Pristupna fraza SSH ključa štiti datoteku, a ne rutu

Sigurnosna kopija sa starog prijenosnika još sadrži privatni SSH ključ, i netko pita štiti li ga VPN. Ne štiti, i nikada nije. VPN štiti put između dvije mreže; pristupna fraza štiti datoteku; agent štiti pokrenutu sesiju. Tri različita mehanizma, tri različita načina kvara, a ukradena kopija brine samo o prva dva.

Pristupna fraza pripada datoteci

Pristupna fraza SSH ključa šifrira materijal privatnog ključa dok miruje. To nije lozinka računa koja se šalje poslužitelju i nije vjerodajnica za pridruživanje VPN-u. Njihovo miješanje vodi promjenama koje ne rješavaju izloženost.

OpenSSH-ov priručnik za ssh-keygen pokriva rukovanje pristupnim frazama, uključujući prekidač -p koji postavlja novu pristupnu frazu na ključ koji već postoji.

Za postojeći ključ oblik naredbe je jednostavan i prepisuje datoteku:

ssh-keygen -p -f ~/.ssh/id_ed25519

Koristite odobreni postupak održavanja i oporavka vlasnika ključa, jer ovo je pisanje, a ne pregled. Ne objavljujte privatnu datoteku i ne stavljajte stvarnu pristupnu frazu na zajednički naredbeni redak. Promjena pristupne fraze ne ponovno šifrira kopiju uzetu ranije. Zabilježite lokaciju stare kopije u kartici kako bi vlasnik mogao odlučiti hoće li je uništiti.

Kopija nadživljava prijenosnik i tunel

Nakon što se datoteka ključa kopira, aktivna VPN veza prijenosnika više ne govori ništa o njoj. Važno je koliko je dobro zaštićena sama datoteka, i koji poslužitelji još uvijek vjeruju odgovarajućem javnom ključu.

Promjena pristupne fraze na trenutačnoj datoteci ne dira kopiju i ne uklanja isti javni ključ iz authorized_keys na poslužitelju. Opoziv i ponovno šifriranje odvojene su radnje.

Zato tretirajte procurjeli privatni ključ kao događaj identiteta, a ne mrežni događaj. Uklonite ili zamijenite prihvaćeni ključ kroz poslužitelje i postupak upisa koji ga posjeduju. Zaustavljanje VPN-a ograničava jednu rutu u jednom trenutku; to nije opoziv.

Otključavanje premješta tajnu u agenta

Agent drži dešifrirane identitete za kasniju autentifikaciju, pa korisnik ne upisuje pristupnu frazu za svaku vezu. To je pogodnost s vlastitom sigurnosnom granicom.

ssh-agent može ograničiti koliko dugo identitet ostaje učitan kroz svoju opciju -t, a postavka za pojedini identitet može nadjačati to ograničenje. Odaberite politiku za agenta koji stvarno pokrećete umjesto da pretpostavljate da prekid VPN-a zaboravlja svaki učitani ključ.

Proces koji bude kompromitiran nakon otključavanja ključa drugi je problem od ukradene šifrirane datoteke. Prosljeđivanje agenta drugom hostu delegira sposobnost autentifikacije bez kopiranja datoteke ključa, pa ga omogućite samo za odobrenu potrebu.

Navedite što agent trenutačno drži prije i poslije promjene:

ssh-add -l

Poslovi bez nadzora trebaju vlastiti plan

Zakazani posao ne može odgovoriti na upit. Potrebno mu je odobreno rješenje za strojne vjerodajnice, a držanje tajne za otključavanje u istom direktoriju kao ključ, čitljivo istom računu, ne stvara drugu granicu.

Radite s vlasnikom usluge na podržanoj isporuci tajni ili hardverskom radu i pokrijte obnovu, kvar i oporavak. Želja za čovjekom za tipkovnicom mijenja kako izgleda kvar u usporedbi s hostom koji se podiže bez nadzora.

Zadržite i provjeru identiteta hosta na poslužitelju i njegova ograničenja računa. VPN ruta vam daje privatni put; ona ne dokazuje da je svaki SSH slušatelj do kojeg dođete host koji ste namjeravali. Zabilježite slušatelja i otisak ključa hosta u isti inventar kao i sam ključ.

Provjerite granice odvojeno

Testirajte svaku granicu vlastitim pitanjem. Otvara li se datoteka bez pristupne fraze? Drži li agent identitet nakon prekida veze? Prihvaća li poslužitelj još uvijek javni ključ?

Dvije naredbe odgovaraju na prvo i treće:

ssh-keygen -y -f ~/.ssh/id_ed25519
ssh -v [email protected]

Zabilježite zaštitu datoteke, dopuštenu upotrebu ključa i uklanjanje na strani poslužitelja kao tri odvojene stavke. Tunel, pristupna fraza i agent svaki čuva drugi dio odnosa, a samo se jedan tiče mreže.