Pašalinti rakto slaptafrazę ar ją palikti? Jūsų kuriama kopija
Nešifruotas rakto failas saugo tą pačią paslaptį silpnesne apsauga. Palyginkite ramybės riziką prieš konvertuodami ir žinokite, ko tai nepanaikina.
Šifruotas privatusis raktas ir nešifruotas raktas saugo tą pačią raktinę medžiagą. Konvertavimas nesukuria naujos tapatybės, neatstato VPN paskyros ir nepanaikina seno failo. Jis įrašo antrą kopiją, ir ta kopija turi kitokią ramybės riziką.
Ar mainai verti, priklauso nuo to, kur failas gyvens ir kas galės jį skaityti.
Ką konvertavimas iš tikrųjų keičia
Prieš konvertavimą raktą saugo operatoriaus pateikta slaptafrazė. Po konvertavimo jį saugo failų sistemos leidimai ir bet kokia prieiga prie failo. Kriptografija nepasikeitė; pasikeitė daiktų, stovinčių tarp užpuoliko ir rakto, skaičius. Tai ir yra visas palyginimas.
Lentelė padaro skirtumą konkretų.
| Form | What protects it | How it fails |
|---|---|---|
| Encrypted key | A passphrase plus file access | Weak passphrase, or an offline attack on the file |
| Unencrypted key | File permissions and host security only | Any reader copies it silently |
Nė viena forma nėra automatiškai saugesnė. Jos nepavyksta skirtingais būdais, ir tik vienas iš tų būdų palieka įrašą žurnale.
Kada slaptafrazę geriau palikti
Jei palaikomas klientas gali paprašyti slaptafrazės arba paimti ją iš patvirtintos paslapčių saugyklos, konvertavimas nieko neperka. Laikote vieną kopiją, vieną apsaugos ribą ir vienu failu mažiau stebėti. Dauguma VPN klientų, priimančių PEM raktus, gali tai padaryti.
Konvertavimas taip pat netinkamas žingsnis, kai komanda bendrina raktą. Nešifruotas failas bendrame hoste tampa kredencialais, kuriuos gali nukopijuoti bet kas, turintis shell prieigą.
Kada nešifruota kopija pateisinama
Kai kurios paslaugos negali paklausti, kai kurie konteineriai paslaptis prijungia tik skaitymui, o kai kurie įrenginiai paleidimo metu nuskaito rakto failą be interaktyvaus kelio. Tokiais atvejais nešifruotas raktas tinkamai apribotame kataloge gali būti palaikomas sprendimas. Pateisinimas yra aplinka, o ne patogumas.
Jei negalite pasakyti, kas gali skaityti failą ir kodėl, atsakymas yra ne.
Komanda ir jos aštrios briaunos
Failu pagrįstam raktui, kurį palaiko OpenSSL 3.5, pkey nuoroda aprašo slaptafrazės pašalinimą ir interaktyvų raginimą, kai įvestis yra šifruota ir nepateiktas slaptažodžio šaltinis. Minimali forma trumpa, ir ją lengva paleisti neatsargiai.
umask 077
openssl pkey -in protected-key.pem -out new-private-key.pemTrys aštrios briaunos. Išvesties failo I/O nėra atominis, todėl esamas išvesties kelias gali būti nukirptas rašymo viduryje. Nenaudokite įvesties kelio kaip išvesties ir neeksperimentuokite su vienintele apsaugota kopija. Įveskite slaptafrazę raginime, o ne komandų eilutėje, kur ji patenka į shell istoriją.
Patikrinkite rezultatą prieš keisdami bet kokią VPN konfigūraciją: openssl pkey -in new-private-key.pem -pubout turėtų išspausdinti tą patį viešąjį raktą, kurį turėjote anksčiau.
Ko konvertavimas nedaro
Jis neatšaukia šifruotos kopijos, kuri vis dar egzistuoja ten, kur ją palikote. Jis nekeičia VPN paskyros slaptažodžio arba sertifikato. Ir jis nepataiso jau įvykusio atskleidimo. Jei raktas nutekėjo, sprendimas yra pakeitimas ir atšaukimas serverio pusėje, o ne vietinis formato pakeitimas.
Sąmoningai ištrinkite tarpinį failą ir patvirtinkite, kad trinamas kelias yra tas, kurį sukūrėte.