SSH-avaimen salasanalause suojaa tiedoston, ei reittiä

Vanhan kannettavan varmuuskopiolevyllä on yhä yksityinen SSH-avain, ja joku kysyy, suojaako VPN sen. Ei suojaa, eikä ole koskaan suojannut. VPN suojaa polun kahden verkon välillä; salasanalause suojaa tiedoston; agentti suojaa käynnissä olevan istunnon. Kolme eri mekanismia, kolme eri vikatapaa, ja varastettu kopio välittää vain kahdesta ensimmäisestä.

Salasanalause kuuluu tiedostolle

SSH-avaimen salasanalause salaa yksityisen avainmateriaalin lepotilassa. Se ei ole palvelimelle lähetettävä tilin salasana eikä VPN:ään liittymiseen käytettävä tunniste. Niiden sekoittaminen johtaa muutoksiin, jotka eivät korjaa altistumista.

OpenSSH:n ssh-keygen-käsikirja käsittelee salasanalauseita, mukaan lukien -p-kytkin, joka asettaa uuden salasanalauseen jo olemassa olevalle avaimelle.

Olemassa olevalle avaimelle komennon muoto on yksinkertainen, ja se kirjoittaa tiedoston uudelleen:

ssh-keygen -p -f ~/.ssh/id_ed25519

Käytä avaimen omistajan hyväksymää ylläpito- ja palautusprosessia, koska tämä on kirjoitus, ei tarkastus. Älä julkaise yksityistä tiedostoa äläkä laita oikeaa salasanalausetta jaettuun komentoriviin. Salasanalauseen muuttaminen ei salaa uudelleen aiemmin otettua kopiota. Kirjaa vanhan kopion sijainti tikettiin, jotta omistaja voi päättää, tuhotaanko se.

Kopio elää kauemmin kuin kannettava ja tunneli

Kun avaintiedosto on kopioitu, kannettavan käynnissä oleva VPN-yhteys ei enää kerro siitä mitään. Merkitsevää on, kuinka hyvin itse tiedosto on suojattu, ja mitkä palvelimet yhä luottavat vastaavaan julkiseen avaimeen.

Nykyisen tiedoston salasanalauseen muuttaminen ei kosketa kopiota eikä poista samaa julkista avainta palvelimen authorized_keys-tiedostosta. Peruuttaminen ja uudelleensalaus ovat erillisiä toimia.

Kohtele vuotanutta yksityistä avainta siis identiteettitapahtumana, ei verkkotapahtumana. Poista tai korvaa hyväksytty avain niiden palvelimien ja rekisteröintiprosessin kautta, joille se kuuluu. VPN:n pysäyttäminen rajoittaa yhtä reittiä yhdellä hetkellä; se ei ole peruuttaminen.

Lukituksen avaaminen siirtää salaisuuden agenttiin

Agentti pitää salatut identiteetit myöhempää todentamista varten, joten käyttäjän ei tarvitse kirjoittaa salasanalausetta uudelleen joka yhteydellä. Se on käytettävyysominaisuus, jolla on oma turvarajansa.

ssh-agent voi -t-vaihtoehdollaan rajoittaa, kuinka kauan identiteetti pysyy ladattuna, ja yksittäisen identiteetin asetus voi ohittaa tämän rajan. Valitse käytäntö agentille, jota todella ajat, sen sijaan että olettaisit VPN:n katkaisun unohtavan jokaisen ladatun avaimen.

Prosessi, joka vaarantuu avaimen avaamisen jälkeen, on eri ongelma kuin varastettu salattu tiedosto. Agentin välittäminen toiselle isännälle delegoi todentamiskyvyn kopioimatta avaintiedostoa, joten ota se käyttöön vain hyväksyttyyn tarpeeseen.

Listaa, mitä agentti parhaillaan pitää, ennen muutosta ja sen jälkeen:

ssh-add -l

Valvomattomat työt tarvitsevat oman suunnitelmansa

Ajastettu työ ei voi vastata kehotteeseen. Se tarvitsee hyväksytyn koneen tunnistetietojärjestelyn, eikä avaussalaisuuden pitäminen samassa hakemistossa avaimen kanssa, saman tilin luettavissa, luo toista rajaa.

Tee palvelun omistajan kanssa työtä tuetun salaisuuksien toimituksen tai laitteistopohjaisen toiminnan parissa ja kata uusiminen, vika ja palautuminen. Halu saada ihminen näppäimistölle muuttaa sitä, miltä vika näyttää verrattuna isäntään, joka käynnistyy ilman kenenkään valvontaa.

Säilytä myös palvelimen isäntäidentiteetin tarkistus ja sen tilirajoitukset. VPN-reitti antaa yksityisen polun; se ei todista, että jokainen saavuttamasi SSH-kuuntelija on se isäntä, jonka tarkoitit. Kirjaa kuuntelija ja isäntäavaimen sormenjälki samaan luetteloon kuin avain itse.

Tarkista rajat erikseen

Testaa jokaista rajaa omalla kysymyksellään. Avautuuko tiedosto ilman salasanalausetta? Pitääkö agentti identiteetin yhteyden katkeamisen jälkeen? Hyväksyykö palvelin yhä julkisen avaimen?

Kaksi komentoa vastaavat ensimmäiseen ja kolmanteen:

ssh-keygen -y -f ~/.ssh/id_ed25519
ssh -v [email protected]

Kirjaa tiedoston suojaus, sallittu avaimen käyttö ja palvelinpuolen poisto kolmena erillisenä rivinä. Tunneli, salasanalause ja agentti vartioivat kukin eri osaa suhteesta, ja vain yksi niistä koskee verkkoa.