Eng SSH-Schlësselpassphrase schützt d’Datei, net d’Route

Eng Sécherungskopie vun engem ale Laptop enthält nach ëmmer en private SSH-Schlëssel, an een freet, ob de VPN en schützt. Et mécht et net, an et huet et ni gemaach. De VPN schützt e Wee tëscht zwou Netzwierker; d’Passphrase schützt d’Datei; den Agent schützt eng lafend Sessioun. Dräi verschidde Mechanismen, dräi verschidde Feelerzorten, an eng geklaut Kopie këmmert sech just ëm déi zwee éischt.

D’Passphrase gehéiert zu der Datei

Eng SSH-Schlësselpassphrase verschlësselt de private Schlësselmaterial am Rou. Si ass net d’Kontopasswuert, dat op de Server geschéckt gëtt, an och net d’Berechtegung fir dem VPN bäizetrieden. Si ze verwiesselen féiert zu Ännerungen, déi d’Expositioun net ugehen.

Dem OpenSSH seng ssh-keygen-Handbuch deckt de Ëmgang mat Passphrasen of, och de Schalter -p, deen eng nei Passphrase op engem Schlëssel setzt, deen et schonn gëtt.

Fir en existente Schlëssel ass d’Form vum Kommando einfach, an en iwwerschreift d’Datei:

ssh-keygen -p -f ~/.ssh/id_ed25519

Benotzt de geneemegten Ënnerhalt- an Erhuelungsprozess vum Schlësseleigentümer, well dëst ass e Schreiwen, keng Inspektioun. Verëffentlecht déi privat Datei net a setzt keng richteg Passphrase op eng gedeelt Kommandolinn. Eng Passphraseännerung verschlësselt eng Kopie, déi virdru geholl gouf, net nei. Hält d’Plaz vun der aler Kopie am Ticket, sou datt den Eigentümer entscheede kann, ob se zerstéiert gëtt.

Eng Kopie iwwerlieft de Laptop an den Tunnel

Soubal eng Schlësseldatei kopéiert ass, seet d’aktiv VPN-Verbindung vum Laptop näischt méi doriwwer. Wat zielt, ass wéi gutt d’Datei selwer geschützt ass, a wéi eng Serveren nach ëmmer dem passenden ëffentleche Schlëssel vertrauen.

D’Passphrase vun der aktueller Datei z’änneren, réiert d’Kopie net, an et huet och net dee selwechten ëffentleche Schlëssel aus authorized_keys op engem Server ewech. Widderruff an Neiverschlësselung si getrennt Aktiounen.

Behandelt also e verluere private Schlëssel als Identitéitsevenement, net als Netzwierkevenement. Entfernt oder ersetzt de ugehollene Schlëssel iwwer déi Serveren an dee Registréierungsprozess, déi en hunn. De VPN stoppen begrenzt eng Route zu engem Zäitpunkt; et ass kee Widderruff.

D’Opmaache verréckelt d’Geheimnis an en Agent

En Agent hält entschlësselt Identitéiten fir spéider Authentifizéierung, sou datt de Benotzer d’Passphrase net bei all Verbindung nei agëtt. Dat ass eng Komfortfunktioun mat enger eegener Sécherheetsgrenz.

ssh-agent kann iwwer seng -t-Optioun begrenzen, wéi laang eng Identitéit geluede bleift, an eng Astellung pro Identitéit kann déi Grenz iwwerschreiden. Wielt d’Politik fir den Agent, deen Dir tatsächlech bedreift, amplaz unzehuelen, eng VPN-Trennung vergiess all geluedene Schlëssel.

En Prozess, dee kompromittéiert gëtt, nodeems de Schlëssel opgemaach gouf, ass en anert Problem wéi eng geklaut verschlësselt Datei. Den Agent op en aneren Host virun ze schécken delegéiert d’Authentifizéierungsfäegkeet, ouni d’Schlësseldatei ze kopéieren, dofir aktivéiert en nëmme fir e geneemegten Zweck.

Lëscht op, wat den Agent am Moment hält, virun an no enger Ännerung:

ssh-add -l

Onbewaacht Aarbechte brauchen hire eegene Plang

Eng geplangte Aarbecht kann net op eng Ufro äntweren. Si brauch eng geneemegt Reegelung fir Maschinnberechtegungen, an d’Geheimnis vum Opmaachen am selwechten Verzeechnis wéi de Schlëssel ze halen, liesbar vum selwechte Kont, schaaft keng zweet Grenz.

Schafft mam Serviceeigentümer iwwer ënnerstëtzte Geheimnisser-Liwwerung oder Hardware-baséiert Betrib, a deckt Erneierung, Ausfall an Erhuelung of. E Mënsch op der Tastatur ze wëllen, ännert d’Ausgesi vun engem Ausfall am Verglach zu engem Host, deen ouni Iwwerwaachung start.

Behält och d’Host-Identitéitspréifung vum Server a seng Kontbeschränkungen. Eng VPN-Route gëtt Iech e private Wee; si beweist net, datt all SSH-Lauschterer, deen Dir erreecht, dee geplangten Host ass. Registréiert de Lauschterer an de Fangerschutz vum Hostschlëssel am selwechten Inventar wéi de Schlëssel selwer.

Préift d’Grenzen getrennt

Test all Grenz mat hirer eegener Fro. Mécht d’Datei op ouni d’Passphrase? Hält den Agent d’Identitéit nach no enger Trennung? Akzeptéiert de Server nach den ëffentleche Schlëssel?

Zwee Kommandos äntweren op déi éischt an déi drëtt:

ssh-keygen -y -f ~/.ssh/id_ed25519
ssh -v [email protected]

Registréiert de Schutz vun der Datei, dee geneemegten Asaz vum Schlëssel an d’Entfernen um Server als dräi getrennt Linnen. En Tunnel, eng Passphrase an en Agent bewaachen all een aneren Deel vun der Bezéiung, an nëmmen ee vun hinnen geet ëm d’Netzwierk.