ഒരു കീയുടെ പാസ്‌ഫ്രേസ് നീക്കം ചെയ്യണോ അതോ സൂക്ഷിക്കണോ? നിങ്ങൾ സൃഷ്ടിക്കുന്ന പകർപ്പ്
എൻക്രിപ്റ്റ് ചെയ്യാത്ത കീ ഫയൽ അതേ രഹസ്യം ദുർബലമായ സംരക്ഷണത്തിൽ സൂക്ഷിക്കുന്നു. പരിവർത്തനത്തിനു മുൻപ് വിശ്രമത്തിലെ അപകടസാധ്യത താരതമ്യം ചെയ്യുക, അത് എന്താണ് പഴയപടിയാക്കാത്തതെന്ന് അറിയുക.
എൻക്രിപ്റ്റ് ചെയ്ത സ്വകാര്യ കീയും എൻക്രിപ്റ്റ് ചെയ്യാത്ത കീയും ഒരേ കീ മെറ്റീരിയൽ സൂക്ഷിക്കുന്നു. പരിവർത്തനം പുതിയ ഐഡന്റിറ്റി സൃഷ്ടിക്കുന്നില്ല, VPN അക്കൗണ്ട് പുനഃസജ്ജമാക്കുന്നില്ല, പഴയ ഫയൽ അസാധുവാക്കുന്നില്ല. അത് രണ്ടാമത്തെ പകർപ്പ് എഴുതുന്നു, ആ പകർപ്പ് വ്യത്യസ്ത വിശ്രമ അപകടസാധ്യത വഹിക്കുന്നു.
ഈ കൈമാറ്റം മൂല്യവത്താണോ എന്നത് ഫയൽ എവിടെ ജീവിക്കും, ആർക്ക് അത് വായിക്കാം എന്നതിനെ ആശ്രയിച്ചിരിക്കുന്നു.
പരിവർത്തനം യഥാർത്ഥത്തിൽ മാറ്റുന്നത്
പരിവർത്തനത്തിനു മുൻപ്, ഓപ്പറേറ്റർ നൽകുന്ന പാസ്‌ഫ്രേസ് കീയെ സംരക്ഷിക്കുന്നു. പരിവർത്തനത്തിനു ശേഷം, ഫയൽസിസ്റ്റം അനുമതികളും ഫയലിനു ചുറ്റുമുള്ള ഏതെങ്കിലും ആക്സസ് നിയന്ത്രണവും അതിനെ സംരക്ഷിക്കുന്നു. ക്രിപ്റ്റോഗ്രഫി മാറിയിട്ടില്ല; ആക്രമണകാരിക്കും കീയ്ക്കും ഇടയിൽ നിൽക്കുന്ന കാര്യങ്ങളുടെ എണ്ണം മാറി. അതാണ് മുഴുവൻ താരതമ്യം.
ഒരു പട്ടിക വ്യത്യാസം വ്യക്തമാക്കുന്നു.
| Form | What protects it | How it fails |
|---|---|---|
| Encrypted key | A passphrase plus file access | Weak passphrase, or an offline attack on the file |
| Unencrypted key | File permissions and host security only | Any reader copies it silently |
ഏതൊരു രൂപവും സ്വയമേവ കൂടുതൽ സുരക്ഷിതമല്ല. അവ വ്യത്യസ്ത രീതികളിൽ പരാജയപ്പെടുന്നു, അതിൽ ഒരു മാർഗം മാത്രമാണ് ലോഗിൽ രേഖ അവശേഷിപ്പിക്കുന്നത്.
പാസ്‌ഫ്രേസ് സൂക്ഷിക്കുന്നത് എപ്പോൾ നല്ലതാണ്
പിന്തുണയുള്ള ക്ലയന്റിന് പാസ്‌ഫ്രേസ് ചോദിക്കാനോ അംഗീകൃത രഹസ്യ സംഭരണിയിൽ നിന്ന് എടുക്കാനോ കഴിയുമെങ്കിൽ, പരിവർത്തനം ഒന്നും വാങ്ങുന്നില്ല. നിങ്ങൾ ഒരു പകർപ്പ്, ഒരു സംരക്ഷണ അതിർത്തി, ട്രാക്ക് ചെയ്യാൻ ഒരു ഫയൽ കുറവ് എന്നിവ സൂക്ഷിക്കുന്നു. PEM കീകൾ സ്വീകരിക്കുന്ന മിക്ക VPN ക്ലയന്റുകൾക്കും ഇത് ചെയ്യാനാകും.
ഒരു ടീം കീ പങ്കിടുമ്പോഴും പരിവർത്തനം തെറ്റായ നീക്കമാണ്. പങ്കിട്ട ഹോസ്റ്റിലെ എൻക്രിപ്റ്റ് ചെയ്യാത്ത ഫയൽ ഷെൽ ആക്സസ് ഉള്ള ആർക്കും പകർത്താവുന്ന ഒരു ക്രെഡൻഷ്യലായി മാറുന്നു.
