SSH кілтінің құпиясөзі файлды қорғайды, маршрутты емес

Ескі ноутбуктің резервтік дискісінде әлі де жеке SSH кілті бар, және біреу VPN оны қорғай ма деп сұрайды. Қорғамайды, және ешқашан қорғаған емес. VPN екі желі арасындағы жолды қорғайды; құпиясөз файлды қорғайды; агент жұмыс істеп тұрған сессияны қорғайды. Үш түрлі механизм, үш түрлі ақау режимі, ал ұрланған көшірме тек алғашқы екеуіне ғана қызығады.

Құпиясөз файлға тиесілі

SSH кілтінің құпиясөзі тыныштық күйдегі жеке кілт материалын шифрлайды. Бұл серверге жіберілетін тіркелгі құпиясөзі емес және VPN-ге қосылу үшін қолданылатын куәлік емес. Оларды шатастыру әсер етуді шешпейтін өзгерістерге әкеледі.

OpenSSH-тың ssh-keygen нұсқаулығы құпиясөздермен жұмысты, соның ішінде бұрыннан бар кілтке жаңа құпиясөз орнататын -p ауыстырып-қосқышын қамтиды.

Бар кілт үшін пәрмен пішімі қарапайым, және ол файлды қайта жазады:

ssh-keygen -p -f ~/.ssh/id_ed25519

Кілт иесінің бекітілген техникалық қызмет және қалпына келтіру процесін пайдаланыңыз, өйткені бұл тексеру емес, жазу. Жеке файлды жарияламаңыз және нақты құпиясөзді ортақ пәрмен жолына қоймаңыз. Құпиясөзді өзгерту бұрын алынған көшірмені қайта шифрламайды. Ескі көшірменің орнын билетке жазыңыз, сонда иесі оны жою керек пе деп шеше алады.

Көшірме ноутбук пен туннельден ұзақ өмір сүреді

Кілт файлы көшірілген соң, ноутбуктің жұмыс істеп тұрған VPN қосылымы ол туралы ештеңе айтпайды. Маңыздысы — файлдың өзі қаншалықты жақсы қорғалған және қай серверлер сәйкес ашық кілтке әлі сенеді.

Ағымдағы файлдағы құпиясөзді өзгерту көшірмеге тимейді және сервердегі authorized_keys-тен сол ашық кілтті жоймайды. Күшін жою және қайта шифрлау — бөлек әрекеттер.

Сондықтан ағып кеткен жеке кілтті желілік емес, идентичтілік оқиғасы ретінде қарастырыңыз. Қабылданған кілтті оған ие серверлер мен тіркеу процесі арқылы жойыңыз немесе ауыстырыңыз. VPN-ді тоқтату бір сәтте бір маршрутты шектейді; бұл күшін жою емес.

Құлпын ашу құпияны агентке жылжытады

Агент кейінгі аутентификация үшін шифры ашылған идентичтіліктерді ұстайды, сондықтан пайдаланушы әр қосылымда құпиясөзді қайта теруді қажет етпейді. Бұл өзінің қауіпсіздік шегі бар қолайлылық мүмкіндігі.

ssh-agent -t опциясы арқылы идентичтіліктің қанша уақыт жүктеліп тұратынын шектей алады, ал жеке идентичтілік параметрі бұл шектен асыуы мүмкін. VPN ажырағанда әр жүктелген кілт ұмытылады деп болжаудың орнына нақты іске қосатын агент үшін саясат таңдаңыз.

Кілттің құлпы ашылғаннан кейін бұзылған процесс ұрланған шифрланған файлдан басқа мәселе. Агентті басқа хостқа жіберу кілт файлын көшірмей-ақ аутентификация мүмкіндігін тапсырады, сондықтан оны тек бекітілген қажеттілік үшін қосыңыз.

Агенттің қазір не ұстап тұрғанын өзгеріс алдында және кейін тізіп шығыңыз:

ssh-add -l

Қадағалаусыз жұмыстарға өз жоспары қажет

Жоспарланған жұмыс сұрауға жауап бере алмайды. Оған машиналық куәліктердің бекітілген тәртібі қажет, ал құлпын ашатын құпияны кілтпен бір бумада, сол тіркелгіге оқылатын етіп ұстау екінші шек құрмайды.

Қолдау көрсетілетін құпияларды жеткізу немесе аппараттық негіздегі жұмыс бойынша қызмет иесімен жұмыс істеңіз және жаңарту, ақау және қалпына келтіруді қамтыңыз. Пернетақта жанында адам болғанын қалау — ешкім қарамайтын хостпен салыстырғанда ақаудың көрінісін өзгертеді.

Сервердің хост идентичтілігін тексеруді және оның тіркелгі шектеулерін де сақтаңыз. VPN маршруты сізге жеке жол береді; ол қол жететін әр SSH тыңдаушысының көздеген хост екенін дәлелдемейді. Тыңдаушы мен хост кілтінің саусақ ізін кілттің өзі сияқты сол тізімге жазыңыз.

Шектерді бөлек тексеріңіз

Әр шекті өз сұрағымен сынаңыз. Файл құпиясөзсіз ашыла ма? Ажырағаннан кейін агент идентичтілікті әлі ұстай ма? Сервер ашық кілтті әлі қабылдай ма?

Екі пәрмен біріншіге және үшіншіге жауап береді:

ssh-keygen -y -f ~/.ssh/id_ed25519
ssh -v [email protected]

Файл қорғанысын, кілттің рұқсат етілген қолданылуын және сервер жағында жоюды үш бөлек жол ретінде тіркеңіз. Туннель, құпиясөз және агент әрқайсысы қатынастың бөлек бөлігін күзетеді, және олардың тек біреуі ғана желі туралы.