In SSH-kaaiwachtwurd beskermet it bestân, net de rûte

In reservekopyskiif fan in âlde laptop befettet noch altyd in partikuliere SSH-kaai, en immen freget oft de VPN dy beskermet. Dat docht er net, en dat hat er nea dien. De VPN beskermet in paad tusken twa netwurken; it wachtwurd beskermet it bestân; de agent beskermet in rinnende sesje. Trije ferskillende meganismen, trije ferskillende stjoerwizen, en in stellen kopy hâldt him allinnich mei de earste twa dwaande.

It wachtwurd heart by it bestân

In SSH-kaaiwachtwurd fersiferet it partikuliere kaaienmateriaal yn rêst. It is net it akkountwachtwurd dat nei de tsjinner stjoerd wurdt, en it is net de oanmeldgegevens dy't brûkt wurde om by de VPN te kommen. Se trochinoar helje liedt ta feroarings dy't de bleatstelling net oanpakke.

De hantlieding foar ssh-keygen fan OpenSSH behannelet it omgean mei wachtwurden, ynklusyf de -p-skeakel dy't in nij wachtwurd op in kaai set dy't al bestiet.

Foar in besteande kaai is de foarm fan it kommando ienfâldich, en it skriuwt it bestân op ’e nij:

ssh-keygen -p -f ~/.ssh/id_ed25519

Brûk it goedkarde ûnderhâlds- en werstelproses fan de kaaieigener, want dit is in skriuwaksje, net in ynspeksje. Publisearje it partikuliere bestân net en set gjin echt wachtwurd op in dielde kommandorigel. In wachtwurdfersoaring fersiferet in earder makke kopy net op ’e nij. Set it plak fan de âlde kopy yn it ticket, sadat de eigener beslute kin oft dy ferneatige wurde moat.

In kopy oerlibbet de laptop en de tunnel

Sadree't in kaaibestân kopiearre is, seit de aktive VPN-ferbining fan ’e laptop neat mear oer it bestân. Wat telt is hoe goed it bestân sels beskerme is, en hokker tsjinners de byhearrende publike kaai noch fertrouwe.

It wachtwurd fan it hjoeddeiske bestân feroarje rekket de kopy net, en it ferwideret deselde publike kaai net út authorized_keys op in tsjinner. Ynlûken en op ’e nij fersiferjen binne aparte aksjes.

Behannelje in útlekte partikuliere kaai dus as in identiteitsbarren, net as in netwurkbarren. Ferwiderje of ferfang de akseptearre kaai fia de tsjinners en it ynskriuwproses dy't him besitte. It stopjen fan de VPN beheint ien rûte op ien momint; it is gjin ynlûken.

Untsluten ferpleatst it geheim nei in agent

In agent hâldt ûntsifere identiteiten foar lettere autentikaasje, sadat de brûker it wachtwurd net by elke ferbining op ’e nij ynfiert. Dat is in brûkberensfunksje mei in eigen feiligensgrins.

ssh-agent kin mei syn -t-opsje beheine hoe lang in identiteit laden bliuwt, en in ynstelling per identiteit kin dy grins oerskride. Kies it belied foar de agent dy't jo echt rinne litte, yn plak fan oan te nimmen dat it loskeppeljen fan ’e VPN elke laden kaai ferget.

In proses dat kompromittearre wurdt nei't de kaai ûntsletten is, is in oar probleem as in stellen fersifere bestân. It trochstjoeren fan de agent nei in oare host delegearret autentikaasjefermogen sûnder it kaaibestân te kopiearjen, dus skeakelje it allinnich yn foar in goedkarde needsaak.

List op wat de agent op dit stuit hâldt, foar en nei in feroaring:

ssh-add -l

Taken sûnder tafersjoch hawwe har eigen plan nedich

In plande taak kin net op in fraach antwurdzje. It hat in goedkarde regeling foar masine-oanmeldgegevens nedich, en it geheim foar it ûntsluten yn deselde map as de kaai hâlde, lêsber troch itselde akkount, makket gjin twadde grins.

Werkje mei de tsjinnereigener oan stipe geheimleverje of hardwaremjittich betsjinjen, en dek fernijing, falen en werstel. In minske efter it toetseboerd wolle feroaret hoe't falen derút sjocht yn ferliking mei in host dy't opstart sûnder dat immen meikiket.

Hâld ek de host-identiteitskontrôle fan ’e tsjinner en syn akkountbeheiningen. In VPN-rûte jout jo in partikulier paad; it bewiist net dat elke SSH-lústerer dy't jo berikke kinne de host is dy't jo bedoelden. Registrearje de lústerer en de fingerôfdruk fan ’e hostkaai yn deselde ynventaris as de kaai sels.

Kontrolearje de grinzen apart

Test elke grins mei syn eigen fraach. Giet it bestân iepen sûnder it wachtwurd? Hâldt de agent de identiteit nei in loskeppeling? Akseptearret de tsjinner de publike kaai noch?

Twa kommando's beantwurdzje de earste en de tredde:

ssh-keygen -y -f ~/.ssh/id_ed25519
ssh -v [email protected]

Registrearje bestânsbeskerming, tastien kaaigebrûk en ferwidering oan ’e tsjinnerkant as trije aparte rigels. In tunnel, in wachtwurd en in agent beweitsje elk in oar part fan ’e relaasje, en mar ien fan harren giet oer it netwurk.