Odstrániť heslo ku kľúču alebo ho ponechať? Kópia, ktorú vytvárate
Nešifrovaný súbor kľúča drží to isté tajomstvo za slabšou ochranou. Porovnajte riziko v pokoji pred prevodom a vedzte, čo neodčiní.
Šifrovaný súkromný kľúč a nešifrovaný držia rovnaký kľúčový materiál. Prevod nevytvára novú identitu, neresetuje účet VPN ani neznehodnocuje starý súbor. Zapíše druhú kópiu a táto kópia nesie iné riziko v pokoji.
Či sa výmena vyplatí, závisí od toho, kde bude súbor žiť a kto ho môže čítať.
Čo prevod skutočne mení
Pred prevodom je kľúč chránený heslom, ktoré zadáva operátor. Po prevode ho chránia oprávnenia systému súborov a akákoľvek kontrola prístupu okolo súboru. Kryptografia sa nezmenila; zmenil sa počet vecí medzi útočníkom a kľúčom. To je celé porovnanie.
Tabuľka robí rozdiel konkrétnym.
| Form | What protects it | How it fails |
|---|---|---|
| Encrypted key | A passphrase plus file access | Weak passphrase, or an offline attack on the file |
| Unencrypted key | File permissions and host security only | Any reader copies it silently |
Ani jedna forma nie je automaticky bezpečnejšia. Zlyhávajú rôznymi spôsobmi a len jeden z tých spôsobov zanecháva záznam v logu.
Kedy je lepšie heslo ponechať
Ak podporovaný klient dokáže heslo vyžiadať alebo ho načítať zo schváleného úložiska tajomstiev, prevod nič neprinesie. Ponecháte si jednu kópiu, jednu hranicu ochrany a o jeden súbor menej na sledovanie. Väčšina VPN klientov, ktoré prijímajú kľúče PEM, to dokáže.
Prevod je tiež nesprávny krok, keď tím kľúč zdieľa. Nešifrovaný súbor na zdieľanom hostiteľovi sa stane prihlasovacím údajom, ktorý môže skopírovať ktokoľvek s prístupom k shellu.
Kedy je nešifrovaná kópia odôvodnená
Niektoré služby nemôžu vyžiadať vstup, niektoré kontajnery pripájajú tajomstvá len na čítanie a niektoré zariadenia čítajú súbor kľúča pri štarte bez interaktívnej cesty. V takých prípadoch môže byť nešifrovaný kľúč v správne obmedzenom adresári podporovaným dizajnom. Zdôvodnením je prostredie, nie pohodlie.
Ak neviete povedať, kto môže súbor čítať a prečo, odpoveď je nie.
Príkaz a jeho ostré hrany
Pre kľúč v súbore podporovaný OpenSSL 3.5 referencia pkey dokumentuje odstránenie hesla a interaktívnu výzvu, keď je vstup šifrovaný a nie je zadaný zdroj hesla. Minimálna forma je krátka a dá sa ľahko spustiť neopatrne.
umask 077
openssl pkey -in protected-key.pem -out new-private-key.pemTri ostré hrany. Vstupno-výstupné operácie výstupného súboru nie sú atomické, takže existujúca výstupná cesta môže byť prerušená uprostred zápisu. Nepoužívajte vstupnú cestu ako výstup a neexperimentujte na jedinej chránenej kópii. Zadajte heslo na výzve, nie na príkazovom riadku, kde skončí v histórii shellu.
Skontrolujte výsledok, skôr než zmeníte akúkoľvek konfiguráciu VPN: openssl pkey -in new-private-key.pem -pubout by malo vypísať rovnaký verejný kľúč, aký ste mali predtým.
Čo prevod nerobí
Neodvoláva šifrovanú kópiu, ktorá stále existuje tam, kde ste ju nechali. Nemení heslo účtu VPN ani certifikát. A neopravuje expozíciu, ktorá už nastala. Ak kľúč unikol, riešením je výmena a odvolanie na strane servera, nie miestna zmena formátu.
Medzisúbor zámerne zmažte a potvrďte, že cesta, ktorú mažete, je tá, ktorú ste vytvorili.