किल्लीचा पासफ्रेझ काढायचा की ठेवायचा? तुम्ही तयार करता ती प्रत
एन्क्रिप्ट न केलेली किल्ली फाइल तेच रहस्य कमकुवत संरक्षणाखाली ठेवते। रूपांतर करण्यापूर्वी विश्रांतीतील जोखीम तुलना करा आणि ते काय पूर्ववत करत नाही हे जाणून घ्या।
एन्क्रिप्ट केलेली खाजगी किल्ली आणि एन्क्रिप्ट न केलेली किल्ली एकच किल्ली सामग्री ठेवतात। रूपांतर नवीन ओळख तयार करत नाही, VPN खाते रीसेट करत नाही किंवा जुनी फाइल अवैध करत नाही। ते दुसरी प्रत लिहिते, आणि ती प्रत वेगळी विश्रांती-जोखीम घेऊन येते।
ही देवघेव फायद्याची आहे की नाही हे फाइल कुठे राहील आणि कोण ती वाचू शकेल यावर अवलंबून आहे।
रूपांतर प्रत्यक्षात काय बदलते
रूपांतरापूर्वी, किल्ली ऑपरेटरने दिलेल्या पासफ्रेझने संरक्षित असते। रूपांतरानंतर, ती फाइलसिस्टम परवानग्या आणि फाइलभोवतीच्या कोणत्याही प्रवेश नियंत्रणाने संरक्षित असते। क्रिप्टोग्राफी बदललेली नाही; हल्लेखोर आणि किल्ली यांच्यामध्ये उभ्या असलेल्या गोष्टींची संख्या बदलली आहे। हीच संपूर्ण तुलना।
तक्ता फरक ठोस करतो।
| Form | What protects it | How it fails |
|---|---|---|
| Encrypted key | A passphrase plus file access | Weak passphrase, or an offline attack on the file |
| Unencrypted key | File permissions and host security only | Any reader copies it silently |
कोणतेही स्वरूप आपोआप अधिक सुरक्षित नाही। ते वेगवेगळ्या प्रकारे अपयशी होतात, आणि त्यातील फक्त एकच प्रकार लॉगमध्ये नोंद ठेवतो।
पासफ्रेझ ठेवणे केव्हा चांगले
जर समर्थित क्लायंट पासफ्रेझसाठी विचारू शकत असेल किंवा मंजूर रहस्य भांडारातून ती आणू शकत असेल, तर रूपांतर काहीही खरेदी करत नाही। तुम्ही एक प्रत, एक संरक्षण सीमा आणि मागोवा घेण्यासाठी एक फाइल कमी ठेवता। PEM किल्ल्या स्वीकारणारे बहुतेक VPN क्लायंट हे करू शकतात।
जेव्हा संघ किल्ली सामायिक करतो तेव्हाही रूपांतर चुकीचे पाऊल आहे। सामायिक होस्टवरील एन्क्रिप्ट न केलेली फाइल अशी ओळखपत्र बनते जी शेल प्रवेश असलेला कोणीही कॉपी करू शकतो।
एन्क्रिप्ट न केलेली प्रत केव्हा न्याय्य आहे
काही सेवा विचारू शकत नाहीत, काही कंटेनर रहस्ये फक्त-वाचन म्हणून माउंट करतात, आणि काही उपकरणे बूटवेळी कोणत्याही इंटरॅक्टिव्ह मार्गाशिवाय किल्ली फाइल वाचतात। अशा बाबतीत, योग्यरीत्या मर्यादित डिरेक्टरीतील एन्क्रिप्ट न केलेली किल्ली समर्थित रचना असू शकते। न्याय्यता पर्यावरण आहे, सोय नाही।
फाइल कोण वाचू शकतो आणि का हे तुम्ही सांगू शकत नसल्यास, उत्तर नाही आहे।
कमांड आणि तिच्या तीक्ष्ण कडा
OpenSSL 3.5 द्वारे समर्थित फाइल-आधारित किल्लीसाठी, pkey संदर्भ पासफ्रेझ काढणे आणि इनपुट एन्क्रिप्ट केलेले असताना आणि पासवर्ड स्रोत दिलेला नसताना इंटरॅक्टिव्ह प्रॉम्प्टचे दस्तऐवजीकरण करते। किमान स्वरूप लहान आहे, आणि ते निष्काळजीपणे चालवणे सोपे आहे।
umask 077
openssl pkey -in protected-key.pem -out new-private-key.pemतीन तीक्ष्ण कडा। आउटपुट फाइल I/O अण्विक नाही, त्यामुळे विद्यमान आउटपुट मार्ग लिहिण्याच्या मध्यभागी कापला जाऊ शकतो। इनपुट मार्ग आउटपुट म्हणून वापरू नका, आणि एकमेव संरक्षित प्रतीवर प्रयोग करू नका। पासफ्रेझ कमांड लाइनवर नाही, प्रॉम्प्टवर द्या, जिथे ती शेल इतिहासात जाते।
कोणतेही VPN कॉन्फिगरेशन बदलण्यापूर्वी निकाल तपासा: openssl pkey -in new-private-key.pem -pubout पूर्वी तुमच्याकडे असलेली तीच सार्वजनिक किल्ली छापली पाहिजे।
रूपांतर काय करत नाही
ते एन्क्रिप्ट केलेली प्रत रद्द करत नाही, जी तुम्ही जिथे सोडली तिथे अजूनही आहे। ते VPN खात्याचा पासवर्ड किंवा प्रमाणपत्र बदलत नाही। आणि आधीच घडलेले उघड होणे ते दुरुस्त करत नाही। जर किल्ली गळली असेल, तर उपाय म्हणजे बदली आणि सर्व्हर-बाजूचे रद्दीकरण, स्थानिक स्वरूप बदल नाही।
मधली फाइल जाणूनबुजून हटवा, आणि तुम्ही हटवत असलेला मार्ग तुम्ही तयार केलेलाच आहे याची खात्री करा।