Remover a frase-senha de uma chave ou mantê-la? A cópia que você cria

Uma chave privada criptografada e uma não criptografada contêm o mesmo material de chave. A conversão não cria uma nova identidade, não redefine uma conta de VPN e não invalida o arquivo antigo. Ela grava uma segunda cópia, e essa cópia carrega um risco em repouso diferente.

Se a troca vale a pena depende de onde o arquivo vai ficar e de quem pode lê-lo.

O que a conversão realmente muda

Antes da conversão, a chave é protegida por uma frase-senha fornecida pelo operador. Depois da conversão, ela é protegida pelas permissões do sistema de arquivos e por qualquer controle de acesso ao redor do arquivo. A criptografia não mudou; o número de coisas entre um atacante e a chave mudou. Essa é toda a comparação.

Uma tabela torna a diferença concreta.

Nenhuma das formas é automaticamente mais segura. Elas falham de maneiras diferentes, e apenas uma dessas maneiras deixa um registro no log.

Quando é melhor manter a frase-senha

Se um cliente compatível pode pedir a frase-senha ou buscá-la em um cofre de segredos aprovado, a conversão não compra nada. Você mantém uma cópia, uma fronteira de proteção e um arquivo a menos para acompanhar. A maioria dos clientes VPN que aceitam chaves PEM consegue fazer isso.

A conversão também é a jogada errada quando uma equipe compartilha a chave. Um arquivo não criptografado em um host compartilhado vira uma credencial que qualquer pessoa com acesso ao shell pode copiar.

Quando uma cópia não criptografada é justificada

Alguns serviços não conseguem pedir, alguns contêineres montam segredos como somente leitura, e alguns equipamentos leem um arquivo de chave na inicialização sem um caminho interativo. Nesses casos, uma chave não criptografada dentro de um diretório bem restrito pode ser o projeto suportado. A justificativa é o ambiente, não a conveniência.

Se você não consegue dizer quem pode ler o arquivo e por quê, a resposta é não.

O comando e suas arestas

Para uma chave baseada em arquivo compatível com OpenSSL 3.5, a referência do pkey documenta a remoção da frase-senha e um prompt interativo quando a entrada está criptografada e nenhuma fonte de senha é fornecida. A forma mínima é curta, e é fácil executá-la com descuido.

umask 077
openssl pkey -in protected-key.pem -out new-private-key.pem

Três arestas. A E/S do arquivo de saída não é atômica, então um caminho de saída existente pode ser truncado no meio da gravação. Não use o caminho de entrada como saída e não experimente na única cópia protegida. Digite a frase-senha no prompt em vez da linha de comando, onde ela acaba no histórico do shell.

Verifique o resultado antes de alterar qualquer configuração de VPN: openssl pkey -in new-private-key.pem -pubout deve imprimir a mesma chave pública que você tinha antes.

O que a conversão não faz

Ela não revoga a cópia criptografada, que ainda existe onde quer que você a tenha deixado. Ela não altera a senha da conta de VPN nem o certificado. E não conserta uma exposição que já aconteceu. Se uma chave vazou, a solução é substituição e revogação no lado do servidor, não uma mudança de formato local.

Exclua o arquivo intermediário de propósito, e confirme que o caminho que você exclui é o que você criou.