Түлхүүрийн нууц үгийг устгах уу, эсвэл хадгалах уу? Таны үүсгэх хуулбар
Шифрлээгүй түлхүүрийн файл ижил нууцыг сул хамгаалалтаар хадгалдаг. Хөрвүүлэхийн өмнө тайван үеийн эрсдэлийг харьцуулж, энэ нь юуг буцаахгүйг мэдээрэй.
Шифрлэсэн хувийн түлхүүр ба шифрлээгүй түлхүүр ижил түлхүүрийн материалыг хадгална. Хөрвүүлэлт шинэ таних тэмдэг үүсгэхгүй, VPN бүртгэлийг шинэчлэхгүй, хуучин файлыг хүчингүй болгохгүй. Энэ нь хоёр дахь хуулбарыг бичих бөгөөд тэр хуулбар өөр тайван үеийн эрсдэл агуулна.
Энэ солилцоо үнэ цэнэтэй эсэх нь файл хаана байрлаж, хэн уншиж чадахаас хамаарна.
Хөрвүүлэлт үнэндээ юуг өөрчилдөг
Хөрвүүлэхийн өмнө түлхүүрийг операторын өгсөн нууц үг хамгаална. Хөрвүүлсний дараа файлын системийн зөвшөөрөл болон файлыг хүрээлсэн аливаа хандалтын хяналт хамгаална. Криптограф өөрчлөгдөөгүй; халдагч ба түлхүүрийн хооронд зогсох зүйлсийн тоо өөрчлөгдсөн. Энэ бол бүх харьцуулалт.
Хүснэгт ялгааг тодорхой болгоно.
| Form | What protects it | How it fails |
|---|---|---|
| Encrypted key | A passphrase plus file access | Weak passphrase, or an offline attack on the file |
| Unencrypted key | File permissions and host security only | Any reader copies it silently |
Аль ч хэлбэр автоматаар илүү аюулгүй биш. Тэд өөр өөр аргаар бүтэлгүйтдэг бөгөөд зөвхөн нэг арга нь логт бичлэг үлдээдэг.
Нууц үгийг хадгалах нь хэзээ дээр вэ
Хэрэв дэмжигдсэн клиент нууц үгийг асууж эсвэл зөвшөөрөгдсөн нууцын сангаас авч чадвал хөрвүүлэлт юу ч худалдаж авдаггүй. Та нэг хуулбар, нэг хамгаалалтын хил, хянахад нэг файл бага хадгална. PEM түлхүүр хүлээн авдаг ихэнх VPN клиент үүнийг хийж чадна.
Баг түлхүүрийг хуваалцах үед ч хөрвүүлэлт буруу алхам юм. Хуваалцсан хост дээрх шифрлээгүй файл shell хандалттай хэн бүхэн хуулж болох итгэмжлэл болдог.
Шифрлээгүй хуулбар хэзээ үндэслэлтэй вэ
Зарим үйлчилгээ асууж чадахгүй, зарим контейнер нууцыг зөвхөн унших байдлаар холбодог, зарим төхөөрөмж ачаалах үед интерактив замгүйгээр түлхүүрийн файлыг уншдаг. Ийм тохиолдолд зөв хязгаарласан хавтас доторх шифрлээгүй түлхүүр нь дэмжигдсэн загвар байж болно. Үндэслэл нь орчин, тав тух биш.
Хэрэв файлыг хэн уншиж чадах, яагаад гэдгийг хэлж чадахгүй бол хариулт нь үгүй.
Команд ба түүний хурц ирмэгүүд
OpenSSL 3.5 дэмждэг файлд суурилсан түлхүүрийн хувьд pkey лавлагаа нь нууц үгийг устгах болон оролт шифрлэгдсэн, нууц үгийн эх сурвалж өгөөгүй үед интерактив сануулгын талаар баримтжуулдаг. Хамгийн бага хэлбэр нь богино бөгөөд үүнийг болгоомжгүй ажиллуулахад хялбар.
umask 077
openssl pkey -in protected-key.pem -out new-private-key.pemГурван хурц ирмэг. Гаралтын файлын I/O нь атомт биш тул одоо байгаа гаралтын зам бичилтийн дунд таслагдаж болно. Оролтын замыг гаралт болгон бүү ашигла, цорын ганц хамгаалагдсан хуулбар дээр туршилт бүү хий. Нууц үгийг командын мөрөнд биш, сануулгад оруул, учир нь тэнд shell-ийн түүхэнд ордог.
Аливаа VPN тохиргоог өөрчлөхийн өмнө үр дүнг шалгана уу: openssl pkey -in new-private-key.pem -pubout өмнө байсан ижил нийтийн түлхүүрийг хэвлэх ёстой.
Хөрвүүлэлт юу хийдэггүй вэ
Энэ нь шифрлэсэн хуулбарыг цуцлахгүй, тэр нь хаана ч орхиосон байсан хэвээр байна. Энэ нь VPN бүртгэлийн нууц үг эсвэл гэрчилгээг өөрчлөхгүй. Мөн аль хэдийн болсон ил боллыг засдаггүй. Хэрэв түлхүүр алдагдсан бол шийдэл нь солих ба сервер талаас цуцлах бөгөөд локал форматын өөрчлөлт биш.
Завсрын файлыг санаатайгаар устгаж, устгаж буй зам нь таны үүсгэсэн зам мөн эсэхийг баталгаажуул.