SSH atslēgas pieejas frāze aizsargā failu, nevis maršrutu

Veclaika klēpjdatora dublēšanas diskā joprojām ir privātā SSH atslēga, un kāds jautā, vai VPN to aizsargā. Neaizsargā un nekad nav aizsargājis. VPN aizsargā ceļu starp diviem tīkliem; pieejas frāze aizsargā failu; aģents aizsargā darbojošos sesiju. Trīs dažādi mehānismi, trīs dažādi kļūmes veidi, un nozagtai kopijai rūp tikai pirmie divi.

Pieejas frāze pieder failam

SSH atslēgas pieejas frāze šifrē privātās atslēgas materiālu miera stāvoklī. Tā nav konta parole, kas tiek sūtīta uz serveri, un nav akreditācijas dati, ko izmanto, lai pievienotos VPN. To sajaukšana noved pie izmaiņām, kas nerisina pakļautību.

OpenSSH ssh-keygen rokasgrāmata aptver pieejas frāžu apstrādi, tostarp slēdzi -p, kas uzstāda jaunu pieejas frāzi jau esošai atslēgai.

Esošai atslēgai komandas forma ir vienkārša, un tā pārraksta failu:

ssh-keygen -p -f ~/.ssh/id_ed25519

Izmantojiet atslēgas īpašnieka apstiprināto apkopes un atjaunošanas procesu, jo šī ir rakstīšana, nevis pārbaude. Nepublicējiet privāto failu un nelieciet īstu pieejas frāzi koplietotā komandrindā. Pieejas frāzes maiņa atkārtoti nešifrē agrāk ņemtu kopiju. Ierakstiet vecās kopijas atrašanās vietu pieteikumā, lai īpašnieks varētu izlemt, vai to iznīcināt.

Kopija pārdzīvo klēpjdatoru un tuneli

Kad atslēgas fails ir nokopēts, klēpjdatora aktīvais VPN savienojums par to vairs neko neizsaka. Svarīgi ir, cik labi ir aizsargāts pats fails, un kuri serveri joprojām uzticas atbilstošajai publiskajai atslēgai.

Pašreizējā faila pieejas frāzes maiņa neaizskar kopiju un neizņem to pašu publisko atslēgu no authorized_keys serverī. Atsaukšana un atkārtota šifrēšana ir atsevišķas darbības.

Tāpēc uzskatiet noplūdušu privāto atslēgu par identitātes notikumu, nevis tīkla notikumu. Noņemiet vai nomainiet pieņemto atslēgu, izmantojot serverus un reģistrācijas procesu, kuriem tā pieder. VPN apturēšana ierobežo vienu maršrutu vienā brīdī; tā nav atsaukšana.

Atbloķēšana pārvieto noslēpumu uz aģentu

Aģents glabā atšifrētas identitātes vēlākai autentifikācijai, lai lietotājam katrā savienojumā nav atkārtoti jāievada pieejas frāze. Tā ir ērtības funkcija ar savu drošības robežu.

ssh-agent var ierobežot, cik ilgi identitāte paliek ielādēta, izmantojot opciju -t, un atsevišķas identitātes iestatījums var pārsniegt šo robežu. Izvēlieties politiku aģentam, kuru patiešām darbināt, nevis pieņemiet, ka VPN atvienošana aizmirst katru ielādēto atslēgu.

Process, kas tiek kompromitēts pēc atslēgas atbloķēšanas, ir cita problēma nekā nozagts šifrēts fails. Aģenta pāradresēšana uz citu resursdatoru deleģē autentifikācijas iespēju, nekopējot atslēgas failu, tāpēc iespējojiet to tikai apstiprinātai vajadzībai.

Uzskaitiet, ko aģents pašlaik glabā, pirms un pēc izmaiņām:

ssh-add -l

Darbiem bez uzraudzības vajag savu plānu

Ieplānots uzdevums nevar atbildēt uz pieprasījumu. Tam vajag apstiprinātu mašīnas akreditācijas datu kārtību, un atbloķēšanas noslēpuma glabāšana tajā pašā mapē kā atslēga, lasāma ar to pašu kontu, nerada otru robežu.

Strādājiet ar pakalpojuma īpašnieku pie atbalstītas noslēpumu piegādes vai aparatūras balstītas darbības un aptveriet atjaunošanu, kļūmi un atkopšanu. Vēlēšanās, lai pie tastatūras būtu cilvēks, maina kļūmes izskatu salīdzinājumā ar resursdatoru, kas startē bez uzraudzības.

Saglabājiet arī servera resursdatora identitātes pārbaudi un tā konta ierobežojumus. VPN maršruts dod privātu ceļu; tas nepierāda, ka katrs sasniedzamais SSH klausītājs ir tas resursdators, ko domājāt. Ierakstiet klausītāju un resursdatora atslēgas nospiedumu tajā pašā inventārā kā pašu atslēgu.

Pārbaudiet robežas atsevišķi

Pārbaudiet katru robežu ar savu jautājumu. Vai fails atveras bez pieejas frāzes? Vai aģents joprojām glabā identitāti pēc atvienošanas? Vai serveris joprojām pieņem publisko atslēgu?

Divas komandas atbild uz pirmo un trešo:

ssh-keygen -y -f ~/.ssh/id_ed25519
ssh -v [email protected]

Ierakstiet faila aizsardzību, atļauto atslēgas lietošanu un noņemšanu servera pusē kā trīs atsevišķas rindas. Tunelis, pieejas frāze un aģents katrs sargā citu attiecību daļu, un tikai viens no tiem ir par tīklu.