Buang frasa laluan kunci atau kekalkannya? Salinan yang anda cipta
Fail kunci tanpa penyulitan menyimpan rahsia yang sama di sebalik perlindungan yang lebih lemah. Bandingkan risiko semasa rehat sebelum menukar, dan ketahui apa yang tidak dibatalkannya.
Kunci peribadi yang disulitkan dan kunci tanpa penyulitan menyimpan bahan kunci yang sama. Penukaran tidak mencipta identiti baharu, tidak menetapkan semula akaun VPN dan tidak membatalkan fail lama. Ia menulis salinan kedua, dan salinan itu membawa risiko semasa rehat yang berbeza.
Sama ada pertukaran itu berbaloi bergantung pada tempat fail akan tinggal dan siapa yang boleh membacanya.
Apa yang sebenarnya diubah oleh penukaran
Sebelum penukaran, kunci dilindungi oleh frasa laluan yang dibekalkan oleh pengendali. Selepas penukaran, ia dilindungi oleh kebenaran sistem fail dan apa-apa kawalan akses yang mengelilingi fail. Kriptografi tidak berubah; bilangan perkara yang berdiri antara penyerang dan kunci telah berubah. Itulah keseluruhan perbandingan.
Jadual menjadikan perbezaannya konkrit.
| Form | What protects it | How it fails |
|---|---|---|
| Encrypted key | A passphrase plus file access | Weak passphrase, or an offline attack on the file |
| Unencrypted key | File permissions and host security only | Any reader copies it silently |
Tiada satu bentuk pun yang lebih selamat secara automatik. Kedua-duanya gagal dengan cara yang berbeza, dan hanya satu daripada cara itu meninggalkan entri log.
Bila menyimpan frasa laluan lebih baik
Jika klien yang disokong boleh meminta frasa laluan atau mengambilnya dari stor rahsia yang diluluskan, penukaran tidak membeli apa-apa. Anda menyimpan satu salinan, satu sempadan perlindungan dan satu fail kurang untuk dijejaki. Kebanyakan klien VPN yang menerima kunci PEM boleh melakukannya.
Penukaran juga langkah yang salah apabila pasukan berkongsi kunci. Fail tanpa penyulitan pada hos kongsi menjadi kelayakan yang boleh disalin oleh sesiapa yang mempunyai akses shell.
Bila salinan tanpa penyulitan wajar
Sesetengah perkhidmatan tidak boleh meminta, sesetengah bekas memasang rahsia sebagai baca sahaja, dan sesetengah peranti membaca fail kunci semasa but tanpa laluan interaktif. Dalam kes itu, kunci tanpa penyulitan di dalam direktori yang dihadkan dengan betul boleh menjadi reka bentuk yang disokong. Justifikasinya ialah persekitaran, bukan kemudahan.
Jika anda tidak boleh menyatakan siapa yang boleh membaca fail itu dan mengapa, jawapannya tidak.
Perintah dan sisi tajamnya
Untuk kunci berasaskan fail yang disokong oleh OpenSSL 3.5, rujukan pkey mendokumenkan pembuangan frasa laluan dan gesaan interaktif apabila input disulitkan dan tiada sumber kata laluan diberikan. Bentuk minimumnya pendek, dan mudah menjalankannya dengan cuai.
umask 077
openssl pkey -in protected-key.pem -out new-private-key.pemTiga sisi tajam. I/O fail output tidak atomik, jadi laluan output sedia ada boleh dipotong di tengah penulisan. Jangan gunakan laluan input sebagai output, dan jangan bereksperimen pada satu-satunya salinan yang dilindungi. Masukkan frasa laluan pada gesaan, bukan pada baris perintah, di mana ia masuk ke sejarah shell.
Semak hasilnya sebelum menukar mana-mana konfigurasi VPN: openssl pkey -in new-private-key.pem -pubout sepatutnya mencetak kunci awam yang sama seperti yang anda ada sebelum ini.
Apa yang tidak dilakukan oleh penukaran
Ia tidak membatalkan salinan yang disulitkan, yang masih wujud di mana pun anda meninggalkannya. Ia tidak menukar kata laluan akaun VPN atau sijil. Dan ia tidak membaiki pendedahan yang sudah berlaku. Jika kunci bocor, penyelesaiannya ialah penggantian dan pembatalan di pihak pelayan, bukan perubahan format setempat.
Padam fail perantaraan dengan sengaja, dan pastikan laluan yang anda padam ialah laluan yang anda cipta.