Ачкычтын купуя сөз айтылышын алып салабы же кармайбы? Сиз түзгөн көчүрмө
Шифрленбеген ачкыч файлы ошол эле жашыруун нерсени алсыз коргоо астында сактайт. Алмаштыруудан мурун тынч абалдагы тобокелди салыштырыңыз жана ал эмнени кайтарбай турганын билиңиз.
Шифрленген жеке ачкыч жана шифрленбеген ачкыч бирдей ачкыч материалын сактайт. Алмаштыруу жаңы инсандыкты түзбөйт, VPN эсебин кайра орнотпойт жана эски файлды жараксыз кылбайт. Ал экинчи көчүрмө жазат, жана ошол көчүрмө башка тынч абал тобокелин алып жүрөт.
Бул алмашуу татыктуубу, ал файлдын кайда жашай турганына жана ким аны окуй аларына байланыштуу.
Алмаштыруу чындыгында эмнени өзгөртөт
Алмаштырууга чейин ачкычты оператор берген купуя сөз коргойт. Алмаштыруудан кийин аны файл системасынын укуктары жана файлды курчаган ар кандай кирүү көзөмөлү коргойт. Криптография өзгөргөн жок; кол салуучу менен ачкычтын ортосунда турган нерселердин саны өзгөрдү. Бул — бүт салыштыруу.
Таблица айырмачылыкты так кылат.
| Form | What protects it | How it fails |
|---|---|---|
| Encrypted key | A passphrase plus file access | Weak passphrase, or an offline attack on the file |
| Unencrypted key | File permissions and host security only | Any reader copies it silently |
Эки форманын бири да автоматтык түрдө кооптуураак эмес. Алар ар кандай жол менен ишке ашпайт, жана ошол жолдордун бири гана журналга жазуу калтырат.
Купуя сөздү кармаган качан жакшы
Эгер колдоого алынган кардар купуя сөздү сурай алса же аны бекитилген купуя сактоочу жактан ала алса, алмаштыруу эч нерсе сатып албайт. Сиз бир көчүрмө, бир коргоо чек арасы жана көзөмөлдөө үчүн бир файлды азыраак кармайсыз. PEM ачкычтарын кабыл алган VPN кардарларынын көбү муну кыла алат.
Команда ачкычты бөлүшкөндө да алмаштыруу туура эмес кадам. Жалпы хосттогу шифрленбеген файл shell кирүүсү бар ар ким көчүрө алган кирүү маалыматтарына айланат.
Шифрленбеген көчүрмө качан акталган
Кээ бир кызматтар сурай албайт, кээ бир контейнерлер купуя нерселерди окуу гана режиминде орнотот, ал эми кээ бир түзмөктөр жүктөө учурунда интерактивдүү жолсуз ачкыч файлын окуйт. Мындай учурларда туура чектелген каталогдогу шифрленбеген ачкыч колдоого алынган долбоор болушу мүмкүн. Негиздөө — чөйрө, ыңгайлуулук эмес.
Эгер файлды ким окуй аларын жана эмне үчүн экенин айта албасаңыз, жооп — жок.
Буйрук жана анын курч четтери
OpenSSL 3.5 колдогон файлга негизделген ачкыч үчүн pkey маалымдамасы купуя сөздү алып салууну жана киргизүү шифрленгенде жана купуя сөз булагы берилбегенде интерактивдүү сурамды документтештирет. Эң аз форма кыска, жана аны этиятсыз иштетүү оңой.
umask 077
openssl pkey -in protected-key.pem -out new-private-key.pemҮч курч чет. Чыгуу файлынын I/O атомдук эмес, ошондуктан бар чыгуу жолу жазуунун ортосунда кесилиши мүмкүн. Кирүү жолун чыгуу катары колдонбоңуз жана жалгыз корголгон көчүрмөдө тажрыйба жүргүзбөңүз. Купуя сөздү буйрук сабында эмес, сурамда киргизиңиз, анткени ал жерде shell тарыхына түшөт.
Ар кандай VPN конфигурациясын өзгөртүүдөн мурун натыйжаны текшериңиз: openssl pkey -in new-private-key.pem -pubout мурунку эле ачык ачкычты басып чыгарышы керек.
Алмаштыруу эмнени кылбайт
Ал шифрленген көчүрмөнү жокко чыгарбайт, ал кайда калтырсаңыз да али бар. Ал VPN эсебинин купуя сөзүн же сертификатты өзгөртпөйт. Жана мурда болгон ачыкка чыгууну оңдобойт. Эгер ачкыч агып кетсе, чечим — алмаштыруу жана сервер тарабынан кайтарып алуу, жергиликтүү форматты өзгөртүү эмес.
Орто файлды атайын жок кылыңыз жана жок кылган жолуңуз өзүңүз түзгөн жол экенин ырастаңыз.