Odstraniti geslo ključa ali ga obdržati? Kopija, ki jo ustvarite
Nešifrirana datoteka ključa hrani isto skrivnost za šibkejšo zaščito. Primerjajte tveganje v mirovanju pred pretvorbo in vedite, česa ne razveljavi.
Šifriran zasebni ključ in nešifriran ključ hranita isto ključno gradivo. Pretvorba ne ustvari nove identitete, ne ponastavi računa VPN in ne razveljavi stare datoteke. Zapiše drugo kopijo, ta kopija pa nosi drugačno tveganje v mirovanju.
Ali je zamenjava vredna, je odvisno od tega, kje bo datoteka živela in kdo jo lahko bere.
Kaj pretvorba dejansko spremeni
Pred pretvorbo ključ varuje geslo, ki ga zagotovi upravljavec. Po pretvorbi ga varujejo dovoljenja datotečnega sistema in kakršen koli nadzor dostopa okoli datoteke. Kriptografija se ni spremenila; spremenilo se je število stvari med napadalcem in ključem. To je cela primerjava.
Tabela naredi razliko konkretno.
| Form | What protects it | How it fails |
|---|---|---|
| Encrypted key | A passphrase plus file access | Weak passphrase, or an offline attack on the file |
| Unencrypted key | File permissions and host security only | Any reader copies it silently |
Nobena oblika ni samodejno varnejša. Spodletita na različne načine, in le eden od teh načinov pusti zapis v dnevniku.
Kdaj je bolje obdržati geslo
Če podprti odjemalec lahko zahteva geslo ali ga pridobi iz odobrenega skladišča skrivnosti, pretvorba ne kupi ničesar. Obdržite eno kopijo, eno mejo zaščite in eno datoteko manj za spremljanje. Večina odjemalcev VPN, ki sprejemajo ključe PEM, to zmore.
Pretvorba je tudi napačna poteza, ko ekipa deli ključ. Nešifrirana datoteka na skupnem gostitelju postane poverilnica, ki jo lahko vsakdo z dostopom do lupine kopira.
Kdaj je nešifrirana kopija upravičena
Nekatere storitve ne morejo zahtevati, nekateri vsebniki pripenjajo skrivnosti samo za branje, nekatere naprave pa ob zagonu berejo datoteko ključa brez interaktivne poti. V takih primerih je lahko nešifriran ključ v pravilno omejeni mapi podprta zasnova. Upravičenje je okolje, ne udobje.
Če ne morete povedati, kdo lahko datoteko bere in zakaj, je odgovor ne.
Ukaz in njegovi ostri robovi
Za ključ v datoteki, ki ga podpira OpenSSL 3.5, referenca pkey opisuje odstranitev gesla in interaktivno poziv, ko je vhod šifriran in vir gesla ni naveden. Najmanjša oblika je kratka in hitro jo je mogoče izvesti neprevidno.
umask 077
openssl pkey -in protected-key.pem -out new-private-key.pemTrije ostri robovi. Vhodno-izhodne operacije izhodne datoteke niso atomske, zato je mogoče obstoječo izhodno pot prekiniti sredi pisanja. Ne uporabljajte vhodne poti kot izhoda in ne eksperimentirajte na edini zaščiteni kopiji. Geslo vnesite ob pozivu, ne v ukazni vrstici, kjer konča v zgodovini lupine.
Preverite rezultat, preden spremenite katero koli konfiguracijo VPN: openssl pkey -in new-private-key.pem -pubout bi moral izpisati isti javni ključ, kot ste ga imeli prej.
Česa pretvorba ne naredi
Ne prekliče šifrirane kopije, ki še vedno obstaja tam, kjer ste jo pustili. Ne spremeni gesla računa VPN ali potrdila. In ne popravi že nastale izpostavitve. Če je ključ ušel, je rešitev zamenjava in preklic na strani strežnika, ne lokalna sprememba oblike zapisa.
Vmesno datoteko namenoma izbrišite in potrdite, da je pot, ki jo brišete, tista, ki ste jo ustvarili.