कुञ्जीको पासफ्रेज हटाउने कि राख्ने? तपाईंले बनाउने प्रतिलिपि
इन्क्रिप्ट नगरिएको कुञ्जी फाइलले त्यही रहस्य कमजोर सुरक्षामा राख्छ। रूपान्तरण गर्नुअघि विश्रामको जोखिम तुलना गर्नुहोस् र यसले के फिर्ता गर्दैन जान्नुहोस्।
इन्क्रिप्ट गरिएको निजी कुञ्जी र इन्क्रिप्ट नगरिएको कुञ्जीले एउटै कुञ्जी सामग्री राख्छन्। रूपान्तरणले नयाँ पहिचान बनाउँदैन, VPN खाता रिसेट गर्दैन र पुरानो फाइल अमान्य गर्दैन। यसले दोस्रो प्रतिलिपि लेख्छ, र त्यो प्रतिलिपिले फरक विश्राम-जोखिम बोक्छ।
यो साटासाट फाइदाजनक छ कि छैन भन्ने फाइल कहाँ रहन्छ र कसले पढ्न सक्छ भन्नेमा निर्भर गर्छ।
रूपान्तरणले वास्तवमा के बदल्छ
रूपान्तरणअघि, कुञ्जीलाई अपरेटरले दिने पासफ्रेजले सुरक्षित राख्छ। रूपान्तरणपछि, यसलाई फाइलसिस्टम अनुमति र फाइल वरपरका कुनै पनि पहुँच नियन्त्रणले सुरक्षित राख्छ। क्रिप्टोग्राफी बदलिएको छैन; आक्रमणकारी र कुञ्जीबीच उभिएका कुराहरूको संख्या बदलिएको छ। त्यो नै सम्पूर्ण तुलना हो।
एक तालिकाले भिन्नतालाई ठोस बनाउँछ।
| Form | What protects it | How it fails |
|---|---|---|
| Encrypted key | A passphrase plus file access | Weak passphrase, or an offline attack on the file |
| Unencrypted key | File permissions and host security only | Any reader copies it silently |
कुनै पनि रूप आफैंमा बढी सुरक्षित छैन। ती फरक तरिकाले असफल हुन्छन्, र ती मध्ये एक तरिकाले मात्र लगमा प्रविष्टि छोड्छ।
कहिले पासफ्रेज राख्नु राम्रो हुन्छ
यदि समर्थित क्लाइन्टले पासफ्रेज माग्न सक्छ वा स्वीकृत गोप्य भण्डारबाट ल्याउन सक्छ भने, रूपान्तरणले केही किन्ने छैन। तपाईं एउटा प्रतिलिपि, एउटा सुरक्षा सीमा र ट्र्याक गर्न एक फाइल कम राख्नुहुन्छ। PEM कुञ्जी स्वीकार गर्ने अधिकांश VPN क्लाइन्टले यो गर्न सक्छन्।
टोलीले कुञ्जी साझा गर्दा पनि रूपान्तरण गलत कदम हो। साझा होस्टमा इन्क्रिप्ट नगरिएको फाइल शेल पहुँच भएको जोसुकैले प्रतिलिपि गर्न सक्ने प्रमाणपत्र बन्छ।
कहिले इन्क्रिप्ट नगरिएको प्रतिलिपि न्यायोचित हुन्छ
केही सेवाले माग्न सक्दैनन्, केही कन्टेनरले गोप्य कुरा पढ्न-मात्र माउन्ट गर्छन्, र केही यन्त्रले बुटमा कुनै अन्तरक्रियात्मक बाटो बिना कुञ्जी फाइल पढ्छन्। त्यस्ता अवस्थामा, राम्ररी सीमित डाइरेक्टरीभित्रको इन्क्रिप्ट नगरिएको कुञ्जी समर्थित डिजाइन हुन सक्छ। औचित्य वातावरण हो, सुविधा होइन।
फाइल कसले पढ्न सक्छ र किन भन्न सक्नुहुन्न भने, उत्तर होइन हो।
आदेश र यसका धारिला किनारा
OpenSSL 3.5 ले समर्थन गर्ने फाइल-आधारित कुञ्जीका लागि, pkey सन्दर्भ ले पासफ्रेज हटाउने र इनपुट इन्क्रिप्ट गरिएको र पासवर्ड स्रोत दिइएको छैन भने अन्तरक्रियात्मक प्रम्प्टको दस्तावेजीकरण गर्छ। न्यूनतम रूप छोटो छ, र यसलाई लापरवाहीपूर्वक चलाउन सजिलो छ।
umask 077
openssl pkey -in protected-key.pem -out new-private-key.pemतीन धारिला किनारा। आउटपुट फाइल I/O परमाणु छैन, त्यसैले विद्यमान आउटपुट मार्ग लेखनको बीचमा काटिन सक्छ। इनपुट मार्गलाई आउटपुटका रूपमा प्रयोग नगर्नुहोस्, र एकमात्र सुरक्षित प्रतिलिपिमा प्रयोग नगर्नुहोस्। पासफ्रेज कमाण्ड लाइनमा नभई प्रम्प्टमा प्रविष्ट गर्नुहोस्, जहाँ यो शेल इतिहासमा पर्छ।
कुनै पनि VPN कन्फिगरेसन बदल्नुअघि नतिजा जाँच्नुहोस्: openssl pkey -in new-private-key.pem -pubout ले पहिले तपाईंसँग भएको त्यही सार्वजनिक कुञ्जी प्रिन्ट गर्नुपर्छ।
रूपान्तरणले के गर्दैन
यसले इन्क्रिप्ट गरिएको प्रतिलिपि रद्द गर्दैन, जो तपाईंले जहाँ छोड्नुभयो त्यहीँ अझै छ। यसले VPN खाताको पासवर्ड वा प्रमाणपत्र बदल्दैन। र पहिले नै भइसकेको खुलासा यसले सुधार्दैन। यदि कुञ्जी चुहियो भने, समाधान प्रतिस्थापन र सर्भर-पक्षको रद्दीकरण हो, स्थानीय ढाँचा परिवर्तन होइन।
मध्यवर्ती फाइल जानाजान मेट्नुहोस्, र तपाईंले मेट्नुभएको मार्ग तपाईंले बनाएको हो भनी पुष्टि गर्नुहोस्।