Fjerne ein nøkkelpassfrase eller behalde han? Kopien du lagar

Ein kryptert privat nøkkel og ein ukryptert inneheld same nøkkelmateriale. Konvertering lagar ikkje ein ny identitet, nullstiller ikkje ein VPN-konto og gjer ikkje den gamle fila ugyldig. Ho skriv ein andre kopi, og den kopien ber ein annan risiko i ro.

Om bytet er verdt det, kjem an på kvar fila skal liggje og kven som kan lese ho.

Kva konvertering faktisk endrar

Før konvertering vert nøkkelen verna av ein passfrase som operatøren oppgir. Etter konvertering vert han verna av filsystemløyve og all tilgangskontroll rundt fila. Kryptografien er ikkje endra; talet på ting mellom ein åtakar og nøkkelen er. Det er heile samanlikninga.

Ein tabell gjer skilnaden konkret.

Ingen av formene er automatisk tryggare. Dei feilar på ulike måtar, og berre éin av desse måtane lèt att ein loggoppføring.

Når det er betre å behalde passfrasen

Viss ein støtta klient kan spørje etter passfrasen eller hente han frå eit godkjent løyndomslager, kjøper konvertering ingenting. Du held éin kopi, éi vernrense og éi fil mindre å følgje med på. Dei fleste VPN-klientar som godtek PEM-nøklar kan gjere dette.

Konvertering er også feil trekk når eit team deler nøkkelen. Ei ukryptert fil på ein delt vert vert ein legitimasjon som alle med shell-tilgang kan kopiere.

Når ein ukryptert kopi er rettferdiggjord

Nokre tenester kan ikkje spørje, nokre containarar monterer løyndomar skriveverna, og nokre einingar les ei nøkkelfil ved oppstart utan ein interaktiv veg. I slike tilfelle kan ein ukryptert nøkkel i ei rett avgrensa mappe vere det støtta designet. Grunngjevinga er miljøet, ikkje makelægje.

Viss du ikkje kan seie kven som kan lese fila og kvifor, er svaret nei.

Kommandoen og dei skarpe kantane hans

For ein filbasert nøkkel som OpenSSL 3.5 støttar, pkey-referansen dokumenterer fjerning av passfrasen og ei interaktiv oppmoding når inndata er krypterte og inga passordkjelde er oppgitt. Den minimale forma er kort, og ho er lett å køyre uforsiktig.

umask 077
openssl pkey -in protected-key.pem -out new-private-key.pem

Tre skarpe kantar. I/O for utdatafila er ikkje atomisk, så ein eksisterande utdatasti kan verte avskoren midt i skrivinga. Ikkje bruk inndatastien som utdata, og ikkje eksperimenter på den einaste verna kopien. Skriv inn passfrasen ved oppmodinga i staden for på kommandolinja, der han hamnar i shell-historia.

Kontroller resultatet før du endrar nokon VPN-konfigurasjon: openssl pkey -in new-private-key.pem -pubout skal skrive ut den same offentlege nøkkelen som du hadde før.

Kva konvertering ikkje gjer

Ho kallar ikkje tilbake den krypterte kopien, som framleis finst der du forlét han. Ho endrar ikkje passordet til VPN-kontoen eller sertifikatet. Og ho reparerer ikkje ei eksponering som allereie har skjedd. Viss ein nøkkel er leka, er løysinga utskifting og tilbakekalling på serversida, ikkje ei lokal formatendring.

Slett mellomfila med vilje, og stadfest at stien du slettar er den du oppretta.