Հեռացնե՞լ բանալու գաղտնաբառը, թե՞ պահել այն։ Ձեր ստեղծած պատճենը
Չգաղտնագրված բանալու ֆայլը պահում է նույն գաղտնիքը ավելի թույլ պաշտպանության տակ։ Համեմատեք հանգստի ռիսկը նախքան փոխարկելը և իմացեք, թե ինչ այն չի վերացնում։
Գաղտնագրված մասնավոր բանալին և չգաղտնագրվածը պարունակում են նույն բանալու նյութը։ Փոխարկումը նոր ինքնություն չի ստեղծում, VPN հաշիվը չի վերականգնում և հին ֆայլը չի անվավերացնում։ Այն գրում է երկրորդ պատճեն, և այդ պատճենը կրում է այլ հանգստի ռիսկ։
Արդյոք փոխանակումն արժե, կախված է նրանից, թե որտեղ կապրի ֆայլը և ով կարող է կարդալ այն։
Ինչ է իրականում փոխում փոխարկումը
Փոխարկումից առաջ բանալին պաշտպանված է գաղտնաբառով, որը տրամադրում է օպերատորը։ Փոխարկումից հետո այն պաշտպանված է ֆայլային համակարգի թույլտվություններով և ֆայլը շրջապատող ցանկացած մուտքի վերահսկմամբ։ Գաղտնագրությունը չի փոխվել, փոխվել է հարձակվողի և բանալու միջև կանգնած իրերի քանակը։ Դա է ամբողջ համեմատությունը։
Աղյուսակը տարբերությունը դարձնում է շոշափելի։
| Form | What protects it | How it fails |
|---|---|---|
| Encrypted key | A passphrase plus file access | Weak passphrase, or an offline attack on the file |
| Unencrypted key | File permissions and host security only | Any reader copies it silently |
Ձևերից ոչ մեկն ինքնաբերաբար ավելի ապահով չէ։ Նրանք ձախողվում են տարբեր ձևերով, և այդ ձևերից միայն մեկն է թողնում գրանցում մատյանում։
Երբ գաղտնաբառը պահելն ավելի լավ է
Եթե աջակցվող հաճախորդը կարող է հարցնել գաղտնաբառը կամ վերցնել այն հաստատված գաղտնիքների պահոցից, փոխարկումը ոչինչ չի գնում։ Դուք պահում եք մեկ պատճեն, մեկ պաշտպանության սահման և մեկ ֆայլ պակաս՝ հետևելու համար։ PEM բանալիներ ընդունող VPN հաճախորդների մեծ մասը կարող է դա անել։
Փոխարկումը նաև սխալ քայլ է, երբ թիմը կիսում է բանալին։ Համօգտագործվող հոսթի վրա չգաղտնագրված ֆայլը դառնում է հավատարմագիր, որը shell հասանելիություն ունեցող ցանկացած ոք կարող է պատճենել։
Երբ չգաղտնագրված պատճենն արդարացված է
Որոշ ծառայություններ չեն կարող հարցնել, որոշ կոնտեյներներ գաղտնիքները տեղադրում են միայն կարդալու ռեժիմով, և որոշ սարքեր գործարկման պահին կարդում են բանալու ֆայլը առանց ինտերակտիվ ուղու։ Այդ դեպքերում ճիշտ սահմանափակված պանակում չգաղտնագրված բանալին կարող է լինել աջակցվող ձևավորումը։ Արդարացումը միջավայրն է, ոչ թե հարմարավետությունը։
Եթե չեք կարող ասել, թե ով կարող է կարդալ ֆայլը և ինչու, պատասխանը ոչ է։
Հրամանը և դրա սուր եզրերը
OpenSSL 3.5-ի աջակցվող ֆայլային բանալու համար pkey տեղեկանքը փաստագրում է գաղտնաբառի հեռացումը և ինտերակտիվ հուշում, երբ մուտքագրումը գաղտնագրված է, և գաղտնաբառի աղբյուր չի տրամադրվել։ Նվազագույն ձևը կարճ է, և հեշտ է այն անուշադիր գործարկել։
umask 077
openssl pkey -in protected-key.pem -out new-private-key.pemԵրեք սուր եզր։ Ելքային ֆայլի I/O-ն ատոմային չէ, ուստի գոյություն ունեցող ելքային ուղին կարող է կտրվել գրելու կեսին։ Մի օգտագործեք մուտքային ուղին որպես ելք, և մի փորձարկեք միակ պաշտպանված պատճենի վրա։ Մուտքագրեք գաղտնաբառը հուշման ժամանակ, ոչ թե հրամանի տողում, որտեղ այն հայտնվում է shell-ի պատմության մեջ։
Ստուգեք արդյունքը նախքան VPN-ի ցանկացած կարգավորում փոխելը՝ openssl pkey -in new-private-key.pem -pubout պետք է տպի նույն հանրային բանալին, որը դուք ունեիք առաջ։
Ինչ չի անում փոխարկումը
Այն չի չեղարկում գաղտնագրված պատճենը, որը դեռ գոյություն ունի այնտեղ, որտեղ թողել եք այն։ Այն չի փոխում VPN հաշվի գաղտնաբառը կամ վկայականը։ Եվ այն չի վերացնում արդեն տեղի ունեցած բացահայտումը։ Եթե բանալին արտահոսել է, լուծումը փոխարինումն ու սերվերի կողմից չեղարկումն է, ոչ թե տեղական ձևաչափի փոփոխությունը։
Ջնջեք միջանկյալ ֆայլը դիտավորյալ, և հաստատեք, որ ջնջվող ուղին այն է, որը դուք ստեղծել եք։