SSH բանալու գաղտնաբառը պաշտպանում է ֆայլը, ոչ թե երթուղին

Հին նոութբուքի պահուստային սկավառակը դեռ պարունակում է մասնավոր SSH բանալի, և ինչ-որ մեկը հարցնում է՝ պաշտպանո՞ւմ է արդյոք VPN-ը այն։ Չի պաշտպանում, և երբեք չի պաշտպանել։ VPN-ը պաշտպանում է երկու ցանցերի միջև եղած ուղին, գաղտնաբառը՝ ֆայլը, գործակալը՝ աշխատող սեսիան։ Երեք տարբեր մեխանիզմ, երեք տարբեր ձախողման եղանակ, և գողացված պատճենը հոգում է միայն առաջին երկուսի մասին։

Գաղտնաբառը պատկանում է ֆայլին

SSH բանալու գաղտնաբառը գաղտնագրում է մասնավոր բանալու նյութը հանգստի վիճակում։ Սա սերվերին ուղարկվող հաշվի գաղտնաբառը չէ, և VPN-ին միանալու համար օգտագործվող վկայականը չէ։ Դրանց շփոթումը հանգեցնում է փոփոխությունների, որոնք չեն լուծում բացահայտվածությունը։

OpenSSH-ի ssh-keygen ձեռնարկը ներառում է գաղտնաբառերի հետ աշխատանքը, այդ թվում -p անջատիչը, որը նոր գաղտնաբառ է սահմանում արդեն գոյություն ունեցող բանալու համար։

Գոյություն ունեցող բանալու համար հրամանի ձևը պարզ է, և այն վերագրում է ֆայլը՝

ssh-keygen -p -f ~/.ssh/id_ed25519

Օգտագործեք բանալու սեփականատիրոջ հաստատված սպասարկման և վերականգնման ընթացակարգը, քանի որ սա գրառում է, ոչ թե ստուգում։ Մի հրապարակեք մասնավոր ֆայլը և իրական գաղտնաբառ մի դրեք համատեղ հրամանի տողում։ Գաղտնաբառի փոփոխությունը չի վերագաղտնագրում ավելի վաղ վերցված պատճենը։ Նշեք հին պատճենի տեղը տոմսում, որպեսզի սեփականատերը որոշի՝ ոչնչացնե՞լ այն։

Պատճենը ապրում է ավելի երկար, քան նոութբուքը և թունելը

Երբ բանալու ֆայլը պատճենվում է, նոութբուքի գործող VPN միացումն այլևս ոչինչ չի ասում դրա մասին։ Կարևոր է, թե որքան լավ է պաշտպանված ինքը ֆայլը, և թե որ սերվերներն են դեռ վստահում համապատասխան հանրային բանալուն։

Ընթացիկ ֆայլի գաղտնաբառի փոփոխությունը չի դիպչում պատճենին և չի հեռացնում նույն հանրային բանալին սերվերի authorized_keys-ից։ Չեղարկումը և վերագաղտնագրումը առանձին գործողություններ են։

Այսպիսով՝ արտահոսած մասնավոր բանալին ընկալեք որպես ինքնության իրադարձություն, ոչ թե ցանցային իրադարձություն։ Հեռացրեք կամ փոխարինեք ընդունված բանալին այն սերվերների և գրանցման ընթացակարգի միջոցով, որոնք տիրապետում են դրան։ VPN-ի կանգնեցումը սահմանափակում է մեկ երթուղի մեկ պահին, դա չեղարկում չէ։

Ապակողպումը գաղտնիքը տեղափոխում է գործակալ

Գործակալը պահում է վերծանված ինքնություններ հետագա նույնականացման համար, որպեսզի օգտվողը չվերամուտքագրի գաղտնաբառը յուրաքանչյուր միացման ժամանակ։ Սա հարմարավետության հատկություն է՝ իր սեփական անվտանգության սահմանով։

ssh-agent-ը կարող է -t ընտրանքով սահմանափակել, թե որքան ժամանակ ինքնությունը մնա բեռնված, և առանձին ինքնության կարգավորումը կարող է գերազանցել այդ սահմանը։ Ընտրեք քաղաքականությունը այն գործակալի համար, որն իրականում գործարկում եք, փոխարենը ենթադրելու, որ VPN-ի անջատումը մոռանում է յուրաքանչյուր բեռնված բանալի։

Բանալու ապակողպումից հետո վնասված գործընթացը այլ խնդիր է, քան գողացված գաղտնագրված ֆայլը։ Գործակալը մեկ այլ հոսթ փոխանցելը պատվիրակում է նույնականացման ունակությունը՝ առանց բանալու ֆայլը պատճենելու, ուստի միացրեք այն միայն հաստատված կարիքի համար։

Թվարկեք, թե գործակալը ներկայումս ինչ է պահում, փոփոխությունից առաջ և հետո՝

ssh-add -l

Առանց հսկողության աշխատանքներին պետք է սեփական ծրագիր

Պլանավորված աշխատանքը չի կարող պատասխանել հարցմանը։ Նրան պետք է մեքենայական վկայականների հաստատված կարգավորում, և ապակողպման գաղտնիքը բանալու նույն պանակում պահելը, նույն հաշվի համար ընթեռնելի, երկրորդ սահման չի ստեղծում։

Աշխատեք ծառայության սեփականատիրոջ հետ աջակցվող գաղտնիքների մատակարարման կամ սարքաշարային աշխատանքի շուրջ և ծածկեք թարմացումը, ձախողումը և վերականգնումը։ Ստեղնաշարի մոտ մարդ ունենալու ցանկությունը փոխում է ձախողման տեսքը՝ համեմատած այն հոսթի հետ, որը բեռնվում է առանց ոչ ոքի հսկելու։

Պահպանեք նաև սերվերի հոսթի ինքնության ստուգումը և դրա հաշվի սահմանափակումները։ VPN երթուղին ձեզ տալիս է մասնավոր ուղի, այն չի ապացուցում, որ հասանելի յուրաքանչյուր SSH լսող այն հոսթն է, որը նախատեսել եք։ Գրանցեք լսողին և հոսթի բանալու մատնահետքը նույն գույքագրում, ինչ բանալին ինքը։

Ստուգեք սահմանները առանձին

Փորձարկեք յուրաքանչյուր սահման իր հարցով։ Բացվո՞ւմ է ֆայլը առանց գաղտնաբառի։ Արդյոք գործակալը դեռ պահում է ինքնությունը անջատումից հետո։ Արդյոք սերվերը դեռ ընդունում է հանրային բանալին։

Երկու հրաման պատասխանում են առաջինին և երրորդին՝

ssh-keygen -y -f ~/.ssh/id_ed25519
ssh -v [email protected]

Գրանցեք ֆայլի պաշտպանությունը, բանալու թույլատրված օգտագործումը և սերվերի կողմից հեռացումը որպես երեք առանձին տող։ Թունելը, գաղտնաբառը և գործակալը յուրաքանչյուրը հսկում է հարաբերության տարբեր մաս, և դրանցից միայն մեկն է ցանցի մասին։