Frażi sigrieta ta’ ċavetta SSH tipproteġi l-fajl, mhux ir-rotta

Diska ta’ backup minn laptop antik għadha fiha ċavetta SSH privata, u xi ħadd jistaqsi jekk il-VPN tipproteġihiex. Ma tipproteġihx, u qatt ma għamlet hekk. Il-VPN tipproteġi mogħdija bejn żewġ netwerks; il-frażi sigrieta tipproteġi l-fajl; l-aġent jipproteġi sessjoni li tkun għaddeja. Tliet mekkaniżmi differenti, tliet modi differenti ta’ falliment, u kopja misruqa tinteressa ruħha biss fl-ewwel tnejn.

Il-frażi sigrieta tappartjeni għall-fajl

Il-frażi sigrieta taċ-ċavetta SSH tikkripta l-materjal taċ-ċavetta privata waqt il-mistrieħ. Mhijiex il-password tal-kont li tintbagħat lis-server, u mhijiex il-kredenzjali użata biex tingħaqad mal-VPN. Li tħallathom twassal għal tibdil li ma jindirizzax l-espożizzjoni.

Il-manwal ta’ ssh-keygen tal-OpenSSH ikopri l-immaniġġjar tal-frażijiet sigrieti, inkluż is-swiċċ -p li jistabbilixxi frażi sigrieta ġdida fuq ċavetta li diġà teżisti.

Għal ċavetta eżistenti l-forma tal-kmand hija sempliċi, u jerġa’ jikteb il-fajl:

ssh-keygen -p -f ~/.ssh/id_ed25519

Uża l-proċess ta’ manutenzjoni u rkupru approvat mis-sid taċ-ċavetta, għax dan huwa kitba, mhux spezzjoni. Tippubblikax il-fajl privat u tpoġġix frażi sigrieta vera fuq linja ta’ kmand maqsuma. Bidla fil-frażi sigrieta ma terġax tikkripta kopja li ttieħdet qabel. Innota l-post tal-kopja l-qadima fit-ticket sabiex is-sid jiddeċiedi jekk jeqridhiex.

Kopja tgħix aktar mil-laptop u mill-mina

Ladarba fajl taċ-ċavetta jiġi kkopjat, il-konnessjoni VPN attiva tal-laptop ma tgħid xejn aktar dwaru. Dak li jgħodd huwa kemm hu mħares il-fajl innifsu, u liema servers għadhom jafdaw iċ-ċavetta pubblika li taqbel.

Li tbiddel il-frażi sigrieta tal-fajl attwali ma tmissx il-kopja, u ma tneħħix l-istess ċavetta pubblika minn authorized_keys fuq server. Ir-revoka u l-kriptaġġ mill-ġdid huma azzjonijiet separati.

Għalhekk ittratta ċavetta privata li nfiret bħala avveniment tal-identità, mhux avveniment tan-netwerk. Neħħi jew ibdel iċ-ċavetta aċċettata permezz tas-servers u l-proċess tar-reġistrazzjoni li jippossjeduha. Li twaqqaf il-VPN jillimita rotta waħda f’mument wieħed; mhijiex revoka.

L-isblukkar iċaqlaq is-sigriet f’aġent

Aġent iżomm identitajiet dekriptati għal awtentikazzjoni aktar tard, sabiex l-utent ma jerġax jikteb il-frażi sigrieta għal kull konnessjoni. Din hija faċilità b’konfini ta’ sigurtà tagħha stess.

ssh-agent jista’ jillimita kemm identità tibqa’ mgħobbija permezz tal-opzjoni -t tiegħu, u konfigurazzjoni għal kull identità tista’ taqbeż dak il-limitu. Agħżel il-politika għall-aġent li tassew tmexxi minflok ma tassumi li skonnessjoni tal-VPN tinsa kull ċavetta mgħobbija.

Proċess li jiġi kompromess wara li tiġi sblukkata ċ-ċavetta huwa problema differenti minn fajl kriptat misruq. Li tibgħat l-aġent lil host ieħor tiddelega l-kapaċità tal-awtentikazzjoni mingħajr ma tikkopja l-fajl taċ-ċavetta, għalhekk ippermettiha biss għal bżonn approvat.

Elenka dak li l-aġent qed iżomm bħalissa qabel u wara bidla:

ssh-add -l

Xogħlijiet mingħajr sorveljanza jeħtieġu l-pjan tagħhom

Xogħol skedat ma jistax iwieġeb mistoqsija. Jeħtieġ arranġament approvat ta’ kredenzjali tal-magna, u li żżomm is-sigriet tal-isblukkar fl-istess direttorju taċ-ċavetta, li jinqara mill-istess kont, ma joħloqx it-tieni konfini.

Aħdem mas-sid tas-servizz fuq twassil ta’ sigrieti appoġġjat jew operazzjoni bbażata fuq il-ħardwer, u kopri tiġdid, falliment u rkupru. Li trid bniedem quddiem il-keyboard ibiddel kif jidher falliment meta mqabbel ma’ host li jibda mingħajr ħadd iħares.

Żomm ukoll il-verifika tal-identità tal-host fuq is-server u r-restrizzjonijiet tal-kont tiegħu. Rotta VPN tagħtik mogħdija privata; ma tipprovax li kull semmiegħa SSH li tasal għaliha hija l-host li kellek f’moħħok. Irreġistra s-semmiegħa u l-impronta taċ-ċavetta tal-host fl-istess inventarju bħaċ-ċavetta stess.

Ivverifika l-konfini separatament

Ittestja kull konfini bil-mistoqsija tiegħu. Il-fajl jinfetaħ mingħajr il-frażi sigrieta? L-aġent għadu jżomm l-identità wara skonnessjoni? Is-server għadu jaċċetta ċ-ċavetta pubblika?

Żewġ kmandi jwieġbu għall-ewwel u għat-tielet:

ssh-keygen -y -f ~/.ssh/id_ed25519
ssh -v [email protected]

Irreġistra l-protezzjoni tal-fajl, l-użu permess taċ-ċavetta u t-tneħħija fuq in-naħa tas-server bħala tliet linji separati. Mina, frażi sigrieta u aġent kull wieħed iħares parti differenti tar-relazzjoni, u wieħed biss minnhom dwar in-netwerk.