartzen eta ez du fitxategi zaharra baliogabetzen. Bigarren kopia bat idazten du, eta kopia horrek atsedenaldiko arrisku desberdina dakar.
Trukea merezi duen ala ez fitxategia non bizi den eta nor izan daitekeen irakurtzen duenaren araberakoa da.
Zer aldatzen duen bihurtzeak benetan
Bihurtu aurretik, operadoreak emandako pasaesaldi batek babesten du gakoa. Bihurtu ondoren, fitxategi-sistemaren baimenek eta fitxategia inguratzen duen edozein sarbide-kontrolek babesten dute. Kriptografia ez da aldatu; erasotzailearen eta gakoaren arteko gauza-kopurua aldatu da. Hori da konparazio osoa.
Taula batek desberdintasuna konkretu egiten du.
| Form | What protects it | How it fails |
|---|---|---|
| Encrypted key | A passphrase plus file access | Weak passphrase, or an offline attack on the file |
| Unencrypted key | File permissions and host security only | Any reader copies it silently |
Ez da inolako formarik automatikoki seguruagoa. Modu desberdinetan huts egiten dute, eta modu horietako batek bakarrik uzten du erregistro-sarrera bat.
Noiz da hobe pasaesaldia mantentzea
Bezero onartu batek pasaesaldia eska dezakeen edo onartutako sekretu-biltegi batetik har dezakeen, bihurtzeak ez du ezer irabazten. Kopia bat, babes-muga bat eta jarraitzeko fitxategi bat gutxiago edukitzen dituzu. PEM gakoak onartzen dituzten VPN bezero gehienek egin dezakete hori.
Bihurtzea erabaki okerra da talde batek gakoa partekatzen duenean ere. Ostalari partekatu bateko zifratu gabeko fitxategia shell sarbidea duen edonork kopia dezakeen kredentzial bihurtzen da.
Noiz da justifikatua zifratu gabeko kopia bat
Zenbait zerbitzuk ezin dute eskatu, zenbait edukiontzik sekretuak irakurtze soilik muntatzen dituzte, eta zenbait gailuk gako-fitxategia abioan irakurtzen dute bide interaktiborik gabe. Kasu horietan, zifratu gabeko gako bat behar bezala murriztutako direktorio batean izan daiteke onartutako diseinua. Justifikazioa ingurunea da, ez erosotasuna.
Ezin baduzu esan nor izan daitekeen fitxategia irakurtzen eta zergatik, erantzuna ez da.
Komandoa eta bere ertzak
OpenSSL 3.5ek onartzen duen fitxategi bidezko gako baterako, pkey erreferentzia atalek pasaesaldiaren kentzea eta gonbita interaktiboa dokumentatzen ditu, sarrera zifratuta dagoenean eta pasahitz-iturririk ematen ez denean. Forma minimoa laburra da, eta erraz exekutatzen da arduragabeki.
umask 077
openssl pkey -in protected-key.pem -out new-private-key.pemHiru ertz. Irteera-fitxategiaren sarrera/irteera ez da atomikoa, beraz lehendik dagoen irteera-bide bat moztu daiteke idazketaren erdian. Ez erabili sarrera-bidea irteera gisa eta ez egin esperimenturik babestutako kopia bakarrean. Sartu pasaesaldia gonbitean eta ez komando-lerroan, non shell historialean amaitzen baita.
Egiaztatu emaitza VPN konfigurazio edozein aldatu aurretik: openssl pkey -in new-private-key.pem -pubout aurretik zenuen gako publiko bera inprimatu beharko luke.
Zer ez duen bihurtzeak egiten
Ez du zifratutako kopia baliogabetzen, oraindik ere badago non utzi zenuen. Ez du VPN kontuaren pasahitza edo ziurtagiria aldatzen. Eta ez du jada gertatu den esposizio bat konpontzen. Gako bat filtratu bada, konponbidea ordezkapena eta zerbitzari-aldeko erretiratzea da, ez formatu-aldaketa lokala.
Ezabatu tarteko fitxategia nahita, eta egiaztatu ezabatzen duzun bidea zuk sortutakoa dela.