SSH കീയുടെ പാസ്ഫ്രേസ് ഫയലിനെ സംരക്ഷിക്കുന്നു, പാതയെയല്ല

പഴയ ലാപ്ടോപ്പിന്റെ ബാക്കപ്പ് ഡ്രൈവിൽ ഇപ്പോഴും ഒരു സ്വകാര്യ SSH കീ ഉണ്ട്, ഒപ്പം VPN അതിനെ സംരക്ഷിക്കുന്നുണ്ടോ എന്ന് ആരോ ചോദിക്കുന്നു. സംരക്ഷിക്കുന്നില്ല, ഒരിക്കലും സംരക്ഷിച്ചിട്ടുമില്ല. VPN രണ്ട് നെറ്റ്വർക്കുകൾക്കിടയിലുള്ള പാതയെ സംരക്ഷിക്കുന്നു; പാസ്ഫ്രേസ് ഫയലിനെ സംരക്ഷിക്കുന്നു; ഏജന്റ് പ്രവർത്തിക്കുന്ന സെഷനെ സംരക്ഷിക്കുന്നു. മൂന്ന് വ്യത്യസ്ത സംവിധാനങ്ങൾ, മൂന്ന് വ്യത്യസ്ത പരാജയ മാർഗങ്ങൾ, മോഷ്ടിക്കപ്പെട്ട ഒരു പകർപ്പിന് ആദ്യ രണ്ടിനെക്കുറിച്ച് മാത്രമേ കാര്യമുള്ളൂ.

പാസ്ഫ്രേസ് ഫയലിനുള്ളതാണ്

SSH കീയുടെ പാസ്ഫ്രേസ് വിശ്രമത്തിലുള്ള സ്വകാര്യ കീ വസ്തുവിനെ എൻക്രിപ്റ്റ് ചെയ്യുന്നു. സെർവറിലേക്ക് അയയ്ക്കുന്ന അക്കൗണ്ട് പാസ്വേഡല്ല അത്, VPN-ൽ ചേരാൻ ഉപയോഗിക്കുന്ന ക്രെഡൻഷ്യലുമല്ല. ഇവ കൂട്ടിക്കുഴയ്ക്കുന്നത് എക്സ്പോഷർ പരിഹരിക്കാത്ത മാറ്റങ്ങളിലേക്ക് നയിക്കുന്നു.

OpenSSH-ന്റെ ssh-keygen കൈപ്പുസ്തകം പാസ്ഫ്രേസുകൾ കൈകാര്യം ചെയ്യുന്നത് ഉൾക്കൊള്ളുന്നു, ഇപ്പോൾ നിലവിലുള്ള ഒരു കീയിൽ പുതിയ പാസ്ഫ്രേസ് സജ്ജമാക്കുന്ന -p സ്വിച്ച് ഉൾപ്പെടെ.

നിലവിലുള്ള കീയ്ക്ക് കമാൻഡിന്റെ രൂപം ലളിതമാണ്, അത് ഫയൽ വീണ്ടും എഴുതുന്നു:

ssh-keygen -p -f ~/.ssh/id_ed25519

ഇത് പരിശോധനയല്ല, എഴുത്താണ്, അതിനാൽ കീ ഉടമയുടെ അംഗീകൃത പരിപാലന-പുനഃസ്ഥാപന പ്രക്രിയ ഉപയോഗിക്കുക. സ്വകാര്യ ഫയൽ പ്രസിദ്ധീകരിക്കരുത്, പങ്കിട്ട കമാൻഡ് ലൈനിൽ യഥാർത്ഥ പാസ്ഫ്രേസ് ഇടരുത്. പാസ്ഫ്രേസ് മാറ്റുന്നത് മുൻപ് എടുത്ത പകർപ്പിനെ വീണ്ടും എൻക്രിപ്റ്റ് ചെയ്യുന്നില്ല. പഴയ പകർപ്പിന്റെ സ്ഥാനം ടിക്കറ്റിൽ രേഖപ്പെടുത്തുക, അത് നശിപ്പിക്കണമോ എന്ന് ഉടമയ്ക്ക് തീരുമാനിക്കാം.

