Парольная фраза ключа SSH защищает файл, а не маршрут

Резервный диск от старого ноутбука всё ещё содержит закрытый ключ SSH, и кто-то спрашивает, защищает ли его VPN. Не защищает и никогда не защищал. VPN защищает путь между двумя сетями; парольная фраза защищает файл; агент защищает работающий сеанс. Три разных механизма, три разных режима отказа, и украденная копия волнует только первые два.

Парольная фраза принадлежит файлу

Парольная фраза ключа SSH шифрует материал закрытого ключа в состоянии покоя. Это не пароль учётной записи, отправляемый на сервер, и не учётные данные для подключения к VPN. Их смешение ведёт к изменениям, которые не устраняют причину утечки.

Руководство OpenSSH по ssh-keygen описывает работу с парольными фразами, включая ключ -p, задающий новую парольную фразу для уже существующего ключа.

Для существующего ключа форма команды проста, и она перезаписывает файл:

ssh-keygen -p -f ~/.ssh/id_ed25519

Используйте одобренный владельцем ключа процесс обслуживания и восстановления, потому что это запись, а не проверка. Не публикуйте закрытый файл и не помещайте настоящую парольную фразу в общую командную строку. Смена парольной фразы не перешифровывает копию, снятую ранее. Запишите расположение старой копии в заявке, чтобы владелец решил, уничтожать ли её.

Копия переживает ноутбук и туннель

Как только файл ключа скопирован, действующее VPN-соединение ноутбука уже ничего о нём не говорит. Важно то, насколько хорошо защищён сам файл, и какие серверы всё ещё доверяют соответствующему открытому ключу.

Смена парольной фразы текущего файла не затрагивает копию и не удаляет тот же открытый ключ из authorized_keys на сервере. Отзыв и перешифрование — разные действия.

Поэтому относитесь к утёкшему закрытому ключу как к событию идентичности, а не сети. Удалите или замените принятый ключ через серверы и процесс регистрации, которым он принадлежит. Остановка VPN ограничивает один маршрут в один момент; это не отзыв.

Разблокировка переносит секрет в агент

Агент хранит расшифрованные идентичности для последующей аутентификации, чтобы пользователь не вводил парольную фразу при каждом подключении. Это удобство с собственной границей безопасности.

ssh-agent может ограничить, как долго идентичность остаётся загруженной, с помощью параметра -t, а настройка для отдельной идентичности может превысить этот предел. Выбирайте политику для агента, который вы действительно запускаете, вместо предположения, что отключение VPN забывает каждый загруженный ключ.

Процесс, скомпрометированный после разблокировки ключа, — это другая проблема, чем украденный зашифрованный файл. Пересылка агента на другой хост делегирует возможность аутентификации без копирования файла ключа, поэтому включайте её только для одобренной нужды.

Перечислите, что агент держит сейчас, до и после изменения:

ssh-add -l

Задачам без присмотра нужен свой план

Запланированное задание не может ответить на запрос. Ему нужен одобренный порядок машинных учётных данных, а хранение секрета разблокировки в том же каталоге, что и ключ, доступном той же учётной записи, не создаёт второй границы.

Работайте с владельцем сервиса над поддерживаемой доставкой секретов или работой на аппаратном обеспечении и охватите обновление, сбой и восстановление. Желание иметь человека за клавиатурой меняет то, как выглядит сбой, по сравнению с хостом, который загружается без наблюдения.

Сохраняйте также проверку идентичности хоста на сервере и ограничения его учётной записи. Маршрут VPN даёт частный путь; он не доказывает, что каждый доступный SSH-слушатель — тот хост, который вы имели в виду. Записывайте слушателя и отпечаток ключа хоста в тот же реестр, что и сам ключ.

Проверяйте границы по отдельности

Проверьте каждую границу своим вопросом. Открывается ли файл без парольной фразы? Держит ли агент идентичность после отключения? Принимает ли сервер открытый ключ?

Две команды отвечают на первый и третий:

ssh-keygen -y -f ~/.ssh/id_ed25519
ssh -v [email protected]

Запишите защиту файла, разрешённое использование ключа и удаление на стороне сервера как три отдельные строки. Туннель, парольная фраза и агент охраняют разные части отношений, и только одна из них о сети.