להסיר סיסמת מפתח או להשאיר אותה? ההעתק שאתם יוצרים
קובץ מפתח לא מוצפן מחזיק את אותו סוד תחת הגנה חלשה יותר. השוו את הסיכון במנוחה לפני המרה, ודעו מה היא אינה מבטלת.
מפתח פרטי מוצפן ומפתח לא מוצפן מחזיקים באותו חומר מפתח. ההמרה אינה יוצרת זהות חדשה, אינה מאפסת חשבון VPN ואינה מבטלת את הקובץ הישן. היא כותבת העתק שני, וההעתק הזה נושא סיכון שונה במנוחה.
אם ההחלפה שווה את זה תלוי היכן הקובץ יחיה ומי יכול לקרוא אותו.
מה ההמרה באמת משנה
לפני ההמרה, המפתח מוגן על ידי סיסמה שהמפעיל מספק. אחרי ההמרה, הוא מוגן על ידי הרשאות מערכת הקבצים ועל ידי כל בקרת גישה שמקיפה את הקובץ. ההצפנה לא השתנתה; מספר הדברים העומדים בין תוקף למפתח השתנה. זו כל ההשוואה.
טבלה הופכת את ההבדל למוחשי.
| Form | What protects it | How it fails |
|---|---|---|
| Encrypted key | A passphrase plus file access | Weak passphrase, or an offline attack on the file |
| Unencrypted key | File permissions and host security only | Any reader copies it silently |
אף אחת מהצורות אינה בטוחה יותר אוטומטית. הן נכשלות בדרכים שונות, ורק אחת מהדרכים האלה משאירה רשומה ביומן.
מתי עדיף לשמור את הסיסמה
אם לקוח נתמך יכול לבקש את הסיסמה או לקחת אותה ממאגר סודות מאושר, ההמרה אינה קונה דבר. אתם שומרים עותק אחד, גבול הגנה אחד וקובץ אחד פחות למעקב. רוב לקוחות ה-VPN שמקבלים מפתחות PEM יכולים לעשות זאת.
ההמרה היא גם מהלך שגוי כשצוות חולק את המפתח. קובץ לא מוצפן במארח משותף הופך לאישור גישה שכל מי שיש לו גישה למעטפת יכול להעתיק.
מתי עותק לא מוצפן מוצדק
יש שירותים שאינם יכולים לבקש, יש מכולות שמעלות סודות לקריאה בלבד, ויש מכשירים שקוראים קובץ מפתח בעת האתחול בלי נתיב אינטראקטיבי. במקרים האלה, מפתח לא מוצפן בתוך תיקייה מוגבלת כראוי יכול להיות העיצוב הנתמך. ההצדקה היא הסביבה, לא הנוחות.
אם אינכם יכולים לומר מי יכול לקרוא את הקובץ ולמה, התשובה היא לא.
הפקודה והקצוות החדים שלה
עבור מפתח מבוסס קובץ שנתמך על ידי OpenSSL 3.5, אזכור pkey מתעד הסרת סיסמה ובקשה אינטראקטיבית כשהקלט מוצפן ולא סופק מקור סיסמה. הצורה המינימלית קצרה, וקל להריץ אותה ברשלנות.
umask 077
openssl pkey -in protected-key.pem -out new-private-key.pemשלושה קצוות חדים. קלט/פלט של קובץ הפלט אינו אטומי, ולכן נתיב פלט קיים עלול להיחתך באמצע הכתיבה. אל תשתמשו בנתיב הקלט כפלט, ואל תנסו על העותק המוגן היחיד. הזינו את הסיסמה בהנחיה ולא בשורת הפקודה, שם היא מגיעה להיסטוריית המעטפת.
בדקו את התוצאה לפני שינוי כל תצורת VPN: openssl pkey -in new-private-key.pem -pubout אמור להדפיס את אותו מפתח ציבורי שהיה לכם קודם.
מה ההמרה לא עושה
היא אינה מבטלת את העותק המוצפן, שקיים עדיין בכל מקום שהשארתם אותו. היא אינה משנה את סיסמת חשבון ה-VPN או את התעודה. והיא אינה מתקנת חשיפה שכבר קרתה. אם מפתח דלף, הפתרון הוא החלפה ושליפה בצד השרת, לא שינוי פורמט מקומי.
מחקו את קובץ הביניים בכוונה, וודאו שהנתיב שאתם מוחקים הוא זה שיצרתם.