Frasa laluan kunci SSH melindungi fail, bukan laluan rangkaian

Cakera sandaran daripada komputer riba lama masih mengandungi kunci peribadi SSH, dan seseorang bertanya sama ada VPN melindunginya. Ia tidak, dan tidak pernah. VPN melindungi laluan antara dua rangkaian; frasa laluan melindungi fail; ejen melindungi sesi yang sedang berjalan. Tiga mekanisme berbeza, tiga cara kegagalan berbeza, dan salinan yang dicuri hanya mengambil peduli tentang dua yang pertama.

Frasa laluan milik fail itu

Frasa laluan kunci SSH menyulitkan bahan kunci peribadi semasa diam. Ia bukan kata laluan akaun yang dihantar ke pelayan, dan bukan kelayakan yang digunakan untuk menyertai VPN. Mengelirukan kedua-duanya membawa kepada perubahan yang tidak menangani pendedahan.

Manual ssh-keygen OpenSSH merangkumi pengendalian frasa laluan, termasuk suis -p yang menetapkan frasa laluan baharu pada kunci yang sudah wujud.

Untuk kunci yang sudah wujud, bentuk arahan itu mudah, dan ia menulis semula fail:

ssh-keygen -p -f ~/.ssh/id_ed25519

Gunakan proses penyelenggaraan dan pemulihan yang diluluskan oleh pemilik kunci, kerana ini penulisan, bukan pemeriksaan. Jangan terbitkan fail peribadi atau meletakkan frasa laluan sebenar pada baris arahan yang dikongsi. Menukar frasa laluan tidak menyulitkan semula salinan yang diambil lebih awal. Catat lokasi salinan lama dalam tiket supaya pemilik boleh memutuskan sama ada mahu memusnahkannya.

Salinan hidup lebih lama daripada komputer riba dan terowong

Sebaik sahaja fail kunci disalin, sambungan VPN aktif komputer riba tidak lagi mengatakan apa-apa tentangnya. Yang penting ialah sejauh mana fail itu sendiri dilindungi, dan pelayan mana yang masih mempercayai kunci awam yang sepadan.

Menukar frasa laluan pada fail semasa tidak menyentuh salinan, dan tidak mengeluarkan kunci awam yang sama daripada authorized_keys pada pelayan. Pembatalan dan penyulitan semula ialah tindakan berasingan.

Jadi anggap kunci peribadi yang bocor sebagai peristiwa identiti, bukan peristiwa rangkaian. Buang atau ganti kunci yang diterima melalui pelayan dan proses pendaftaran yang memilikinya. Menghentikan VPN mengehadkan satu laluan pada satu masa; itu bukan pembatalan.

Membuka kunci memindahkan rahsia ke dalam ejen

Ejen menyimpan identiti yang dinyahsulit untuk pengesahan kemudian, supaya pengguna tidak menaip semula frasa laluan pada setiap sambungan. Itu ciri kemudahan dengan sempadan keselamatannya sendiri.

ssh-agent boleh mengehadkan berapa lama identiti kekal dimuatkan melalui pilihan -t, dan tetapan setiap identiti boleh melebihi had itu. Pilih dasar untuk ejen yang benar-benar anda jalankan daripada menganggap pemutusan VPN melupakan setiap kunci yang dimuatkan.

Proses yang terjejas selepas kunci dibuka ialah masalah berbeza daripada fail tersulit yang dicuri. Memajukan ejen ke hos lain mewakilkan keupayaan pengesahan tanpa menyalin fail kunci, jadi hidupkannya hanya untuk keperluan yang diluluskan.

Senaraikan apa yang dipegang oleh ejen pada masa ini sebelum dan selepas perubahan:

ssh-add -l

Kerja tanpa pengawasan memerlukan rancangannya sendiri

Tugas berjadual tidak boleh menjawab gesaan. Ia memerlukan susunan kelayakan mesin yang diluluskan, dan menyimpan rahsia pembuka kunci dalam direktori yang sama dengan kunci, boleh dibaca oleh akaun yang sama, tidak mencipta sempadan kedua.

Bekerjasama dengan pemilik perkhidmatan tentang penghantaran rahsia yang disokong atau operasi berasaskan perkakasan, dan liputi pembaharuan, kegagalan dan pemulihan. Mahu ada manusia di papan kekunci mengubah rupa kegagalan berbanding hos yang bermula tanpa sesiapa memerhati.

Kekalkan juga pemeriksaan identiti hos pada pelayan dan sekatan akaunnya. Laluan VPN memberi anda laluan peribadi; ia tidak membuktikan bahawa setiap pendengar SSH yang anda capai ialah hos yang anda maksudkan. Catat pendengar dan cap jari kunci hos dalam inventori yang sama dengan kunci itu sendiri.

Sahkan sempadan secara berasingan

Uji setiap sempadan dengan soalannya sendiri. Adakah fail terbuka tanpa frasa laluan? Adakah ejen masih memegang identiti selepas pemutusan? Adakah pelayan masih menerima kunci awam?

Dua arahan menjawab yang pertama dan yang ketiga:

ssh-keygen -y -f ~/.ssh/id_ed25519
ssh -v [email protected]

Catat perlindungan fail, penggunaan kunci yang dibenarkan dan pembuangan di sebelah pelayan sebagai tiga item berasingan. Terowong, frasa laluan dan ejen masing-masing menjaga bahagian berbeza hubungan itu, dan hanya satu daripadanya tentang rangkaian.