Noņemt atslēgas pieejas frāzi vai to paturēt? Jūsu veidotā kopija
Nešifrēta atslēgas datne glabā to pašu noslēpumu vājākā aizsardzībā. Salīdziniet miera stāvokļa risku pirms pārveidošanas un ziniet, ko tas neatceļ.
Šifrēta privātā atslēga un nešifrēta atslēga glabā vienu un to pašu atslēgas materiālu. Pārveidošana nerada jaunu identitāti, neatjauno VPN kontu un nepadara veco datni nederīgu. Tā raksta otru kopiju, un šī kopija nes citu miera stāvokļa risku.
Vai maiņa ir tā vērta, atkarīgs no tā, kur datne dzīvos un kas to varēs lasīt.
Ko pārveidošana patiešām maina
Pirms pārveidošanas atslēgu aizsargā operatora nodrošinātā pieejas frāze. Pēc pārveidošanas to aizsargā failu sistēmas atļaujas un jebkura piekļuves kontrole ap datni. Kriptogrāfija nav mainījusies; ir mainījies lietu skaits starp uzbrucēju un atslēgu. Tas ir viss salīdzinājums.
Tabula padara atšķirību konkrētu.
| Form | What protects it | How it fails |
|---|---|---|
| Encrypted key | A passphrase plus file access | Weak passphrase, or an offline attack on the file |
| Unencrypted key | File permissions and host security only | Any reader copies it silently |
Neviena forma nav automātiski drošāka. Tās neizdodas dažādos veidos, un tikai viens no šiem veidiem atstāj ierakstu žurnālā.
Kad pieejas frāzi labāk paturēt
Ja atbalstīts klients var pieprasīt pieejas frāzi vai paņemt to no apstiprinātas noslēpumu krātuves, pārveidošana neko nepērk. Jūs paturat vienu kopiju, vienu aizsardzības robežu un par vienu datni mazāk jāseko. Lielākā daļa VPN klientu, kas pieņem PEM atslēgas, to spēj.
Pārveidošana ir nepareizs solis arī tad, ja komanda dala atslēgu. Nešifrēta datne koplietotā hostā kļūst par akreditācijas datiem, ko var nokopēt ikviens ar čaulas piekļuvi.
Kad nešifrēta kopija ir attaisnojama
Daži pakalpojumi nevar pieprasīt, daži konteineri montē noslēpumus tikai lasāmus, un dažas ierīces palaišanas laikā nolasa atslēgas datni bez interaktīva ceļa. Šādos gadījumos nešifrēta atslēga pareizi ierobežotā mapē var būt atbalstītais risinājums. Attaisnojums ir vide, nevis ērtības.
Ja nevarat pateikt, kas var lasīt datni un kāpēc, atbilde ir nē.
Komanda un tās asās malas
Datnē balstītai atslēgai, ko atbalsta OpenSSL 3.5, pkey atsauce dokumentē pieejas frāzes noņemšanu un interaktīvu uzvedni, kad ievade ir šifrēta un nav norādīts paroles avots. Minimālā forma ir īsa, un to ir viegli izpildīt neuzmanīgi.
umask 077
openssl pkey -in protected-key.pem -out new-private-key.pemTrīs asās malas. Izvades datnes I/O nav atomiska, tāpēc esošu izvades ceļu var pārtraukt rakstīšanas vidū. Neizmantojiet ievades ceļu kā izvadi un neeksperimentējiet ar vienīgo aizsargāto kopiju. Ievadiet pieejas frāzi uzvednē, nevis komandrindā, kur tā nonāk čaulas vēsturē.
Pārbaudiet rezultātu pirms jebkuras VPN konfigurācijas maiņas: openssl pkey -in new-private-key.pem -pubout vajadzētu izdrukāt to pašu publisko atslēgu, kas jums bija iepriekš.
Ko pārveidošana nedara
Tā neatsauc šifrēto kopiju, kas joprojām pastāv tur, kur jūs to atstājāt. Tā nemaina VPN konta paroli vai sertifikātu. Un tā nelabo jau notikušu atklāšanu. Ja atslēga ir noplūdusi, risinājums ir aizstāšana un atsaukšana servera pusē, nevis lokāla formāta maiņa.
Apzināti izdzēsiet starpdatni un pārliecinieties, ka dzēstais ceļš ir tas, kuru izveidojāt.