D'Passphrase vun engem Schlëssel läschen oder behalen? D'Kopie, déi Dir uleet
Eng net-verschlësselte Schlësseldatei hält deeselwechte Geheimnis ënner méi schwaachem Schutz. Vergläicht de Risiko am Rou virum Ëmwandelen, a wësst, wat et net réckgängeg mécht.
E verschlësselte private Schlëssel an en net-verschlësselte halen deeselwechte Schlësselmaterial. D'Ëmwandlung schaaft keng nei Identitéit, setzt kee VPN-Konto zréck an annulléiert net déi al Datei. Si schreift eng zweet Kopie, an déi Kopie dréit en anere Risiko am Rou.
Ob den Tausch et wäert ass, hänkt dovun of, wou d'Datei wäert liewen a wien se liese kann.
Wat d'Ëmwandlung tatsächlech ännert
Virun der Ëmwandlung gëtt de Schlëssel duerch eng Passphrase geschützt, déi den Operateur ugëtt. No der Ëmwandlung gëtt e duerch Dateisystemberechtegungen an all Zougriffssteierung ronderëm d'Datei geschützt. D'Kryptografie huet sech net geännert; d'Zuel vun de Saachen tëscht engem Ugräifer an dem Schlëssel huet sech geännert. Dat ass deen ganzen Verglach.
Eng Tabell mécht den Ënnerscheed konkreet.
| Form | What protects it | How it fails |
|---|---|---|
| Encrypted key | A passphrase plus file access | Weak passphrase, or an offline attack on the file |
| Unencrypted key | File permissions and host security only | Any reader copies it silently |
Keng vun deenen zwou Formen ass automatesch méi sécher. Si schléissen op verschidde Weeër feel, a just ee vun deene Weeër hannerléisst en Aloggen am Log.
Wéini et besser ass, d'Passphrase ze behalen
Wann e ënnerstëtzte Client d'Passphrase froe kann oder se aus engem geneemegten Geheimnisdepot huelen, kaaft d'Ëmwandlung näischt. Dir behält eng Kopie, eng Schutzgrenz an eng Datei manner fir ze suivéieren. Déi meescht VPN-Cliënten, déi PEM-Schlësselen akzeptéieren, kënnen dat.
D'Ëmwandlung ass och de falsche Schrëtt, wann en Team de Schlëssel deelt. Eng net-verschlësselte Datei op engem gedeelten Host gëtt en Accessoire, deen jiddereen mat Shell-Zougrëff kopéiere kann.
Wéini eng net-verschlësselte Kopie gerechtfäerdegt ass
Verschidde Servicer kënnen net froen, verschidde Containere montéieren Geheimnisser nëmme liesbar, a verschidde Geräter liesen eng Schlësseldatei beim Start ouni interaktiven Wee. An deene Fäll kann en net-verschlësselte Schlëssel an engem richteg ageschränkten Verzeechnes deen ënnerstëtzten Design sinn. D'Begrënnung ass d'Ëmwelt, net de Komfort.
Wann Dir net soe kënnt, wien d'Datei liese kann a firwat, ass d'Äntwert nee.
De Befehl a seng schaarf Kanten
Fir e schlësselbaséierte Fichier, deen OpenSSL 3.5 ënnerstëtzt, d'pkey-Referenz dokumentéiert d'Läschen vun der Passphrase an eng interaktiv Ufro, wann den Input verschlësselt ass a keng Passwuertquell ugi gëtt. D'Mindestform ass kuerz, an et ass liicht, se onvirsiichteg auszeféieren.
umask 077
openssl pkey -in protected-key.pem -out new-private-key.pemDräi schaarf Kanten. D'I/O vun der Ausgabsdatei ass net atomar, dofir kann en existéierende Ausgabspad mëtt am Schreiwes ofgeschnidden ginn. Benotzt den Inputpad net als Ausgab, a maacht keng Experimenter op der eenzeger geschützter Kopie. Gitt d'Passphrase an der Ufro an, net op der Kommandozeil, wou se an der Shell-Historie landt.
Iwwerpréift d'Resultat, ier Dir eng VPN-Konfiguratioun ännert: openssl pkey -in new-private-key.pem -pubout soll deeselwechte ëffentleche Schlëssel drécken, deen Dir virdrun hat.
Wat d'Ëmwandlung net mécht
Si annulléiert net déi verschlësselt Kopie, déi nach ëmmer existéiert, wou Dir se och hannerluecht hutt. Si ännert net d'Passwuert vum VPN-Konto oder d'Zertifikat. A si reparéiert net eng Belaaschtung, déi schonn geschitt ass. Wann e Schlëssel ausgelaf ass, ass d'Léisung Ersatz an Zréckzuch op der Serversäit, net eng lokal Formatännerung.
Läscht d'Zwëschendatei bewosst, a bestätegt, datt de Pad, deen Dir läscht, dee vun Iech erstallten ass.