SSH rakto slaptafrazė saugo failą, o ne maršrutą

Seno nešiojamojo kompiuterio atsarginio kopijavimo diske vis dar yra privatus SSH raktas, ir kas nors klausia, ar VPN jį apsaugo. Neapsaugo ir niekada neapsaugojo. VPN apsaugo kelią tarp dviejų tinklų; slaptafrazė apsaugo failą; agentas apsaugo veikiančią sesiją. Trys skirtingi mechanizmai, trys skirtingi gedimo būdai, o pavogta kopija rūpinasi tik pirmaisiais dviem.

Slaptafrazė priklauso failui

SSH rakto slaptafrazė užšifruoja privatų rakto turinį ramybės būsenoje. Tai ne paskyros slaptažodis, siunčiamas serveriui, ir ne prisijungimo duomenys, naudojami prisijungti prie VPN. Jų supainiojimas veda prie pakeitimų, kurie neišsprendžia atskleidimo.

OpenSSH ssh-keygen vadove aptariamas darbas su slaptafrazėmis, įskaitant jungiklį -p, kuris nustato naują slaptafrazę jau esamam raktui.

Esamam raktui komandos forma paprasta, ir ji perrašo failą:

ssh-keygen -p -f ~/.ssh/id_ed25519

Naudokite rakto savininko patvirtintą priežiūros ir atkūrimo procesą, nes tai yra rašymas, o ne patikra. Neskelbkite privataus failo ir nedėkite tikros slaptafrazės į bendrą komandinę eilutę. Slaptafrazės pakeitimas neperšifruoja anksčiau padarytos kopijos. Užsirašykite senos kopijos vietą užduotyje, kad savininkas galėtų nuspręsti, ar ją sunaikinti.

Kopija pergyvena nešiojamąjį kompiuterį ir tunelį

Kai rakto failas nukopijuojamas, aktyvus nešiojamojo kompiuterio VPN ryšys apie jį jau nieko nesako. Svarbu tai, kaip gerai apsaugotas pats failas, ir kurie serveriai vis dar pasitiki atitinkamu viešuoju raktu.

Dabartinio failo slaptafrazės pakeitimas neliečia kopijos ir nepašalina to paties viešojo rakto iš authorized_keys serveryje. Panaikinimas ir peršifravimas yra atskiri veiksmai.

Todėl nutekėjusį privatų raktą traktuokite kaip tapatybės įvykį, o ne tinklo įvykį. Pašalinkite arba pakeiskite priimtą raktą per serverius ir registracijos procesą, kuriems jis priklauso. VPN sustabdymas apriboja vieną maršrutą vienu momentu; tai ne panaikinimas.

Atrakinimas perkelia paslaptį į agentą

Agentas laiko iššifruotas tapatybes vėlesniam autentifikavimui, kad naudotojui nereikėtų kiekvieną kartą iš naujo rašyti slaptafrazės. Tai patogumo funkcija su savo saugumo riba.

ssh-agent gali apriboti, kiek ilgai tapatybė lieka įkelta, naudodamas parinktį -t, o atskiros tapatybės nustatymas gali viršyti šią ribą. Rinkitės politiką agentui, kurį iš tikrųjų naudojate, o ne manykite, kad VPN atsijungimas pamiršta kiekvieną įkeltą raktą.

Procesas, kuris pažeidžiamas po rakto atrakinimo, yra kita problema nei pavogtas užšifruotas failas. Agento persiuntimas į kitą hostą perduoda autentifikavimo galimybę neskaitant rakto failo, todėl įjunkite jį tik patvirtintam poreikiui.

Išvardykite, ką agentas šiuo metu laiko prieš ir po pakeitimo:

ssh-add -l

Darbams be priežiūros reikia savo plano

Suplanuota užduotis negali atsakyti į užklausą. Jai reikia patvirtintos mašinos prisijungimo duomenų tvarkos, o atrakinimo paslapties laikymas tame pačiame kataloge kaip raktas, skaitomas tos pačios paskyros, nesukuria antros ribos.

Dirbkite su paslaugos savininku dėl palaikomo paslapčių perdavimo ar aparatinės įrangos veikimo ir apimkite atnaujinimą, gedimą bei atkūrimą. Noras, kad prie klaviatūros būtų žmogus, keičia gedimo vaizdą, palyginti su hostu, kuris įsijungia be niekieno priežiūros.

Išsaugokite ir serverio hosto tapatybės patikrą bei jo paskyros apribojimus. VPN maršrutas suteikia privatų kelią; jis neįrodo, kad kiekvienas pasiekiamas SSH klausytojas yra tas hostas, kurį turėjote omenyje. Užrašykite klausytoją ir hosto rakto piršto atspaudą tame pačiame inventoriuje kaip ir patį raktą.

Tikrinkite ribas atskirai

Išbandykite kiekvieną ribą savo klausimu. Ar failas atsidaro be slaptafrazės? Ar agentas vis dar laiko tapatybę po atsijungimo? Ar serveris vis dar priima viešąjį raktą?

Dvi komandos atsako į pirmąjį ir trečiąjį:

ssh-keygen -y -f ~/.ssh/id_ed25519
ssh -v [email protected]

Užrašykite failo apsaugą, leistiną rakto naudojimą ir pašalinimą serverio pusėje kaip tris atskirus įrašus. Tunelis, slaptafrazė ir agentas kiekvienas saugo skirtingą santykio dalį, ir tik vienas iš jų yra apie tinklą.