Menghapus frasa sandi kunci atau menyimpannya? Salinan yang Anda buat
Berkas kunci tanpa enkripsi menyimpan rahasia yang sama di balik perlindungan yang lebih lemah. Bandingkan risiko saat diam sebelum mengonversi, dan ketahui apa yang tidak dibatalkannya.
Kunci privat terenkripsi dan kunci tanpa enkripsi menyimpan materi kunci yang sama. Konversi tidak menciptakan identitas baru, tidak mengatur ulang akun VPN, dan tidak membatalkan berkas lama. Konversi menulis salinan kedua, dan salinan itu membawa risiko saat diam yang berbeda.
Apakah pertukaran itu sepadan bergantung pada tempat berkas akan disimpan dan siapa yang dapat membacanya.
Apa yang sebenarnya diubah konversi
Sebelum konversi, kunci dilindungi oleh frasa sandi yang disediakan operator. Setelah konversi, kunci dilindungi oleh izin sistem berkas dan kontrol akses apa pun yang mengelilingi berkas. Kriptografinya tidak berubah; jumlah hal yang berdiri antara penyerang dan kunci berubah. Itulah seluruh perbandingannya.
Tabel membuat perbedaannya konkret.
| Form | What protects it | How it fails |
|---|---|---|
| Encrypted key | A passphrase plus file access | Weak passphrase, or an offline attack on the file |
| Unencrypted key | File permissions and host security only | Any reader copies it silently |
Tidak ada bentuk yang otomatis lebih aman. Keduanya gagal dengan cara berbeda, dan hanya satu dari cara itu yang meninggalkan entri log.
Kapan menyimpan frasa sandi lebih baik
Jika klien yang didukung dapat meminta frasa sandi atau mengambilnya dari penyimpanan rahasia yang disetujui, konversi tidak membeli apa pun. Anda menyimpan satu salinan, satu batas perlindungan, dan satu berkas lebih sedikit untuk dilacak. Sebagian besar klien VPN yang menerima kunci PEM dapat melakukan ini.
Konversi juga langkah yang salah ketika tim berbagi kunci. Berkas tanpa enkripsi di host bersama menjadi kredensial yang dapat disalin siapa saja yang memiliki akses shell.
Kapan salinan tanpa enkripsi dibenarkan
Beberapa layanan tidak dapat meminta, beberapa kontainer memasang rahasia sebagai hanya-baca, dan beberapa perangkat membaca berkas kunci saat boot tanpa jalur interaktif. Dalam kasus itu, kunci tanpa enkripsi di dalam direktori yang dibatasi dengan benar dapat menjadi desain yang didukung. Pembenarannya adalah lingkungan, bukan kenyamanan.
Jika Anda tidak dapat menyatakan siapa yang dapat membaca berkas dan mengapa, jawabannya tidak.
Perintah dan sisi tajamnya
Untuk kunci berbasis berkas yang didukung OpenSSL 3.5, referensi pkey mendokumentasikan penghapusan frasa sandi dan perintah interaktif ketika masukan terenkripsi dan tidak ada sumber kata sandi yang diberikan. Bentuk minimalnya singkat, dan mudah dijalankan dengan lalai.
umask 077
openssl pkey -in protected-key.pem -out new-private-key.pemTiga sisi tajam. I/O berkas keluaran tidak atomik, sehingga jalur keluaran yang ada dapat terpotong di tengah penulisan. Jangan gunakan jalur masukan sebagai keluaran, dan jangan bereksperimen pada satu-satunya salinan yang dilindungi. Masukkan frasa sandi pada perintah, bukan pada baris perintah, tempat frasa itu masuk ke riwayat shell.
Periksa hasilnya sebelum mengubah konfigurasi VPN apa pun: openssl pkey -in new-private-key.pem -pubout seharusnya mencetak kunci publik yang sama seperti sebelumnya.
Apa yang tidak dilakukan konversi
Konversi tidak mencabut salinan terenkripsi, yang masih ada di mana pun Anda meninggalkannya. Konversi tidak mengubah kata sandi akun VPN atau sertifikat. Dan konversi tidak memperbaiki paparan yang sudah terjadi. Jika kunci bocor, solusinya adalah penggantian dan pencabutan di sisi server, bukan perubahan format lokal.
Hapus berkas perantara dengan sengaja, dan pastikan jalur yang Anda hapus adalah jalur yang Anda buat.