Кілттің құпиясөзін жою керек пе, әлде сақтау керек пе? Сіз жасайтын көшірме
Шифрланбаған кілт файлы сол құпияны әлсіз қорғаныспен сақтайды. Түрлендіру алдында тыныштықтағы тәуекелді салыстырыңыз және оның нені қайтармайтынын біліңіз.
Шифрланған жеке кілт пен шифрланбаған кілт бірдей кілт материалын сақтайды. Түрлендіру жаңа сәйкестік жасамайды, VPN тіркелгісін қалпына келтірмейді және ескі файлды жарамсыз етпейді. Ол екінші көшірме жазады, және сол көшірме басқа тыныштық тәуекелін алып жүреді.
Бұл айырбас тұрарлық па, ол файлдың қайда тұратынына және кім оқи алатынына байланысты.
Түрлендіру шын мәнінде нені өзгертеді
Түрлендіруге дейін кілтті оператор беретін құпиясөз қорғайды. Түрлендіруден кейін оны файл жүйесінің рұқсаттары және файлды қоршаған кез келген қатынау бақылауы қорғайды. Криптография өзгерген жоқ; шабуылдаушы мен кілт арасында тұрған заттардың саны өзгерді. Бұл — бүкіл салыстыру.
Кесте айырмашылықты нақты етеді.
| Form | What protects it | How it fails |
|---|---|---|
| Encrypted key | A passphrase plus file access | Weak passphrase, or an offline attack on the file |
| Unencrypted key | File permissions and host security only | Any reader copies it silently |
Екі форманың ешқайсысы автоматты түрде қауіпсіз емес. Олар әртүрлі жолмен сәтсіздікке ұшырайды, және сол жолдардың тек біреуі ғана журналға жазба қалдырады.
Құпиясөзді сақтау қашан жақсы
Егер қолдау көрсетілетін клиент құпиясөзді сұрай алса немесе оны мақұлданған құпия қоймасынан ала алса, түрлендіру ештеңе бермейді. Сіз бір көшірме, бір қорғаныс шекарасы және бақылауға бір файл аз ұстайсыз. PEM кілттерін қабылдайтын VPN клиенттерінің көбісі мұны істей алады.
Команда кілтті бөліскенде де түрлендіру дұрыс емес қадам. Ортақ хосттағы шифрланбаған файл shell қатынауы бар кез келген адам көшіре алатын тіркелгі деректеріне айналады.
Шифрланбаған көшірме қашан ақталған
Кейбір қызметтер сұрай алмайды, кейбір контейнерлер құпияларды тек оқу режимінде қосады, ал кейбір құрылғылар жүктелу кезінде интерактивті жолсыз кілт файлын оқиды. Мұндай жағдайларда дұрыс шектелген қалтадағы шифрланбаған кілт қолдау көрсетілетін дизайн болуы мүмкін. Негіздеме — орта, ыңғайлылық емес.
Егер файлды кім оқи алатынын және неге екенін айта алмасаңыз, жауап — жоқ.
Пәрмен және оның өткір жиектері
OpenSSL 3.5 қолдайтын файлға негізделген кілт үшін pkey анықтамасы құпиясөзді жоюды және енгізу шифрланғанда және құпиясөз көзі берілмегенде интерактивті сұрауды құжаттайды. Ең аз форма қысқа, және оны абайсыз іске қосу оңай.
umask 077
openssl pkey -in protected-key.pem -out new-private-key.pemҮш өткір жиек. Шығыс файлының I/O атомдық емес, сондықтан бар шығыс жолы жазу ортасында кесілуі мүмкін. Енгізу жолын шығыс ретінде пайдаланбаңыз және жалғыз қорғалған көшірмеде тәжірибе жасамаңыз. Құпиясөзді пәрмен жолында емес, сұрау кезінде енгізіңіз, өйткені ол жерде shell тарихына түседі.
Кез келген VPN конфигурациясын өзгерту алдында нәтижені тексеріңіз: openssl pkey -in new-private-key.pem -pubout бұрын болған сол жария кілтті басып шығаруы керек.
Түрлендіру нені істемейді
Ол шифрланған көшірмені жоймайды, ол қайда қалдырсаңыз да әлі бар. Ол VPN тіркелгісінің құпиясөзін немесе сертификатты өзгертпейді. Және бұрын болған әшкереленуді түзетпейді. Егер кілт ағып кетсе, шешім — ауыстыру және сервер жағында кері қайтарып алу, жергілікті форматты өзгерту емес.
Аралық файлды әдейі жойыңыз және жойып жатқан жолдың өзіңіз жасаған жол екеніне көз жеткізіңіз.