SSH gakoaren pasaesaldi batek fitxategia babesten du, ez ibilbidea

Laptop zahar bateko babes-kopia disko batek SSH gako pribatu bat dauka oraindik, eta norbaitek galdetzen du ea VPNak babesten duen. Ez du babesten, eta ez zuen inoiz babestu. VPNak bi sare arteko bidea babesten du; pasaesaldiak fitxategia babesten du; agenteak martxan dagoen saioa babesten du. Hiru mekanismo desberdin, hiru hutsegite modu desberdin, eta lapurtutako kopia bat lehen biei buruz baino ez da arduratzen.

Pasaesaldia fitxategiarena da

SSH gako baten pasaesaldiak gako pribatuaren materiala zifratzen du atsedenean. Ez da zerbitzarira bidaltzen den kontuaren pasahitza, eta ez da VPNarekin bat egiteko erabiltzen den kredentziala. Hauek nahasteak esposizioa konpontzen ez duten aldaketetara eramaten du.

OpenSSHren ssh-keygen eskuliburuak pasaesaldien kudeaketa lantzen du, dagoeneko existitzen den gako batean pasaesaldi berria ezartzen duen -p etengailua barne.

Dagoeneko badagoen gako baterako komandoaren forma sinplea da, eta fitxategia berridazten du:

ssh-keygen -p -f ~/.ssh/id_ed25519

Erabili gakoaren jabearen onartutako mantentze- eta berreskuratze-prozesua, hau idazketa bat delako, ez ikuskapen bat. Ez argitaratu fitxategi pribatua eta ez jarri benetako pasaesaldirik partekatutako komando-lerroan. Pasaesaldia aldatzeak ez du lehenago hartutako kopia bat berriz zifratzen. Erregistratu kopia zaharraren kokapena tiketean, jabeak suntsitu behar duen erabaki dezan.

Kopia bat laptopa eta tunela baino gehiago bizi da

Gako-fitxategi bat kopiatu ondoren, laptoparen VPN konexio aktiboak ez du ezer esaten hari buruz. Garrantzitsua da fitxategia bera zenbateraino dagoen babestuta, eta zein zerbitzarik fidatzen diren oraindik dagokion gako publikoan.

Uneko fitxategiko pasaesaldia aldatzeak ez du kopiarik ukitzen, eta ez du gako publiko bera zerbitzari bateko authorized_keys fitxategitik kentzen. Ezeztatzea eta berriz zifratzea ekintza bereiziak dira.

Beraz, tratatu filtratutako gako pribatu bat identitate-gertaera gisa, ez sare-gertaera gisa. Kendu edo ordezkatu onartutako gakoa hura duten zerbitzarien eta izen-emate prozesuaren bidez. VPNa gelditzeak ibilbide bat mugatzen du une jakin batean; ez da ezeztatzea.

Desblokeatzeak sekretua agente batera eramaten du

Agente batek deskribatutako identitateak gordetzen ditu geroagoko autentifikaziorako, erabiltzaileak konexio bakoitzean pasaesaldia berriz idatzi ez dezan. Erabilgarritasun-ezaugarri bat da, bere segurtasun-muga duena.

ssh-agentek bere -t aukeraren bidez mugatu dezake identitate bat zenbat denbora egoten den kargatuta, eta identitate baterako ezarpen batek muga hori gaindi dezake. Aukeratu benetan exekutatzen duzun agentearen politika, VPN deskonektatzeak kargatutako gako guztiak ahazten dituela suposatu beharrean.

Gakoa desblokeatu ondoren konprometitzen den prozesu bat lapurtutako fitxategi zifratu bat baino arazo desberdina da. Agentea beste ostalari batera birbidaltzeak autentifikazio gaitasuna delegatzen du gako-fitxategia kopiatu gabe, beraz gaitu behar onartu batengatik soilik.

Zerrendatu agenteak unean zer daukan aldaketaren aurretik eta ondoren:

ssh-add -l

Gainbegiratu gabeko lanek beren plana behar dute

Programatutako lan batek ezin dio galdera bati erantzun. Onartutako makina-kredentzialen antolaketa bat behar du, eta desblokeatzeko sekretua gakoarekin direktorio berean edukitzeak, kontu berberak irakurgarri, ez du bigarren muga bat sortzen.

Lan egin zerbitzuaren jabearekin sekretuen bidalketa onartuan edo hardware bidezko funtzionamenduan, eta estali berritzea, hutsegitea eta berreskuratzea. Teklatuan pertsona bat nahi izateak hutsegitearen itxura aldatzen du inor gainbegiratu gabe abiatzen den ostalari batekin alderatuta.

Mantendu zerbitzariaren ostalari-identitatearen egiaztapena eta haren kontu-murrizketak ere. VPN ibilbide batek bide pribatu bat ematen dizu; ez du frogatzen iristen zaren SSH entzule bakoitza buruan zenuen ostalaria denik. Erregistratu entzulea eta ostalariaren gakoaren hatz-marka gakoarekin batera inbentario berean.

Egiaztatu mugak bereizita

Probatu muga bakoitza bere galderarekin. Fitxategia pasaesaldirik gabe irekitzen da? Agenteak identitatea gordetzen du deskonexio baten ondoren? Zerbitzariak gako publikoa onartzen du oraindik?

Bi komandok lehenengoari eta hirugarrenari erantzuten diete:

ssh-keygen -y -f ~/.ssh/id_ed25519
ssh -v [email protected]

Erregistratu fitxategiaren babesa, onartutako gako-erabilera eta zerbitzariaren aldeko kentzea hiru lerro bereizi gisa. Tunel batek, pasaesaldi batek eta agente batek harremanaren zati desberdin bat zaintzen dute, eta horietako bat baino ez da sareari buruzkoa.