Eltávolítsa a kulcs jelmondatát, vagy tartsa meg? A másolat, amit létrehoz
A titkosítás nélküli kulcsfájl ugyanazt a titkot gyengébb védelem mögött tartja. Hasonlítsa össze a nyugalmi kockázatot a konvertálás előtt, és tudja, mit nem tesz vissza.
Egy titkosított privát kulcs és egy titkosítatlan ugyanazt a kulcsanyagot tartalmazza. A konvertálás nem hoz létre új identitást, nem állít vissza VPN-fiókot és nem érvényteleníti a régi fájlt. Egy második másolatot ír, és az a másolat más nyugalmi kockázatot hordoz.
Hogy megéri-e a csere, attól függ, hol fog élni a fájl, és ki olvashatja.
Mit változtat valójában a konvertálás
Konvertálás előtt a kulcsot az üzemeltető által megadott jelmondat védi. Konvertálás után a fájlrendszer-engedélyek és a fájlt körülvevő bármilyen hozzáférés-vezérlés védi. A kriptográfia nem változott; a támadó és a kulcs között álló dolgok száma változott. Ez az egész összehasonlítás.
Egy táblázat konkréttá teszi a különbséget.
| Form | What protects it | How it fails |
|---|---|---|
| Encrypted key | A passphrase plus file access | Weak passphrase, or an offline attack on the file |
| Unencrypted key | File permissions and host security only | Any reader copies it silently |
Egyik forma sem automatikusan biztonságosabb. Különböző módokon hibáznak, és csak az egyik mód hagy naplóbejegyzést.
Mikor jobb megtartani a jelmondatot
Ha egy támogatott kliens kérheti a jelmondatot, vagy lekérheti egy jóváhagyott titoktárból, a konvertálás semmit nem nyújt. Egy másolatot, egy védelmi határt és egy fájllal kevesebbet kell követnie. A PEM-kulcsokat elfogadó VPN-kliensek többsége képes erre.
A konvertálás akkor is rossz lépés, ha egy csapat megosztja a kulcsot. Egy titkosítatlan fájl megosztott gazdagépen olyan hitelesítő adattá válik, amelyet bárki másolhat, akinek shell-hozzáférése van.
Mikor indokolt a titkosítatlan másolat
Egyes szolgáltatások nem tudnak kérdezni, egyes konténerek csak olvashatóan csatolják a titkokat, és egyes eszközök indításkor interaktív útvonal nélkül olvassák a kulcsfájlt. Ezekben az esetekben egy megfelelően korlátozott könyvtárban lévő titkosítatlan kulcs lehet a támogatott kialakítás. Az indok a környezet, nem a kényelem.
Ha nem tudja megmondani, ki olvashatja a fájlt és miért, a válasz nem.
A parancs és éles peremei
Egy OpenSSL 3.5 által támogatott fájlalapú kulcshoz a pkey-referencia dokumentálja a jelmondat eltávolítását és az interaktív kérést, amikor a bemenet titkosított, és nincs megadva jelszóforrás. A minimális forma rövid, és könnyű vigyázatlanul futtatni.
umask 077
openssl pkey -in protected-key.pem -out new-private-key.pemHárom éles perem. A kimeneti fájl I/O-ja nem atomi, ezért egy meglévő kimeneti útvonal félbeszakadhat írás közben. Ne használja a bemeneti útvonalat kimenetként, és ne kísérletezzen az egyetlen védett másolaton. A jelmondatot a kérésnél adja meg, ne a parancssorban, ahol a shell előzményeibe kerül.
Ellenőrizze az eredményt, mielőtt bármely VPN-konfigurációt módosít: openssl pkey -in new-private-key.pem -pubout ugyanazt a nyilvános kulcsot kell kiírnia, mint korábban.
Mit nem tesz meg a konvertálás
Nem vonja vissza a titkosított másolatot, amely továbbra is létezik, bárhol is hagyta. Nem változtatja meg a VPN-fiók jelszavát vagy a tanúsítványt. És nem javítja ki a már megtörtént feltárást. Ha egy kulcs kiszivárgott, a megoldás a csere és a kiszolgálóoldali visszavonás, nem a helyi formátumváltás.
Törölje szándékosan a köztes fájlt, és erősítse meg, hogy a törölt útvonal az, amelyet létrehozott.