Да ја отстраните лозинката на клучот или да ја задржите? Копијата што ја создавате
Нешифрирана датотека со клуч ја чува истата тајна под послаба заштита. Споредете го ризикот во мирување пред да конвертирате и знајте што тоа не го поништува.
Шифриран приватен клуч и нешифриран клуч држат ист клучен материјал. Конвертирањето не создава нов идентитет, не го ресетира VPN сметката и не ја поништува старата датотека. Тоа запишува втора копија, и таа копија носи поинаков ризик во мирување.
Дали размената вреди зависи од тоа каде датотеката ќе живее и кој може да ја чита.
Што всушност менува конвертирањето
Пред конвертирање, клучот е заштитен со лозинка што ја дава операторот. По конвертирањето, тој е заштитен со дозволи на датотечниот систем и со каква било контрола на пристап околу датотеката. Криптографијата не се промени; се промени бројот на работи меѓу напаѓачот и клучот. Тоа е целата споредба.
Табелата ја прави разликата конкретна.
| Form | What protects it | How it fails |
|---|---|---|
| Encrypted key | A passphrase plus file access | Weak passphrase, or an offline attack on the file |
| Unencrypted key | File permissions and host security only | Any reader copies it silently |
Ниту една форма не е автоматски побезбедна. Тие пропаѓаат на различни начини, и само еден од тие начини остава запис во дневникот.
Кога е подобро да се задржи лозинката
Ако поддржан клиент може да ја побара лозинката или да ја земе од одобрено складиште на тајни, конвертирањето не купува ништо. Задржувате една копија, една граница на заштита и една датотека помалку за следење. Повеќето VPN клиенти што прифаќаат PEM клучеви можат да го сторат тоа.
Конвертирањето е исто така погрешен чекор кога тим споделува клуч. Нешифрирана датотека на споделен хост станува акредитив што секој со пристап до школка може да го копира.
Кога е оправдана нешифрирана копија
Некои услуги не можат да прашаат, некои контејнери ги монтираат тајните само за читање, а некои уреди читаат датотека со клуч при подигање без интерактивна патека. Во тие случаи, нешифриран клуч во правилно ограничен директориум може да биде поддржаниот дизајн. Оправдувањето е околината, не удобноста.
Ако не можете да кажете кој може да ја чита датотеката и зошто, одговорот е не.
Командата и нејзините остри рабови
За клуч заснован на датотека што го поддржува OpenSSL 3.5, референцата pkey документира отстранување на лозинката и интерактивно барање кога влезот е шифриран и не е даден извор на лозинка. Минималната форма е кратка, и лесно се извршува невнимателно.
umask 077
openssl pkey -in protected-key.pem -out new-private-key.pemТри остри рабови. Влезно-излезните операции на излезната датотека не се атомски, така што постоечка излезна патека може да биде пресечена на средина од пишувањето. Не користете ја влезната патека како излез и не експериментирајте на единствената заштитена копија. Внесете ја лозинката при барањето, а не на командната линија, каде што завршува во историјата на школката.
Проверете го резултатот пред да промените која било VPN конфигурација: openssl pkey -in new-private-key.pem -pubout треба да го испечати истиот јавен клуч што сте го имале претходно.
Што не прави конвертирањето
Тоа не ја отповикува шифрираната копија, која продолжува да постои каде и да сте ја оставиле. Тоа не ја менува лозинката на VPN сметката или сертификатот. И не го поправа веќе настанатото изложување. Ако клучот протекол, решението е замена и отповикување на страната на серверот, а не локална промена на форматот.
Намерно избришете ја меѓудатотеката и потврдете дека патеката што ја бришете е таа што сте ја создале.