SSH ачкычынын купуя сөзү файлды коргойт, маршрутту эмес

Эски ноутбуктун камдык дискинде дагы эле жеке SSH ачкычы бар, жана бирөө VPN аны коргойбу деп сурайт. Коргобойт, жана эч качан коргогон эмес. VPN эки тармактын ортосундагы жолду коргойт; купуя сөз файлды коргойт; агент иштеп жаткан сессияны коргойт. Үч башка механизм, үч башка бузулуу режими, жана уурдалган көчүрмө биринчи экөөнө гана кызыгат.

Купуя сөз файлга таандык

SSH ачкычынын купуя сөзү тынч абалдагы жеке ачкыч материалын шифрлейт. Бул серверге жөнөтүлүүчү эсеп сырсөзү эмес жана VPNге кошулуу үчүн колдонулган күбөлүк эмес. Аларды аралаштыруу таасирди чечпеген өзгөртүүлөргө алып келет.

OpenSSHтин ssh-keygen колдонмосу купуя сөздөр менен иштөөнү, анын ичинде мурунтан бар ачкычка жаңы купуя сөз коюучу -p которгучун камтыйт.

Бар ачкыч үчүн буйруктун формасы жөнөкөй, жана ал файлды кайра жазат:

ssh-keygen -p -f ~/.ssh/id_ed25519

Ачкычтын ээсинин бекитилген тейлөө жана калыбына келтирүү процессин колдонуңуз, анткени бул текшерүү эмес, жазуу. Жеке файлды жарыялабаңыз жана чыныгы купуя сөздү жалпы буйрук сабына койбоңуз. Купуя сөздү өзгөртүү мурун алынган көчүрмөнү кайра шифрлебейт. Эски көчүрмөнүн ордун билетке жазыңыз, ээси аны жок кылуу керекпи деп чече алат.

Көчүрмө ноутбуктан жана туннелден узак жашайт

Ачкыч файлы көчүрүлгөндөн кийин, ноутбуктун иштеп жаткан VPN байланышы ал тууралуу эч нерсе айтпайт. Маанилүүсү — файлдын өзү канчалык жакшы корголгон жана кайсы серверлер дагы эле тиешелүү ачык ачкычка ишенишет.

Учурдагы файлдагы купуя сөздү өзгөртүү көчүрмөгө тийбейт жана сервердеги authorized_keysтен ошол эле ачык ачкычты албайт. Жокко чыгаруу жана кайра шифрлөө өзүнчө аракеттер.

Ошондуктан агылган жеке ачкычты тармактык эмес, инсандык окуя катары караңыз. Кабыл алынган ачкычты ага ээ болгон серверлер жана каттоо процесси аркылуу алып салыңыз же алмаштырыңыз. VPNди токтотуу бир учурда бир маршрутту чектейт; бул жокко чыгаруу эмес.

Кулпун ачуу купуяны агентке жылдырат

Агент кийинки аутентификация үчүн чечилген инсандыктарды кармайт, ошондуктан колдонуучу ар бир байланышта купуя сөздү кайра тербейт. Бул өзүнүн коопсуздук чеги бар ыңгайлуулук функциясы.

ssh-agent -t опциясы аркылуу инсандыктын канча убакыт жүктөлүп турарын чектей алат, жана жеке инсандык үчүн жөндөө бул чектен ашышы мүмкүн. VPN ажыраганда ар бир жүктөлгөн ачкыч унутулат деп болжолдоонун ордуна иш жүзүндө иштеткен агент үчүн саясат тандаңыз.

Ачкычтын кулпу ачылгандан кийин бузулган процесс уурдалган шифрленген файлдан башка маселе. Агентти башка хостко берүү ачкыч файлын көчүрбөстөн аутентификация мүмкүнчүлүгүн өткөрүп берет, ошондуктан аны бекитилген муктаждык үчүн гана күйгүзүңүз.

Агент азыр эмнени кармап турганын өзгөртүүгө чейин жана андан кийин тизмелеңиз:

ssh-add -l

Көзөмөлсүз жумуштарга өз планы керек

Пландалган жумуш суроого жооп бере албайт. Ага машиналык күбөлүктүн бекитилген тартиби керек, ал эми кулпту ачуучу купуяны ачкыч менен бирдикте, ошол эсепке окулуучу кылып кармоо экинчи чекти түзбөйт.

Колдоого алынган купуя маалыматты жеткирүү же аппараттык иштөө боюнча кызмат ээси менен иштешиңиз жана жаңыртуу, бузулуу жана калыбына келтирүүнү камтыңыз. Пернетапканын жанында адам болушун каалоо — эч ким карабаган хост менен салыштырганда бузулуунун көрүнүшүн өзгөртөт.

Сервердин хост инсандыгын текшерүүнү жана анын эсеп чектөөлөрүн да сактаңыз. VPN маршруту сизге жеке жол берет; ал жеткен ар бир SSH угуучусу ойлогон хост экенин далилдебейт. Угуучуну жана хост ачкычынын манжа изин ачкычтын өзүндөй эле тизмеге жазыңыз.

Чектерди өзүнчө текшериңиз

Ар бир чекти өз суроосу менен сынаңыз. Файл купуя сөзсүз ачылабы? Ажырагандан кийин агент инсандыкты дагы эле кармайбы? Сервер ачык ачкычты дагы эле кабыл алабы?

Эки буйрук биринчи жана үчүнчү суроого жооп берет:

ssh-keygen -y -f ~/.ssh/id_ed25519
ssh -v [email protected]

Файлды коргоону, ачкычтын уруксат берилген колдонулушун жана сервер тараптан алып салууну үч өзүнчө сап катары жазыңыз. Туннель, купуя сөз жана агент ар бири мамиленин башка бөлүгүн кайтарат, жана алардын бирөө гана тармак тууралуу.