Ukloniti lozinku za ključ ili je zadržati? Kopija koju stvarate

Šifrovani privatni ključ i nešifrovani drže isti ključni materijal. Pretvaranje ne stvara novi identitet, ne resetuje VPN račun i ne poništava staru datoteku. Ono upisuje drugu kopiju, a ta kopija nosi drugačiji rizik u mirovanju.

Da li se zamjena isplati zavisi od toga gdje će datoteka živjeti i ko je može čitati.

Šta pretvaranje zapravo mijenja

Prije pretvaranja ključ je zaštićen lozinkom koju daje operater. Poslije pretvaranja zaštićen je dozvolama datotečnog sistema i bilo kojom kontrolom pristupa oko datoteke. Kriptografija se nije promijenila; promijenio se broj stvari između napadača i ključa. To je cijelo poređenje.

Tabela razliku čini konkretnom.

Nijedan oblik nije automatski sigurniji. Oni padaju na različite načine, a samo jedan od tih načina ostavlja zapis u dnevniku.

Kada je bolje zadržati lozinku

Ako podržani klijent može tražiti lozinku ili je dohvatiti iz odobrenog spremišta tajni, pretvaranje ništa ne kupuje. Zadržavate jednu kopiju, jednu granicu zaštite i jednu datoteku manje za praćenje. Većina VPN klijenata koji prihvataju PEM ključeve to može.

Pretvaranje je takođe pogrešan potez kada tim dijeli ključ. Nešifrovana datoteka na dijeljenom hostu postaje vjerodajnica koju svako sa pristupom ljusci može kopirati.

Kada je nešifrovana kopija opravdana

Neke usluge ne mogu tražiti, neki kontejneri montiraju tajne samo za čitanje, a neki uređaji čitaju datoteku ključa pri podizanju bez interaktivne putanje. U tim slučajevima nešifrovani ključ unutar pravilno ograničenog direktorija može biti podržani dizajn. Opravdanje je okruženje, a ne udobnost.

Ako ne možete reći ko može čitati datoteku i zašto, odgovor je ne.

Komanda i njene oštre ivice

Za ključ zasnovan na datoteci koji podržava OpenSSL 3.5, pkey referenca dokumentuje uklanjanje lozinke i interaktivni upit kada je ulaz šifrovan i nije naveden izvor lozinke. Minimalni oblik je kratak i lako ga je pokrenuti nepažljivo.

umask 077
openssl pkey -in protected-key.pem -out new-private-key.pem

Tri oštre ivice. Ulazno-izlazne operacije izlazne datoteke nisu atomične, pa postojeća izlazna putanja može biti odsječena na sredini upisa. Ne koristite ulaznu putanju kao izlaz i ne eksperimentišite na jedinoj zaštićenoj kopiji. Unesite lozinku na upitu, a ne na komandnoj liniji, gdje završava u historiji ljuske.

Provjerite rezultat prije promjene bilo koje VPN konfiguracije: openssl pkey -in new-private-key.pem -pubout treba ispisati isti javni ključ koji ste imali prije.

Šta pretvaranje ne radi

Ono ne opoziva šifrovanu kopiju, koja još postoji gdje god ste je ostavili. Ono ne mijenja lozinku VPN računa ni certifikat. I ne popravlja izlaganje koje se već dogodilo. Ako je ključ procurio, rješenje je zamjena i povlačenje na strani servera, a ne lokalna promjena formata.

Namjerno obrišite međudatoteku i potvrdite da je putanja koju brišete ona koju ste stvorili.