SSH-lykilorðasamsetning verndar skrána, ekki leiðina

Öryggisafrit af gömlum fartölvum inniheldur enn einkalykil SSH, og einhver spyr hvort VPN-ið verndi hann. Það gerir það ekki, og hefur aldrei gert. VPN-ið verndar slóð milli tveggja neta; lykilorðasamsetningin verndar skrána; umboðsmaðurinn verndar setu sem er í gangi. Þrjár ólíkar aðferðir, þrír ólíkir bilanahættir, og stolin eftirrit er bara annt um fyrstu tvo.

Lykilorðasamsetningin tilheyrir skránni

Lykilorðasamsetning SSH-lykils dulkóðar einkalykilinn í hvíld. Hún er ekki aðgangsorð reikningsins sem sent er á þjóninn, og er ekki skírteinið sem notað er til að ganga í VPN-ið. Að rugla þeim saman leiðir til breytinga sem takast ekki á við berskjöldunina.

Handbók ssh-keygen hjá OpenSSH fjallar um meðferð lykilorðasamsetninga, þar á meðal rofann -p sem setur nýja lykilorðasamsetningu á lykil sem þegar er til.

Fyrir lykil sem er þegar til er form skipunarinnar einfalt, og hún endurskrifar skrána:

ssh-keygen -p -f ~/.ssh/id_ed25519

Notaðu samþykkt viðhalds- og endurheimtarferli lykilhandhafans, því þetta er skrif, ekki skoðun. Ekki birta einkaskrána og settu ekki raunverulega lykilorðasamsetningu á sameiginlega skipanalínu. Breyting á lykilorðasamsetningu endurdulkóðar ekki eftirrit sem tekið var fyrr. Skráðu staðsetningu gamla eftirritsins í miðann svo handhafinn geti ákveðið hvort eyða skuli því.

Eftirrit lifir fartölvuna og göngin

Þegar lyklasíuskrá hefur verið afrituð segir virk VPN-tenging fartölvunnar ekkert meira um hana. Það sem skiptir máli er hversu vel skráin sjálf er vernduð, og hvaða þjónar treysta enn samsvarandi opinberum lykli.

Að breyta lykilorðasamsetningunni á núverandi skrá snertir ekki eftirritið og fjarlægir ekki sama opinbera lykilinn úr authorized_keys á þjóni. Afturköllun og endurdulkóðun eru aðskildar aðgerðir.

Meðhöndlaðu því lekan einkalykil sem auðkennisatburð, ekki netatburð. Fjarlægðu eða skiptu út samþykktum lykli í gegnum þá þjóna og það skráningarferli sem eiga hann. Að stöðva VPN-ið takmarkar eina leið á einum tíma; það er ekki afturköllun.

Aflæsing færir leyndarmálið inn í umboðsmann

Umboðsmaður geymir afkóðuð auðkenni fyrir síðari sannvottun, svo notandinn þurfi ekki að slá lykilorðasamsetninguna aftur fyrir hverja tengingu. Það er þægindaeiginleiki með eigin öryggismörkum.

ssh-agent getur takmarkað hversu lengi auðkenni er hlaðið með -t valkostinum, og stilling fyrir hvert auðkenni getur farið yfir þau mörk. Veldu stefnu fyrir þann umboðsmann sem þú keyrir í raun í stað þess að gera ráð fyrir að VPN-aftenging gleymi hverjum hlaðnum lykli.

Ferli sem verður fyrir árás eftir að lykillinn er afæstur er annað vandamál en stolin dulkóðuð skrá. Að framsenda umboðsmanninn á annan hýsil framselur sannvottunargetu án þess að afrita lyklasíuskrána, svo virkjaðu það aðeins fyrir samþykkta þörf.

Listaðu hvað umboðsmaðurinn heldur núna fyrir og eftir breytingu:

ssh-add -l

Verk án eftirlits þurfa sína eigin áætlun

Tímasett verk geta ekki svarað beiðni. Þau þurfa samþykkt fyrirkomulag vélarskírteina, og að halda aflæsingarleyndarmálinu í sömu möppu og lykillinn, læsilegt af sama reikningi, skapar ekki annað mark.

Vinnuðu með þjónustuhandhafanum að studdri afhendingu leyndarmála eða vélbúnaðarrekstri og ná yfir endurnýjun, bilun og endurheimt. Löngunin til að hafa mann við lyklaborðið breytir því hvernig bilun lítur út samanborið við hýsil sem ræsist án þess að nokkur fylgist með.

Haltu líka hýsilauðkennisprófun þjónsins og reikningstakmörkunum hans. VPN-leið gefur þér einkaslóð; hún sannar ekki að hver SSH-hlustun sem þú nærð í sé hýsillinn sem þú ætlaðir. Skráðu hlustandann og fingrafar hýsillykilsins í sama skrá og lykilinn sjálfan.

Sannprófaðu mörkin hvert fyrir sig

Prófaðu hvert mark með eigin spurningu. Opnast skráin án lykilorðasamsetningarinnar? Heldur umboðsmaðurinn auðkenninu eftir aftengingu? Tekur þjónninn enn við opinbera lyklinum?

Tvær skipanir svara þeirri fyrstu og þeirri þriðju:

ssh-keygen -y -f ~/.ssh/id_ed25519
ssh -v [email protected]

Skráðu skrárvernd, leyft lykilnotkun og fjarlægingu á þjónsstöðinni sem þrjá aðskilda liði. Göng, lykilorðasamsetning og umboðsmaður gæta hvert síns hluta sambandsins, og aðeins eitt þeirra snýr að netinu.