Tneħħi l-passphrase ta' muftieħ jew żommha? Il-kopja li toħloq
Fajl tal-muftieħ mhux encrypted iżomm l-istess sigriet taħt protezzjoni aktar dgħajfa. Qabbel ir-riskju waqt il-paċi qabel ma tikkonverti, u kun af x'ma jneħħix.
Muftieħ privat encrypted u wieħed mhux encrypted iżommu l-istess materjal tal-muftieħ. Il-konverżjoni ma toħloqx identità ġdida, ma tirrisettjax kont VPN u ma tħassarx il-fajl l-antik. Hija tikteb it-tieni kopja, u dik il-kopja ġġorr riskju differenti waqt il-paċi.
Jekk l-iskambju jiswiex jiddependi minn fejn se jgħix il-fajl u min jista' jaqrah.
X'inhi tassew tbiddel il-konverżjoni
Qabel il-konverżjoni, il-muftieħ huwa protett minn passphrase li jipprovdi l-operatur. Wara l-konverżjoni, huwa protett mill-permessi tas-sistema tal-fajls u minn kwalunkwe kontroll tal-aċċess madwar il-fajl. Il-kriptografija ma nbidlitx; inbidel l-għadd ta' affarijiet bejn attakkant u l-muftieħ. Din hija l-paragun kollu.
Tabella tagħmel id-differenza konkreta.
| Form | What protects it | How it fails |
|---|---|---|
| Encrypted key | A passphrase plus file access | Weak passphrase, or an offline attack on the file |
| Unencrypted key | File permissions and host security only | Any reader copies it silently |
L-ebda waħda mill-forom mhija awtomatikament aktar sigura. Huma jonqsu b'modi differenti, u wieħed biss minn dawk il-modi jħalli entrata fil-log.
Meta huwa aħjar li żżomm il-passphrase
Jekk klijent appoġġjat jista' jitlob il-passphrase jew iġibha minn maħżen sigriet approvat, il-konverżjoni ma tixtri xejn. Żżomm kopja waħda, fruntiera ta' protezzjoni waħda u fajl wieħed inqas biex issegwi. Il-biċċa l-kbira tal-klijenti VPN li jaċċettaw muftiħiet PEM jistgħu jagħmlu dan.
Il-konverżjoni hija wkoll pass ħażin meta tim jaqsam il-muftieħ. Fajl mhux encrypted fuq host maqsum isir kredenzjali li kulħadd b'aċċess għall-shell jista' jikkopja.
Meta kopja mhux encrypted hija ġġustifikata
Xi servizzi ma jistgħux jitolbu, xi kontenituri jimmontaw sigrieti biss-qari, u xi apparati jaqraw fajl tal-muftieħ waqt il-boot mingħajr triq interattiva. F'dawn il-każijiet, muftieħ mhux encrypted f'direttorju ristrett kif suppost jista' jkun id-disinn appoġġjat. Il-ġustifikazzjoni hija l-ambjent, mhux il-konvenjenza.
Jekk ma tistax tgħid min jista' jaqra l-fajl u għaliex, it-tweġiba hija le.
Il-kmand u t-truf qawwija tiegħu
Għal muftieħ ibbażat fuq fajl appoġġjat minn OpenSSL 3.5, ir-referenza tal-pkey tiddokumenta t-tneħħija tal-passphrase u talba interattiva meta l-input ikun encrypted u ma jingħata l-ebda sors tal-password. Il-forma minima hija qasira, u huwa faċli li teżegwiha b'nuqqas ta' attenzjoni.
umask 077
openssl pkey -in protected-key.pem -out new-private-key.pemTliet truf qawwija. L-I/O tal-fajl tal-output mhuwiex atomiku, għalhekk triq tal-output eżistenti tista' tinqata' fin-nofs tal-kitba. Tużax it-triq tal-input bħala output, u ttesperimentax fuq l-unika kopja protetta. Daħħal il-passphrase fit-talba minflok fuq il-linja tal-kmand, fejn tispiċċa fl-istorja tas-shell.
Iċċekkja r-riżultat qabel ma tbiddel kwalunkwe konfigurazzjoni VPN: openssl pkey -in new-private-key.pem -pubout għandu jipprintja l-istess muftieħ pubbliku li kellek qabel.
X'ma tagħmilx il-konverżjoni
Hija ma tirtirx il-kopja encrypted, li għadha teżisti fejn ħallejtha. Hija ma tbiddilx il-password tal-kont VPN jew iċ-ċertifikat. U ma ssewwix espożizzjoni li diġà seħħet. Jekk muftieħ inxtered, is-soluzzjoni hija sostituzzjoni u rtirar fuq in-naħa tas-server, mhux bidla fil-format lokali.
Ħassar il-fajl intermedju b'mod intenzjonat, u kkonferma li t-triq li tħassar hija dik li ħloqt.