Poistatko avaimen salalauseen vai pidätkö sen? Luomasi kopio

Salattu yksityinen avain ja salaamaton avain sisältävät saman avainmateriaalin. Muuntaminen ei luo uutta identiteettiä, ei nollaa VPN-tiliä eikä mitätöi vanhaa tiedostoa. Se kirjoittaa toisen kopion, ja tuo kopio kantaa erilaisen lepotilan riskin.

Kannattaako vaihtokauppa riippuu siitä, missä tiedosto tulee olemaan ja kuka voi lukea sen.

Mitä muuntaminen todella muuttaa

Ennen muuntamista avainta suojaa käyttäjän antama salalause. Muuntamisen jälkeen sitä suojaavat tiedostojärjestelmän käyttöoikeudet ja mikä tahansa tiedoston ympärillä oleva pääsynvalvonta. Salakirjoitus ei ole muuttunut; avaimen ja hyökkääjän välissä olevien asioiden määrä on. Siinä koko vertailu.

Taulukko tekee eron konkreettiseksi.

Kumpikaan muoto ei ole automaattisesti turvallisempi. Ne epäonnistuvat eri tavoin, ja vain yksi noista tavoista jättää lokimerkinnän.

Milloin salalause kannattaa pitää

Jos tuettu asiakasohjelma voi kysyä salalauseen tai hakea sen hyväksytystä salaisuuksien varastosta, muuntaminen ei tuo mitään. Pidät yhden kopion, yhden suojarajan ja yhden tiedoston vähemmän seurattavaksi. Useimmat PEM-avaimet hyväksyvät VPN-asiakkaat pystyvät tähän.

Muuntaminen on väärä liike myös silloin, kun tiimi jakaa avaimen. Salaamaton tiedosto jaetulla isäntäkoneella muuttuu tunnukseksi, jonka kuka tahansa shell-käyttöoikeuden omaava voi kopioida.

Milloin salaamaton kopio on perusteltu

Jotkut palvelut eivät voi kysyä, jotkut kontit liittävät salaisuudet vain luku -tilassa ja jotkut laitteet lukevat avaintiedoston käynnistyksessä ilman interaktiivista polkua. Näissä tapauksissa salaamaton avain asianmukaisesti rajoitetussa hakemistossa voi olla tuettu ratkaisu. Perustelu on ympäristö, ei mukavuus.

Jos et voi kertoa, kuka voi lukea tiedoston ja miksi, vastaus on ei.

Komento ja sen terävät reunat

Tiedostopohjaiselle avaimelle, jota OpenSSL 3.5 tukee, pkey-viite dokumentoi salalauseen poistamisen ja interaktiivisen kehotteen, kun syöte on salattu eikä salasanan lähdettä anneta. Pienin muoto on lyhyt, ja se on helppo ajaa huolimattomasti.

umask 077
openssl pkey -in protected-key.pem -out new-private-key.pem

Kolme terävää reunaa. Tulostiedoston I/O ei ole atominen, joten olemassa oleva tulostepolku voidaan katkaista kesken kirjoituksen. Älä käytä syötepolkua tulosteena äläkä kokeile ainoalla suojatulla kopiolla. Anna salalause kehotteessa äläkä komentorivillä, jossa se päätyy shellin historiaan.

Tarkista tulos ennen minkään VPN-asetuksen muuttamista: openssl pkey -in new-private-key.pem -pubout pitäisi tulostaa sama julkinen avain, joka sinulla oli ennen.

Mitä muuntaminen ei tee

Se ei peru salattua kopiota, joka on edelleen olemassa siellä, minne jätit sen. Se ei muuta VPN-tilin salasanaa eikä varmennetta. Eikä se korjaa paljastumista, joka on jo tapahtunut. Jos avain on vuotanut, ratkaisu on korvaaminen ja palvelinpuolen peruutus, ei paikallinen muunnos.

Poista välitiedosto tarkoituksella ja varmista, että poistamasi polku on se, jonka loit.