Ein SSH-nøkkelpassfrase vernar fila, ikkje ruta

Ein tryggleikskopidisk frå ein gamal berbar datamaskin inneheld framleis ein privat SSH-nøkkel, og nokon spør om VPN vernar han. Det gjer det ikkje, og det har det aldri gjort. VPN vernar ein veg mellom to nettverk; passfrasen vernar fila; agenten vernar ei økt som køyrer. Tre ulike mekanismar, tre ulike feilmodusar, og ein stoten kopi bryr seg berre om dei to første.

Passfrasen høyrer til fila

Ein SSH-nøkkelpassfrase krypterer det private nøkkelmaterialet i ro. Han er ikkje kontopassordet som blir sendt til tenaren, og han er ikkje legitimasjonen som blir brukt for å bli med i VPN. Å blande dei fører til endringar som ikkje handterer eksponeringa.

OpenSSH sin ssh-keygen-handbok dekkjer handtering av passfrasar, mellom anna brytaren -p som set ein ny passfrase på ein nøkkel som alt finst.

For ein eksisterande nøkkel er kommandoforma enkel, og han skriv fila på nytt:

ssh-keygen -p -f ~/.ssh/id_ed25519

Bruk den godkjende vedlikehalds- og gjenopprettingsprosessen til nøkkeleigaren, fordi dette er ei skriving, ikkje ein inspeksjon. Ikkje publiser den private fila, og ikkje set ein ekte passfrase på ei delt kommandolinje. Ei passfraseendring krypterer ikkje ein kopi som vart teken tidlegare, på nytt. Noter plasseringa til den gamle kopien i saka, slik at eigaren kan avgjere om han skal øydeleggjast.

Ein kopi overlever den berbare datamaskinen og tunnelen

Når ei nøkkelfil er kopiert, seier den aktive VPN-tilkoplinga til den berbare datamaskinen ikkje lenger noko om ho. Det som tel, er kor godt sjølve fila er verna, og kva tenarar som framleis stolar på den samsvarande offentlege nøkkelen.

Å endre passfrasen på den gjeldande fila rører ikkje kopien, og fjernar ikkje den same offentlege nøkkelen frå authorized_keys på ein tenar. Tilbakekalling og nykryptering er separate handlingar.

Så handsam ein leka privat nøkkel som ei identitetshending, ikkje ei nettverkshending. Fjern eller erstatt den godtekne nøkkelen gjennom tenarane og registreringsprosessen som eig han. Å stoppe VPN avgrensar éi rute på eitt tidspunkt; det er ikkje tilbakekalling.

Opplåsing flyttar hemmelegheita inn i ein agent

Ein agent held dekrypterte identitetar for seinare autentisering, slik at brukaren ikkje skriv passfrasen på nytt for kvar tilkopling. Det er ein komfortfunksjon med si eiga tryggleiksgrense.

ssh-agent kan avgrense kor lenge ein identitet blir verande lasta gjennom -t-valet, og ei innstilling per identitet kan overstyre den grensa. Vel politikken for agenten du faktisk køyrer, i staden for å gå ut frå at ein VPN-frakopling gløymer kvar lasta nøkkel.

Ein prosess som blir kompromittert etter at nøkkelen er låst opp, er eit anna problem enn ei stolen kryptert fil. Videresending av agenten til ein annan vert delegerer autentiseringsevna utan å kopiere nøkkelfila, så aktiver det berre for eit godkjent behov.

List opp kva agenten held akkurat no, før og etter ei endring:

ssh-add -l

Ubemanna jobbar treng sin eigen plan

Ein planlagd jobb kan ikkje svare på ein førespurnad. Han treng ei godkjend ordning for maskinlegitimasjon, og å halde opplåsingshemmelegheita i same mappe som nøkkelen, lesbar for same konto, skaper ikkje ei andre grense.

Arbeid med tenesteeigaren om støtta hemmelegheitslevering eller maskinvarebasert drift, og dekk fornying, feil og gjenoppretting. Ønsket om eit menneske ved tastaturet endrar korleis feil ser ut samanlikna med ein vert som startar utan at nokon følgjer med.

Hald òg på vertsidentitetskontrollen til tenaren og kontogrensene hans. Ei VPN-rute gjev deg ein privat veg; ho provar ikkje at kvar SSH-lyttar du når, er verten du hadde tenkt. Registrer lyttaren og fingeravtrykket til vertsnøkkelen i same forteikning som sjølve nøkkelen.

Verifiser grensene kvar for seg

Test kvar grense med sitt eige spørsmål. Opnar fila utan passfrasen? Held agenten identiteten etter ei frakopling? Godtek tenaren framleis den offentlege nøkkelen?

To kommandoar svarar på den første og den tredje:

ssh-keygen -y -f ~/.ssh/id_ed25519
ssh -v [email protected]

Registrer filvern, tillaten nøkkelbruk og fjerning på tenarsida som tre separate postar. Ein tunnel, ein passfrase og ein agent vaktar kvar sin del av forholdet, og berre éin av dei handlar om nettverket.