പകർപ്പ് ലാപ്ടോപ്പിനെയും ടണലിനെയും അതിജീവിക്കുന്നു

ഒരു കീ ഫയൽ പകർത്തിക്കഴിഞ്ഞാൽ, ലാപ്ടോപ്പിന്റെ ലൈവ് VPN കണക്ഷൻ അതിനെക്കുറിച്ച് ഒന്നും പറയുന്നില്ല. പ്രധാനമായത് ഫയൽ തന്നെ എത്ര നന്നായി സംരക്ഷിക്കപ്പെട്ടിരിക്കുന്നു എന്നതും, ഏത് സെർവറുകൾ ഇപ്പോഴും പൊരുത്തപ്പെടുന്ന പൊതു കീയിൽ വിശ്വസിക്കുന്നു എന്നതുമാണ്.

നിലവിലെ ഫയലിലെ പാസ്ഫ്രേസ് മാറ്റുന്നത് പകർപ്പിനെ സ്പർശിക്കുന്നില്ല, സെർവറിലെ authorized_keys-ൽ നിന്ന് അതേ പൊതു കീ നീക്കം ചെയ്യുന്നുമില്ല. റദ്ദാക്കലും വീണ്ടും എൻക്രിപ്ഷനും വേർതിരിച്ച പ്രവർത്തനങ്ങളാണ്.

അതിനാൽ ചോർന്ന സ്വകാര്യ കീയെ നെറ്റ്വർക്ക് സംഭവമല്ല, ഐഡന്റിറ്റി സംഭവമായി കാണുക. അംഗീകരിച്ച കീ അത് കൈവശമുള്ള സെർവറുകളും രജിസ്ട്രേഷൻ പ്രക്രിയയും വഴി നീക്കം ചെയ്യുകയോ മാറ്റുകയോ ചെയ്യുക. VPN നിർത്തുന്നത് ഒരു നിമിഷത്തിൽ ഒരു പാത മാത്രം പരിമിതപ്പെടുത്തുന്നു; അത് റദ്ദാക്കലല്ല.

അൺലോക്ക് ചെയ്യുന്നത് രഹസ്യത്തെ ഏജന്റിലേക്ക് മാറ്റുന്നു

ഏജന്റ് പിന്നീടുള്ള പ്രാമാണീകരണത്തിനായി ഡീക്രിപ്റ്റ് ചെയ്ത ഐഡന്റിറ്റികൾ സൂക്ഷിക്കുന്നു, അതിനാൽ ഉപയോക്താവ് ഓരോ കണക്ഷനിലും പാസ്ഫ്രേസ് വീണ്ടും ടൈപ്പ് ചെയ്യേണ്ടതില്ല. ഇത് സ്വന്തം സുരക്ഷാ അതിർത്തിയുള്ള ഒരു സൗകര്യ സവിശേഷതയാണ്.

ssh-agent തന്റെ -t ഓപ്ഷൻ വഴി ഒരു ഐഡന്റിറ്റി എത്ര സമയം ലോഡ് ചെയ്തിരിക്കും എന്ന് പരിമിതപ്പെടുത്താം, ഓരോ ഐഡന്റിറ്റിയുടെ ക്രമീകരണം ആ പരിധി മറികടക്കാം. VPN വിച്ഛേദിക്കുമ്പോൾ ലോഡ് ചെയ്ത എല്ലാ കീയും മറക്കുമെന്ന് കരുതുന്നതിനുപകരം നിങ്ങൾ യഥാർത്ഥത്തിൽ പ്രവർത്തിപ്പിക്കുന്ന ഏജന്റിന് നയം തിരഞ്ഞെടുക്കുക.

കീ അൺലോക്ക് ചെയ്ത ശേഷം വിട്ടുപോകുന്ന പ്രോസസ് മോഷ്ടിച്ച എൻക്രിപ്റ്റ് ഫയലിൽ നിന്ന് വ്യത്യസ്തമായ പ്രശ്നമാണ്. ഏജന്റ് മറ്റൊരു ഹോസ്റ്റിലേക്ക് ഫോർവേഡ് ചെയ്യുന്നത് കീ ഫയൽ പകർത്താതെ പ്രാമാണീകരണ കഴിവ് നൽകുന്നു, അതിനാൽ അംഗീകൃത ആവശ്യത്തിന് മാത്രം അത് പ്രവർത്തനക്ഷമമാക്കുക.

