Fjarlægja lykilfrasu eða halda henni? Afritið sem þú býrð til
Ódulkóðuð lykilskrá geymir sama leyndarmál undir veikari vernd. Berðu saman áhættuna í hvíld áður en þú breytir, og vitaðu hvað það afturkallar ekki.
Dulkóðaður einkalykill og ódulkóðaður halda sama lykilefni. Breyting býr ekki til nýja sjálfsmynd, endurstillir ekki VPN-reikning og ógildir ekki gömlu skrána. Hún skrifar annað afrit, og það afrit ber aðra áhættu í hvíld.
Hvort skiptin séu þess virði fer eftir því hvar skráin mun búa og hver getur lesið hana.
Hvað breytingin breytir í raun
Fyrir breytingu er lykillinn varinn af lykilfrasu sem stjórnandinn leggur til. Eftir breytingu er hann varinn af heimildum skráarkerfisins og hvaða aðgangsstýringu sem umlykur skrána. Dulmálið hefur ekki breyst; fjöldi hluta milli árásarmanns og lykilsins hefur breyst. Það er öll samanburðin.
Tafla gerir muninn áþreifanlegan.
| Form | What protects it | How it fails |
|---|---|---|
| Encrypted key | A passphrase plus file access | Weak passphrase, or an offline attack on the file |
| Unencrypted key | File permissions and host security only | Any reader copies it silently |
Hvorugt formið er sjálfkrafa öruggara. Þau mistakast á mismunandi vegu, og aðeins ein þeirra leiða skilur eftir færslu í annál.
Hvenær er betra að halda lykilfrasunni
Ef studdur biðlari getur beðið um lykilfrasuna eða sótt hana í samþykktan leyndarmálageymslu, kaupir breytingin ekkert. Þú heldur einu afriti, einni verndarmörkum og einni skrá minna til að fylgjast með. Flestir VPN-biðlarar sem taka við PEM-lyklum geta gert þetta.
Breytingin er líka röng ráðstöfun þegar teymi deilir lyklinum. Ódulkóðuð skrá á sameiginlegum hýsli verður skilríki sem hver sem hefur skeljaaðgang getur afritað.
Hvenær ódulkóðað afrit er réttlætanlegt
Sumar þjónustur geta ekki beðið, sumir gámarnir festa leyndarmál leseinungis, og sum tæki lesa lykilskrá við ræsingu án gagnvirkrar leiðar. Í þeim tilvikum getur ódulkóðaður lykill í rétt takmörkuðum möppum verið studda hönnunin. Réttlætingin er umhverfið, ekki þægindin.
Ef þú getur ekki sagt hver getur lesið skrána og hvers vegna, er svarið nei.
Skipunin og skörp egg hennar
Fyrir skrábundinn lykil sem OpenSSL 3.5 styður, pkey-tilvísunin skjalfestir fjarlægingu lykilfrasunnar og gagnvirka beiðni þegar inntakið er dulkóðað og engin lykilorðsuppspretta er gefin. Lágmarksformið er stutt, og auðvelt er að keyra það kæruleysi.
umask 077
openssl pkey -in protected-key.pem -out new-private-key.pemÞrjú skörp egg. I/O úttaksskrárinnar er ekki atómískt, svo hægt er að klippa núverandi úttaksleið í miðri skrifum. Ekki nota inntaksleiðina sem úttak, og ekki gera tilraunir á eina varða afritinu. Sláðu lykilfrasuna inn við beiðnina frekar en á skipanalínunni, þar sem hún lendir í sögu skeljarinnar.
Athugaðu niðurstöðuna áður en þú breytir hvaða VPN-stillingu sem er: openssl pkey -in new-private-key.pem -pubout ætti að prenta sama opinbera lykil og þú hafðir áður.
Hvað breytingin gerir ekki
Hún afturkallar ekki dulkóðaða afritið, sem er enn til hvar sem þú skildir það eftir. Hún breytir ekki lykilorði VPN-reikningsins eða vottorðinu. Og hún lagar ekki útsetningu sem þegar hefur átt sér stað. Ef lykill hefur lekið, er lausnin skipti og afturköllun á þjónarhlið, ekki staðbundin sniðbreyting.
Eyddu milliskránni viljandi, og staðfestu að leiðin sem þú eyðir sé sú sem þú bjóst til.