Prístupová fráza ku kľúču SSH chráni súbor, nie trasu

Záložný disk zo starého notebooku stále obsahuje súkromný kľúč SSH a niekto sa pýta, či ho VPN chráni. Nechráni a nikdy nechránila. VPN chráni cestu medzi dvoma sieťami; prístupová fráza chráni súbor; agent chráni bežiacu reláciu. Tri rôzne mechanizmy, tri rôzne režimy zlyhania a ukradnutá kópia sa zaujíma len o prvé dva.

Prístupová fráza patrí súboru

Prístupová fráza ku kľúču SSH šifruje materiál súkromného kľúča v pokoji. Nie je to heslo účtu posielané na server ani prihlasovacie údaje na pripojenie k VPN. Ich zámena vedie k zmenám, ktoré expozíciu neriešia.

Príručka ssh-keygen od OpenSSH pokrýva prácu s prístupovými frázami vrátane prepínača -p, ktorý nastaví novú frázu na už existujúcom kľúči.

Pre existujúci kľúč je tvar príkazu jednoduchý a súbor prepíše:

ssh-keygen -p -f ~/.ssh/id_ed25519

Použite schválený proces údržby a obnovy vlastníka kľúča, pretože ide o zápis, nie o kontrolu. Nezverejňujte súkromný súbor a nedávajte skutočnú prístupovú frázu na zdieľaný príkazový riadok. Zmena frázy nezašifruje znova kópiu vytvorenú predtým. Poznačte si umiestnenie starej kópie do tiketu, aby sa vlastník mohol rozhodnúť, či ju zničiť.

Kópia prežije notebook aj tunel

Keď sa súbor kľúča skopíruje, aktívne pripojenie notebooku k VPN o ňom už nič nehovorí. Dôležité je, ako dobre je chránený samotný súbor, a ktoré servery stále dôverujú zodpovedajúcemu verejnému kľúču.

Zmena prístupovej frázy v aktuálnom súbore sa kópie nedotkne a neodstráni ten istý verejný kľúč z authorized_keys na serveri. Odvolanie a opätovné šifrovanie sú samostatné akcie.

Preto berte uniknutý súkromný kľúč ako udalosť identity, nie siete. Odstráňte alebo nahraďte prijatý kľúč cez servery a proces registrácie, ktoré ho vlastnia. Zastavenie VPN obmedzí jednu trasu v jednom okamihu; to nie je odvolanie.

Odomknutie presunie tajomstvo do agenta

Agent drží dešifrované identity pre neskoršiu autentifikáciu, takže používateľ nemusí pri každom pripojení znova písať frázu. Je to pohodlie s vlastnou bezpečnostnou hranicou.

ssh-agent môže obmedziť, ako dlho zostane identita načítaná, pomocou voľby -t, a nastavenie pre jednotlivú identitu môže tento limit prekročiť. Zvoľte politiku pre agenta, ktorého skutočne spúšťate, namiesto predpokladu, že odpojenie VPN zabudne každý načítaný kľúč.

Proces kompromitovaný po odomknutí kľúča je iný problém než ukradnutý šifrovaný súbor. Presmerovanie agenta na iný host deleguje schopnosť autentifikácie bez kopírovania súboru kľúča, preto ho povoľte len pre schválenú potrebu.

Vypíšte, čo agent práve drží, pred zmenou a po nej:

ssh-add -l

Úlohy bez dozoru potrebujú vlastný plán

Naplánovaná úloha nemôže odpovedať na výzvu. Potrebuje schválené usporiadanie strojových prihlasovacích údajov a držanie odomykacieho tajomstva v tom istom adresári ako kľúč, čitateľné tým istým účtom, nevytvára druhú hranicu.

Spolupracujte s vlastníkom služby na podporovanom doručovaní tajomstiev alebo hardvérovej prevádzke a pokryte obnovu, zlyhanie a zotavenie. Chcieť človeka pri klávesnici mení podobu zlyhania v porovnaní s hosťom, ktorý štartuje bez dozoru.

Zachovajte aj kontrolu identity hostiteľa na serveri a jeho obmedzenia účtu. Trasa VPN vám dáva súkromnú cestu; nedokazuje, že každý dostupný SSH poslucháč je hostiteľ, ktorého ste zamýšľali. Zaznamenajte poslucháča a odtlačok kľúča hostiteľa do toho istého inventára ako samotný kľúč.

Overujte hranice oddelene

Otestujte každú hranicu vlastnou otázkou. Otvorí sa súbor bez frázy? Drží agent identitu aj po odpojení? Prijíma server stále verejný kľúč?

Dva príkazy odpovedajú na prvú a tretiu:

ssh-keygen -y -f ~/.ssh/id_ed25519
ssh -v [email protected]

Zaznamenajte ochranu súboru, povolené použitie kľúča a odstránenie na strane servera ako tri samostatné položky. Tunel, fráza a agent strážia každý inú časť vzťahu a len jeden z nich sa týka siete.