എൻക്രിപ്റ്റ് ചെയ്യാത്ത പകർപ്പ് എപ്പോൾ ന്യായീകരിക്കാം
ചില സേവനങ്ങൾക്ക് ചോദിക്കാനാകില്ല, ചില കണ്ടെയ്നറുകൾ രഹസ്യങ്ങൾ വായന-മാത്രമായി മൗണ്ട് ചെയ്യുന്നു, ചില ഉപകരണങ്ങൾ ബൂട്ടിൽ ഇന്ററാക്ടീവ് പാതയില്ലാതെ കീ ഫയൽ വായിക്കുന്നു. അത്തരം സന്ദർഭങ്ങളിൽ, ശരിയായി പരിമിതപ്പെടുത്തിയ ഡയറക്ടറിയിലെ എൻക്രിപ്റ്റ് ചെയ്യാത്ത കീ പിന്തുണയുള്ള രൂപകൽപ്പനയാകാം. ന്യായീകരണം പരിസ്ഥിതിയാണ്, സൗകര്യമല്ല.
ഫയൽ ആർക്ക് വായിക്കാം, എന്തുകൊണ്ട് എന്ന് നിങ്ങൾക്ക് പറയാനാകുന്നില്ലെങ്കിൽ, ഉത്തരം ഇല്ല എന്നാണ്.
കമാൻഡും അതിന്റെ മൂർച്ചയുള്ള അറ്റങ്ങളും
OpenSSL 3.5 പിന്തുണയ്ക്കുന്ന ഫയൽ അധിഷ്ഠിത കീയ്ക്ക്, pkey റഫറൻസ് പാസ്‌ഫ്രേസ് നീക്കം ചെയ്യുന്നതും ഇൻപുട്ട് എൻക്രിപ്റ്റ് ചെയ്തതും പാസ്‌വേഡ് ഉറവിടം നൽകാത്തതുമായ സന്ദർഭത്തിൽ ഇന്ററാക്ടീവ് പ്രോംപ്റ്റും രേഖപ്പെടുത്തുന്നു. ഏറ്റവും ചെറിയ രൂപം ചെറുതാണ്, അത് അശ്രദ്ധമായി പ്രവർത്തിപ്പിക്കാൻ എളുപ്പമാണ്.
umask 077
openssl pkey -in protected-key.pem -out new-private-key.pemമൂന്ന് മൂർച്ചയുള്ള അറ്റങ്ങൾ. ഔട്ട്പുട്ട് ഫയൽ I/O ആറ്റോമിക് അല്ല, അതിനാൽ നിലവിലുള്ള ഔട്ട്പുട്ട് പാത എഴുത്തിനു നടുവിൽ വെട്ടിമുറിക്കാം. ഇൻപുട്ട് പാത ഔട്ട്പുട്ടായി ഉപയോഗിക്കരുത്, ഒരേയൊരു സംരക്ഷിത പകർപ്പിൽ പരീക്ഷിക്കരുത്. പാസ്‌ഫ്രേസ് കമാൻഡ് ലൈനിൽ അല്ല, പ്രോംപ്റ്റിൽ നൽകുക, കാരണം അവിടെ അത് ഷെൽ ചരിത്രത്തിൽ എത്തുന്നു.
ഏതെങ്കിലും VPN കോൺഫിഗറേഷൻ മാറ്റുന്നതിനു മുൻപ് ഫലം പരിശോധിക്കുക: openssl pkey -in new-private-key.pem -pubout മുൻപ് നിങ്ങൾക്കുണ്ടായിരുന്ന അതേ പൊതു കീ പ്രിന്റ് ചെയ്യണം.
പരിവർത്തനം ചെയ്യാത്തത്
അത് എൻക്രിപ്റ്റ് ചെയ്ത പകർപ്പ് റദ്ദാക്കുന്നില്ല, അത് നിങ്ങൾ ഉപേക്ഷിച്ച ഇടത്ത് ഇപ്പോഴും നിലനിൽക്കുന്നു. അത് VPN അക്കൗണ്ടിന്റെ പാസ്‌വേഡോ സർട്ടിഫിക്കറ്റോ മാറ്റുന്നില്ല. ഇതിനകം സംഭവിച്ച വെളിപ്പെടുത്തൽ അത് പരിഹരിക്കുന്നുമില്ല. ഒരു കീ ചോർന്നാൽ, പരിഹാരം സ്ഥാനമാറ്റവും സെർവർ വശത്തെ റദ്ദാക്കലുമാണ്, പ്രാദേശിക ഫോർമാറ്റ് മാറ്റമല്ല.
ഇടയ്ക്കുള്ള ഫയൽ ബോധപൂർവം ഇല്ലാതാക്കുക, നിങ്ങൾ ഇല്ലാതാക്കുന്ന പാത നിങ്ങൾ സൃഷ്ടിച്ചതാണെന്ന് ഉറപ്പാക്കുക.