Лозинката-фраза на SSH клуч го штити файлот, а не патеката

Резервен диск од стар преносен сметач сѐ уште содржи приватен SSH клуч, и некој прашува дали VPN-от го штити. Не го штити, и никогаш не го штител. VPN-от штити патека меѓу две мрежи; лозинката-фраза го штити файлот; агентот штити сесија што работи. Три различни механизми, три различни режима на отказ и украдено копие се грижи само за првите два.

Лозинката-фраза му припаѓа на файлот

Лозинката-фраза на SSH клуч го шифрира материјалот на приватниот клуч во мирување. Таа не е лозинката на сметката што се праќа до серверот и не е акредитивот што се користи за приклучување кон VPN-от. Нивното мешање води до промени што не ја решаваат изложеноста.

Прирачникот на OpenSSH за ssh-keygen опфаќа ракување со лозинки-фрази, вклучително прекинувачот -p што поставува нова лозинка-фраза на веќе постоечки клуч.

За постоечки клуч формата на наредбата е едноставна, и таа го препишува файлот:

ssh-keygen -p -f ~/.ssh/id_ed25519

Користете го одобрениот процес за одржување и обновување на сопственикот на клучот, бидејќи ова е пишување, а не проверка. Не го објавувајте приватниот файл и не ставајте вистинска лозинка-фраза на споделена командна линија. Промената на лозинката-фраза не го прешифрира копието земено порано. Забележете ја локацијата на старото копие во тикетот за сопственикот да одлучи дали да го уништи.

Копието го надживува преносниот сметач и тунелот

Откако файлот со клуч е копиран, активната VPN врска на преносниот сметач веќе не кажува ништо за него. Важно е колку добро е заштитен самиот файл, и кои сервери сѐ уште му веруваат на соодветниот јавен клуч.

Промената на лозинката-фраза на тековниот файл не го допира копието и не го отстранува истиот јавен клуч од authorized_keys на сервер. Отповикувањето и прешифрирањето се одделни дејства.

Затоа третирајте го протечениот приватен клуч како настан за идентитетот, а не мрежен настан. Отстранете го или заменете го прифатениот клуч преку серверите и процесот за регистрација што го поседуваат. Запирањето на VPN-от ограничува една патека во еден момент; тоа не е отповикување.

Отклучувањето го преместува тајното во агент

Агентот држи дешифрирани идентитети за подоцнежна автентикација, така што корисникот не ја внесува лозинката-фраза при секое поврзување. Тоа е погодност со сопствена безбедносна граница.

ssh-agent може да ограничи колку долго идентитетот останува вчитан преку својата опција -t, а поставката за поединечен идентитет може да го надмине тоа ограничување. Изберете политика за агентот што навистина го извршувате наместо да претпоставувате дека исклучувањето на VPN-от го заборава секој вчитан клуч.

Процес што е компромитиран откако клучот е отклучен е различен проблем од украден шифриран файл. Препраќањето на агентот до друг домаќин ја делегира способноста за автентикација без копирање на файлот со клуч, затоа овозможете го само за одобрена потреба.

Наведете што држи агентот во моментов пред и по промена:

ssh-add -l

Работите без надзор бараат сопствен план

Закажана работа не може да одговори на барање. Ѝ е потребно одобрено уредување за машински акредитиви, а држењето на тајното за отклучување во истиот директориум како клучот, читливо за истата сметка, не создава втора граница.

Работете со сопственикот на услугата на поддржана испорака на тајни или хардверско работење и покријте обновување, отказ и закрепнување. Желбата човек да биде пред тастатурата го менува изгледот на отказот во споредба со домаќин што се подига без никој да гледа.

Задржете ја и проверката на идентитетот на домаќинот на серверот и неговите ограничувања на сметката. VPN патеката ви дава приватен пат; таа не докажува дека секој достапен SSH слушател е домаќинот што сте го намениле. Запишете го слушателот и отпечатокот од клучот на домаќинот во истиот попис како и самиот клуч.

Проверете ги границите одделно

Тестирајте ја секоја граница со сопствено прашање. Дали файлот се отвора без лозинката-фраза? Дали агентот сѐ уште го држи идентитетот по исклучување? Дали серверот сѐ уште го прифаќа јавниот клуч?

Две наредби одговараат на првото и третото:

ssh-keygen -y -f ~/.ssh/id_ed25519
ssh -v [email protected]

Запишете ја заштитата на файлот, дозволената употреба на клучот и отстранувањето на страната на серверот како три одделни ставки. Тунелот, лозинката-фраза и агентот секој чува различен дел од односот и само еден од нив е за мрежата.