In kaaiwachtwurd fuortsmite of hâlde? De kopy dy't jo meitsje
In net-fersifere kaaiberjocht hâldt deselde geheim efter swakkere beskerming. Fergelykje it risiko yn rêst foardat jo konvertearje, en wês bewust wat it net ûngedien makket.
In fersifere privee-kaai en in net-fersifere ien hâlde deselde kaaimateriaal. Konvertearjen makket gjin nije identiteit, set gjin VPN-akkoart werom en meitsje it âlde bestân net ûnjildich. It skriuwt in twadde kopy, en dy kopy draacht in oar risiko yn rêst.
Oft de ruil it wurdich is hinget ôf fan wêr't it bestân libje sil en wa't it lêze kin.
Wat konvertearjen eins feroaret
Foar konverzje is de kaai beskerme troch in kaaiwachtwurd dat de operator leveret. Nei konverzje wurdt er beskerme troch bestânsysteemrjochten en hokker tagongsbehear dan ek om it bestân hinne. De kryptografy is net feroare; it oantal dingen tusken in oanfaller en de kaai is feroare. Dat is de hiele fergeliking.
In tabel makket it ferskil konkreet.
| Form | What protects it | How it fails |
|---|---|---|
| Encrypted key | A passphrase plus file access | Weak passphrase, or an offline attack on the file |
| Unencrypted key | File permissions and host security only | Any reader copies it silently |
Gjin fan beide foarmen is automatysk feiliger. Se misbeteare op ferskate manieren, en mar ien fan dy manieren lit in log-ynskriuwing efter.
Wannear't it better is it kaaiwachtwurd te hâlden
As in stipe klant it kaaiwachtwurd freegje kin of it by in goedkarde geheime opslach helje kin, keapet konvertearjen neat. Jo hâlde ien kopy, ien beskermingsgrins en ien bestân minder te folgjen. De measte VPN-klanten dy't PEM-kaaien akseptearje kinne dit dwaan.
Konvertearjen is ek de ferkearde set as in team de kaai dielt. In net-fersifere bestân op in dielde host wurdt oanmeldgegevens dat elkenien mei shell-tagong kopyje kin.
Wannear't in net-fersifere kopy rjochtfeardige is
Guon tsjinsten kinne net freegje, guon konteners mounte geheimen allinnich-lêze, en guon apparaten lêze in kaaiberjocht by it opstarten sûnder in ynteraktive paad. Yn dy gefallen kin in net-fersifere kaai yn in goed beheinde map it stipe ûntwerp wêze. De rjochtfeardiging is de omjouwing, net it gemak.
As jo net sizze kinne wa't it bestân lêze kin en wêrom, is it antwurd nee.
It kommando en syn skerpe rânen
Foar in bestânsbasearre kaai stipe troch OpenSSL 3.5, de pkey-referinsje dokumintearret it fuortsmite fan it kaaiwachtwurd en in ynteraktive fraach as de ynfier fersifere is en gjin wachtwurdboarne levere wurdt. De minimale foarm is koart, en it is maklik om it ûnfoarsichtich te draaien.
umask 077
openssl pkey -in protected-key.pem -out new-private-key.pemTrije skerpe rânen. Utfierbestân-I/O is net atomêr, sadat in besteand útfierpaad midden yn it skriuwen ôfbrutsen wurde kin. Brûk it ynfierpaad net as útfier, en eksperimintearje net op 'e iennige beskerme kopy. Fier it kaaiwachtwurd by de fraach yn ynstee fan op 'e kommandorigel, dêr't it yn 'e shell-skiednis belânet.
Kontrolearje it resultaat foardat jo hokker VPN-konfiguraasje dan ek feroarje: openssl pkey -in new-private-key.pem -pubout moat deselde iepenbiere kaai printsje dy't jo earder hiene.
Wat konvertearjen net docht
It lûkt de fersifere kopy net werom, dy't noch altyd bestiet wêr't jo it ek litten hawwe. It feroaret it VPN-akkoartwachtwurd of it sertifikaat net. En it reparearret gjin bleatstelling dy't al bard is. As in kaai lekt is, is de oplossing ferfanging en weromlûken oan 'e serverkant, net in lokale formaatferoaring.
Smyt it tuskenbestân bewust fuort, en befêstigje dat it paad dat jo smite it iene is dat jo makke hawwe.