SSH कुञ्जीको पासफ्रेज फाइलको रक्षा गर्छ, मार्गको होइन

पुरानो ल्यापटपको ब्याकअप ड्राइभमा अझै निजी SSH कुञ्जी छ, र कसैले सोध्छ कि VPN ले यसको रक्षा गर्छ कि गर्दैन। गर्दैन, र कहिल्यै गरेको छैन। VPN ले दुई सञ्जालबीचको मार्गको रक्षा गर्छ; पासफ्रेजले फाइलको रक्षा गर्छ; एजेन्टले चलिरहेको सत्रको रक्षा गर्छ। तीन फरक संयन्त्र, तीन फरक असफलताका प्रकार, र चोरिएको प्रतिलाई पहिलो दुईवटाको मात्र चासो हुन्छ।

पासफ्रेज फाइलकै हो

SSH कुञ्जीको पासफ्रेजले विश्राममा रहेको निजी कुञ्जी सामग्री इन्क्रिप्ट गर्छ। यो सर्भरमा पठाइने खाता पासवर्ड होइन, र VPN मा सामेल हुन प्रयोग हुने प्रमाण होइन। यी दुईलाई मिसाउँदा खुलासा सम्बोधन नगर्ने परिवर्तनहरूतर्फ लैजान्छ।

OpenSSH को ssh-keygen निर्देशिका ले पासफ्रेजको व्यवस्थापन समेट्छ, पहिले नै रहेको कुञ्जीमा नयाँ पासफ्रेज सेट गर्ने -p स्विच सहित।

अवस्थित कुञ्जीका लागि आदेशको रूप सरल हुन्छ, र यसले फाइल पुनः लेख्छ:

ssh-keygen -p -f ~/.ssh/id_ed25519

यो निरीक्षण होइन, लेखन हो, त्यसैले कुञ्जीको मालिकको स्वीकृत मर्मत र पुनःप्राप्ति प्रक्रिया प्रयोग गर्नुहोस्। निजी फाइल प्रकाशित नगर्नुहोस् र साझा आदेश लाइनमा वास्तविक पासफ्रेज नराख्नुहोस्। पासफ्रेज बदल्दा पहिले लिइएको प्रत पुनः इन्क्रिप्ट हुँदैन। पुरानो प्रतिको स्थान टिकटमा लेख्नुहोस् ताकि मालिकले त्यसलाई नष्ट गर्ने कि नगर्ने निर्णय गर्न सकोस्।

प्रति ल्यापटप र सुरुङभन्दा लामो बाँच्छ

कुञ्जी फाइलको प्रति बनेपछि ल्यापटपको चालु VPN जडानले त्यसबारे केही भन्दैन। महत्त्वपूर्ण कुरा यो हो कि फाइल आफै कति राम्रोसँग सुरक्षित छ, र कुन सर्भरहरूले अझै मिल्ने सार्वजनिक कुञ्जीमा भरोसा गर्छन्।

हालको फाइलको पासफ्रेज बदल्दा प्रतिलाई छुँदैन, र सर्भरको authorized_keys बाट त्यही सार्वजनिक कुञ्जी हटाउँदैन। रद्दीकरण र पुनः इन्क्रिप्शन छुट्टाछुट्टै क्रिया हुन्।

त्यसैले चुहिएको निजी कुञ्जीलाई सञ्जाल घटना होइन, पहिचानको घटना मान्नुहोस्। स्वीकृत कुञ्जीलाई त्यसको स्वामित्व भएका सर्भर र दर्ता प्रक्रियामार्फत हटाउनुहोस् वा बदल्नुहोस्। VPN रोक्नुले एक क्षणमा एउटा मार्ग सीमित गर्छ; त्यो रद्दीकरण होइन।

अनलक गर्दा रहस्य एजेन्टमा सर्छ

एजेन्टले पछिको प्रमाणीकरणका लागि डिक्रिप्ट गरिएका पहिचान राख्छ, ताकि प्रयोगकर्ताले प्रत्येक जडानमा पासफ्रेज फेरि टाइप गर्नु नपरोस्। यो आफ्नै सुरक्षा सीमा भएको सुविधा हो।

ssh-agent ले आफ्नो -t विकल्पमार्फत पहिचान कति समय लोड रहने भन्ने सीमित गर्न सक्छ, र प्रति-पहिचान सेटिङले त्यो सीमा नाघ्न सक्छ। VPN विच्छेद हुँदा हरेक लोड गरिएको कुञ्जी बिर्सन्छ भन्ने मान्नुको सट्टा तपाईंले वास्तवमै चलाउनुहुने एजेन्टका लागि नीति छान्नुहोस्।

कुञ्जी अनलक भएपछि सम्झौता भएको प्रक्रिया चोरिएको इन्क्रिप्टेड फाइलभन्दा फरक समस्या हो। एजेन्टलाई अर्को होस्टमा अग्रेषित गर्नुले कुञ्जी फाइल नक्कल नगरी प्रमाणीकरण क्षमता सुम्पन्छ, त्यसैले यसलाई स्वीकृत आवश्यकताका लागि मात्र सक्षम गर्नुहोस्।

परिवर्तन अघि र पछि एजेन्टसँग अहिले के छ सूची बनाउनुहोस्:

ssh-add -l

निगरानीविना कामहरूलाई आफ्नै योजना चाहिन्छ

निर्धारित कामले सङ्केतको जवाफ दिन सक्दैन। यसलाई स्वीकृत मेसिन-प्रमाण व्यवस्था चाहिन्छ, र अनलक गर्ने रहस्य कुञ्जीसँगै उही डाइरेक्टरीमा, त्यही खाताले पढ्न सक्ने गरी राख्नुले दोस्रो सीमा बनाउँदैन।

समर्थित रहस्य वितरण वा हार्डवेयर-आधारित सञ्चालनमा सेवा मालिकसँग काम गर्नुहोस्, र नवीकरण, असफलता र पुनःप्राप्ति समेट्नुहोस्। किबोर्डमा मान्छे चाहिने इच्छाले असफलताको स्वरूप बदल्छ, कोही नहेर्ने होस्टको तुलनामा।

सर्भरको होस्ट-पहिचान जाँच र त्यसका खाता प्रतिबन्ध पनि राख्नुहोस्। VPN मार्गले तपाईंलाई निजी बाटो दिन्छ; तपाईं पुग्ने हरेक SSH श्रोता नै इच्छित होस्ट हो भनी यसले प्रमाणित गर्दैन। श्रोता र होस्ट कुञ्जीको औंलाछाप कुञ्जीकै जस्तै उही सूचीमा लेख्नुहोस्।

सीमाहरू छुट्टाछुट्टै प्रमाणित गर्नुहोस्

हरेक सीमालाई त्यसकै प्रश्नले परीक्षण गर्नुहोस्। पासफ्रेजविना फाइल खुल्छ? विच्छेदपछि पनि एजेन्टले पहिचान राख्छ? सर्भरले अझै सार्वजनिक कुञ्जी स्वीकार्छ?

दुई आदेशले पहिलो र तेस्रो प्रश्नको जवाफ दिन्छन्:

ssh-keygen -y -f ~/.ssh/id_ed25519
ssh -v [email protected]

फाइल सुरक्षा, अनुमत कुञ्जी प्रयोग र सर्भर-पक्षको हटाइलाई तीन छुट्टै लाइनका रूपमा लेख्नुहोस्। सुरुङ, पासफ्रेज र एजेन्टले सम्बन्धको फरक भाग पहरा दिन्छन्, र तीमध्ये एउटाले मात्र सञ्जालको बारेमा हो।