გასაღების პაროლფრაზა წაშალოთ თუ შეინახოთ? ასლი, რომელსაც ქმნით
დაშიფრვის გარეშე გასაღების ფაილი იმავე საიდუმლოს ინახავს უფრო სუსტი დაცვის ქვეშ. შედარეთ მოსვენების რისკი გადაკეთებამდე და იცოდეთ, რას არ აუქმებს ის.
დაშიფრული პირადი გასაღები და დაშიფრვის გარეშე გასაღები ერთსა და იმავე გასაღების მასალას ინახავს. გადაკეთება არ ქმნის ახალ იდენტობას, არ აბრუნებს VPN ანგარიშს და არ აუქმებს ძველ ფაილს. ის წერს მეორე ასლს და ეს ასლი სხვა მოსვენების რისკს ატარებს.
ღირს თუ არა ეს გაცვლა, დამოკიდებულია იმაზე, სად იცხოვრებს ფაილი და ვის შეუძლია მისი წაკითხვა.
რას ცვლის გადაკეთება სინამდვილეში
გადაკეთებამდე გასაღებს იცავს პაროლფრაზა, რომელსაც ოპერატორი აწვდის. გადაკეთების შემდეგ მას იცავს ფაილური სისტემის ნებართვები და ფაილის ირგვლივ არსებული ნებისმიერი წვდომის კონტროლი. კრიპტოგრაფია არ შეცვლილა; შეიცვალა იმ ნივთების რაოდენობა, რომლებიც თავდამსხმელსა და გასაღებს შორის დგას. ეს არის მთელი შედარება.
ცხრილი განსხვავებას კონკრეტულს ხდის.
| Form | What protects it | How it fails |
|---|---|---|
| Encrypted key | A passphrase plus file access | Weak passphrase, or an offline attack on the file |
| Unencrypted key | File permissions and host security only | Any reader copies it silently |
არც ერთი ფორმა ავტომატურად უფრო უსაფრთხო არ არის. ისინი სხვადასხვა გზით იშლება და მხოლოდ ერთი მათგანი ტოვებს ჩანაწერს ჟურნალში.
როდის არის პაროლფრაზის შენახვა უკეთესი
თუ მხარდაჭერილ კლიენტს შეუძლია პაროლფრაზის მოთხოვნა ან დამტკიცებული საიდუმლოების საცავიდან მისი წამოღება, გადაკეთება არაფერს იძლევა. ინახავთ ერთ ასლს, ერთ დაცვის საზღვარს და ერთი ფაილით ნაკლებს მისაკვლევად. PEM გასაღებების მიმღები VPN კლიენტების უმეტესობას ეს შეუძლია.
გადაკეთება ასევე არასწორი ნაბიჯია, როცა გუნდი გასაღებს იზიარებს. საერთო ჰოსტზე დაშიფრვის გარეშე ფაილი ხდება სერთიფიკატი, რომლის კოპირებაც shell წვდომის მქონე ნებისმიერ პირს შეუძლია.
როდის არის დაშიფრვის გარეშე ასლი გამართლებული
ზოგიერთ სერვისს არ შეუძლია მოთხოვნა, ზოგი კონტეინერი საიდუმლოებს მხოლოდ-კითხვად ამაგრებს, ზოგი მოწყობილობა კი ჩატვირთვისას კითხულობს გასაღების ფაილს ინტერაქტიული გზის გარეშე. ასეთ შემთხვევებში, სწორად შეზღუდულ დირექტორიაში დაშიფრვის გარეშე გასაღები შეიძლება იყოს მხარდაჭერილი დიზაინი. გამართლება გარემოა, არა კომფორტი.
თუ ვერ ამბობთ, ვის შეუძლია ფაილის წაკითხვა და რატომ, პასუხი არაა.
ბრძანება და მისი მკვეთრი კიდეები
OpenSSL 3.5-ის მიერ მხარდაჭერილი ფაილზე დაფუძნებული გასაღებისთვის, pkey მითითება აღწერს პაროლფრაზის წაშლას და ინტერაქტიულ მოთხოვნას, როცა შეყვანა დაშიფრულია და პაროლის წყარო არ არის მოცემული. მინიმალური ფორმა მოკლეა და უაზროდ გაშვება ადვილია.
umask 077
openssl pkey -in protected-key.pem -out new-private-key.pemსამი მკვეთრი კიდე. გამომავალი ფაილის I/O ატომური არ არის, ამიტომ არსებული გამომავალი გზა შეიძლება ჩაიჭრას წერის შუაში. არ გამოიყენოთ შეყვანის გზა გამომავალად და არ ჩაატაროთ ექსპერიმენტი ერთადერთ დაცულ ასლზე. შეიყვანეთ პაროლფრაზა მოთხოვნისას და არა ბრძანების სტრიქონში, სადაც ის shell-ის ისტორიაში ხვდება.
შეამოწმეთ შედეგი VPN-ის ნებისმიერი კონფიგურაციის შეცვლამდე: openssl pkey -in new-private-key.pem -pubout უნდა დაბეჭდოს იგივე საჯარო გასაღები, რომელიც ადრე გქონდათ.
რას არ აკეთებს გადაკეთება
ის არ აუქმებს დაშიფრულ ასლს, რომელიც ჯერ კიდევ არსებობს იქ, სადაც დატოვეთ. ის არ ცვლის VPN ანგარიშის პაროლს ან სერთიფიკატს. და არ ასწორებს უკვე მომხდარ გამჟღავნებას. თუ გასაღები გაჟონა, გადაწყვეტა შეცვლა და სერვერის მხრიდან გაუქმებაა, და არა ლოკალური ფორმატის ცვლილება.
წაშალეთ შუალედური ფაილი განზრახ და დაადასტურეთ, რომ წაშლილი გზა არის ის, რომელიც თქვენ შექმენით.