SSH გასაღების პაროლფრაზა იცავს ფაილს და არა მარშრუტს

ძველი ლეპტოპის სარეზერვო დისკში ჯერ კიდევ არის პირადი SSH გასაღები და ვიღაც კითხულობს, იცავს თუ არა მას VPN. არ იცავს და არც არასდროს უცავს. VPN იცავს ორ ქსელს შორის გზას; პაროლფრაზა იცავს ფაილს; აგენტი იცავს მიმდინარე სესიას. სამი განსხვავებული მექანიზმი, სამი განსხვავებული მარცხის რეჟიმი და მოპარულ ასლს მხოლოდ პირველი ორი აინტერესებს.

პაროლფრაზა ფაილს ეკუთვნის

SSH გასაღების პაროლფრაზა შიფრავს პირადი გასაღების მასალას მოსვენებულ მდგომარეობაში. ეს არ არის სერვერზე გაგზავნილი ანგარიშის პაროლი და არც VPN-ში შესვლის სერტიფიკატი. მათი არევა იწვევს ცვლილებებს, რომლებიც არ აგვარებს გამჟღავნებას.

OpenSSH-ის ssh-keygen-ის სახელმძღვანელო განიხილავს პაროლფრაზებთან მუშაობას, მათ შორის -p გადამრთველს, რომელიც ახალ პაროლფრაზას აყენებს უკვე არსებულ გასაღებზე.

არსებული გასაღებისთვის ბრძანების ფორმა მარტივია და ის თავიდან წერს ფაილს:

ssh-keygen -p -f ~/.ssh/id_ed25519

გამოიყენეთ გასაღების მფლობელის დამტკიცებული ტექნიკური მომსახურებისა და აღდგენის პროცესი, რადგან ეს წერაა და არა შემოწმება. ნუ გამოაქვეყნებთ პირად ფაილს და ნუ ჩასვამთ რეალურ პაროლფრაზას საერთო ბრძანების სტრიქონში. პაროლფრაზის შეცვლა ხელახლა არ შიფრავს ადრე აღებულ ასლს. ჩაწერეთ ძველი ასლის მდებარეობა ბილეთში, რათა მფლობელმა გადაწყვიტოს მისი განადგურება.

ასლი უფრო დიდხანს ცოცხლობს, ვიდრე ლეპტოპი და გვირაბი

მას შემდეგ, რაც გასაღების ფაილი დაკოპირდება, ლეპტოპის მოქმედი VPN კავშირი მასზე ვეღარაფერს ამბობს. მთავარია, რამდენად კარგად არის დაცული თავად ფაილი, და რომელი სერვერები ენდობიან ჯერ კიდევ შესაბამის საჯარო გასაღებს.

მიმდინარე ფაილზე პაროლფრაზის შეცვლა არ ეხება ასლს და არ შლის იმავე საჯარო გასაღებს სერვერის authorized_keys-იდან. გაუქმება და ხელახალი შიფრაცია ცალკე მოქმედებებია.

ამიტომ გაჟონილი პირადი გასაღები მიიღეთ როგორც იდენტობის მოვლენა და არა ქსელის მოვლენა. წაშალეთ ან შეცვალეთ მიღებული გასაღები იმ სერვერებისა და რეგისტრაციის პროცესის მეშვეობით, რომლებიც ფლობენ მას. VPN-ის გაჩერება ერთ მომენტში ერთ მარშრუტს ზღუდავს; ეს გაუქმება არ არის.

განბლოკვა საიდუმლოს აგენტში გადააქვს

აგენტი ინახავს გაშიფრულ იდენტობებს შემდგომი ავთენტიფიკაციისთვის, რათა მომხმარებელმა ყოველ კავშირზე პაროლფრაზა ხელახლა არ აკრიფოს. ეს არის მოხერხებულობის თვისება საკუთარი უსაფრთხოების საზღვრით.

ssh-agent-ს შეუძლია -t ოფციით შეზღუდოს, რამდენ ხანს დარჩეს იდენტობა ჩატვირთული, და ცალკეული იდენტობის პარამეტრმა შეიძლება გადააჭარბოს ამ ზღვარს. აირჩიეთ პოლიტიკა იმ აგენტისთვის, რომელსაც რეალურად ატარებთ, ნაცვლად იმის დაშვებისა, რომ VPN-ის გათიშვა ყველა ჩატვირთულ გასაღებს ივიწყებს.

პროცესი, რომელიც გასაღების განბლოკვის შემდეგ კომპრომეტირდება, სხვა პრობლემაა, ვიდრე მოპარული დაშიფრული ფაილი. აგენტის სხვა ჰოსტზე გადამისამართება ანიჭებს ავთენტიფიკაციის უნარს გასაღების ფაილის კოპირების გარეშე, ამიტომ ჩართეთ ის მხოლოდ დამტკიცებული საჭიროებისთვის.

ჩამოთვალეთ, რა აქვს აგენტს ახლა, ცვლილებამდე და მის შემდეგ:

ssh-add -l

ზედამხედველობის გარეშე სამუშაოებს საკუთარი გეგმა სჭირდება

დაგეგმილ სამუშაოს არ შეუძლია მოთხოვნაზე პასუხის გაცემა. მას სჭირდება მანქანური სერტიფიკატების დამტკიცებული მოწყობა, და განბლოკვის საიდუმლოს გასაღების იმავე საქაღალდეში შენახვა, იმავე ანგარიშისთვის წაკითხვადი, მეორე საზღვარს არ ქმნის.

იმუშავეთ სერვისის მფლობელთან მხარდაჭერილი საიდუმლოების მიწოდების ან ტექნიკურ აპარატურაზე დაფუძნებული მუშაობის საკითხზე და დაფარეთ განახლება, უკმარისობა და აღდგენა. კლავიატურასთან ადამიანის სურვილი ცვლის იმას, თუ როგორ გამოიყურება უკმარისობა იმ ჰოსტთან შედარებით, რომელიც ვინმეს მეთვალყურეობის გარეშე ირთვება.

შეინარჩუნეთ სერვერის ჰოსტის იდენტობის შემოწმება და მისი ანგარიშის შეზღუდვები. VPN მარშრუტი გაძლევთ პირად გზას; ის არ ამტკიცებს, რომ ყველა ხელმისაწვდომი SSH მსმენელი ის ჰოსტია, რომელიც განიზრახეთ. ჩაწერეთ მსმენელი და ჰოსტის გასაღების თითის ანაბეჭდი იმავე ინვენტარში, სადაც თავად გასაღები.

შეამოწმეთ საზღვრები ცალ-ცალკე

გამოსცადეთ ყოველი საზღვარი საკუთარი კითხვით. იხსნება ფაილი პაროლფრაზის გარეშე? ინახავს აგენტი იდენტობას გათიშვის შემდეგ? იღებს სერვერი ჯერ კიდევ საჯარო გასაღებს?

ორი ბრძანება პასუხობს პირველსა და მესამეს:

ssh-keygen -y -f ~/.ssh/id_ed25519
ssh -v [email protected]

ჩაწერეთ ფაილის დაცვა, გასაღების ნებადართული გამოყენება და სერვერის მხრიდან წაშლა როგორც სამი ცალკე ჩანაწერი. გვირაბი, პაროლფრაზა და აგენტი თითოეული ურთიერთობის სხვადასხვა ნაწილს იცავს და მხოლოდ ერთი მათგანია ქსელზე.