മാറ്റത്തിന് മുൻപും ശേഷവും ഏജന്റ് ഇപ്പോൾ എന്താണ് സൂക്ഷിക്കുന്നത് എന്ന് പട്ടികപ്പെടുത്തുക:

ssh-add -l

മേൽനോട്ടമില്ലാത്ത ജോലികൾക്ക് സ്വന്തം പദ്ധതി വേണം

ഷെഡ്യൂൾ ചെയ്ത ജോലിക്ക് ഒരു പ്രോംപ്റ്റിന് ഉത്തരം നൽകാനാവില്ല. അതിന് അംഗീകൃത മെഷീൻ ക്രെഡൻഷ്യൽ ക്രമീകരണം വേണം, അൺലോക്കിംഗ് രഹസ്യം കീയുടെ അതേ ഡയറക്ടറിയിൽ, അതേ അക്കൗണ്ടിന് വായിക്കാവുന്നതായി സൂക്ഷിക്കുന്നത് രണ്ടാമത്തെ അതിർത്തി സൃഷ്ടിക്കുന്നില്ല.

പിന്തുണയുള്ള രഹസ്യ വിതരണത്തിലോ ഹാർഡ്വെയർ അധിഷ്ഠിത പ്രവർത്തനത്തിലോ സേവന ഉടമയുമായി ചേർന്ന് പ്രവർത്തിക്കുക, പുതുക്കൽ, പരാജയം, വീണ്ടെടുക്കൽ എന്നിവ ഉൾക്കൊള്ളുക. കീബോർഡിന് മുന്നിൽ ഒരു മനുഷ്യനെ വേണമെന്ന ആഗ്രഹം, ആരും നോക്കാതെ ബൂട്ട് ചെയ്യുന്ന ഹോസ്റ്റുമായി താരതമ്യപ്പെടുത്തുമ്പോൾ പരാജയത്തിന്റെ രൂപം മാറ്റുന്നു.

സെർവറിന്റെ ഹോസ്റ്റ് ഐഡന്റിറ്റി പരിശോധനയും അതിന്റെ അക്കൗണ്ട് നിയന്ത്രണങ്ങളും നിലനിർത്തുക. VPN പാത നിങ്ങൾക്ക് ഒരു സ്വകാര്യ വഴി നൽകുന്നു; നിങ്ങൾ എത്തുന്ന ഓരോ SSH ശ്രോതാവും ഉദ്ദേശിച്ച ഹോസ്റ്റാണെന്ന് അത് തെളിയിക്കുന്നില്ല. ശ്രോതാവും ഹോസ്റ്റ് കീയുടെ വിരലടയാളവും കീയുടെ അതേ ലെഡ്ജറിൽ രേഖപ്പെടുത്തുക.

അതിർത്തികൾ വേർതിരിച്ച് പരിശോധിക്കുക

ഓരോ അതിർത്തിയും അതിന്റേതായ ചോദ്യം കൊണ്ട് പരീക്ഷിക്കുക. പാസ്ഫ്രേസ് ഇല്ലാതെ ഫയൽ തുറക്കുന്നുണ്ടോ? വിച്ഛേദിച്ച ശേഷവും ഏജന്റ് ഐഡന്റിറ്റി സൂക്ഷിക്കുന്നുണ്ടോ? സെർവർ ഇപ്പോഴും പൊതു കീ സ്വീകരിക്കുന്നുണ്ടോ?

രണ്ട് കമാൻഡുകൾ ഒന്നാമത്തെയും മൂന്നാമത്തെയും ചോദ്യങ്ങൾക്ക് ഉത്തരം നൽകുന്നു:

ssh-keygen -y -f ~/.ssh/id_ed25519
ssh -v [email protected]

ഫയൽ സംരക്ഷണം, അനുവദനീയമായ കീ ഉപയോഗം, സെർവർ ഭാഗത്തുള്ള നീക്കം എന്നിവ മൂന്ന് വേർതിരിച്ച വരികളായി രേഖപ്പെടുത്തുക. ടണൽ, പാസ്ഫ്രേസ്, ഏജന്റ് എന്നിവ ഓരോന്നും ബന്ധത്തിന്റെ വ്യത്യസ്ത ഭാഗം കാത്തുസൂക്ഷിക്കുന്നു, അവയിൽ ഒന്ന് മാത്രമാണ് നെറ്റ്വർക്കിനെക്കുറിച്ച്.