Geselska fraza ključa SSH ščiti datoteko, ne poti

Varnostna kopija s starega prenosnika še vedno vsebuje zasebni ključ SSH, in nekdo vpraša, ali ga VPN ščiti. Ne ščiti in ga ni nikoli. VPN ščiti pot med dvema omrežjema; geselska fraza ščiti datoteko; agent ščiti delujočo sejo. Trije različni mehanizmi, trije različni načini odpovedi in ukradena kopija se zanima le za prva dva.

Geselska fraza pripada datoteki

Geselska fraza ključa SSH šifrira gradivo zasebnega ključa v mirovanju. To ni geslo računa, poslano strežniku, in ni poverilnica za pridružitev VPN. Njuna zamenjava vodi v spremembe, ki izpostavljenosti ne rešijo.

Priročnik ssh-keygen OpenSSH obravnava ravnanje z geselskimi frazami, vključno s stikalom -p, ki na obstoječem ključu nastavi novo frazo.

Za obstoječi ključ je oblika ukaza preprosta in datoteko prepiše:

ssh-keygen -p -f ~/.ssh/id_ed25519

Uporabite odobren postopek vzdrževanja in obnovitve lastnika ključa, ker gre za pisanje, ne za pregled. Ne objavljajte zasebne datoteke in ne postavljajte prave geselske fraze na skupno ukazno vrstico. Sprememba fraze ne ponovno šifrira prej narejene kopije. Zabeležite mesto stare kopije v zahtevku, da se lastnik lahko odloči, ali jo uničiti.

Kopija preživi prenosnik in tunel

Ko je datoteka ključa kopirana, aktivna povezava prenosnika z VPN o njej ne pove ničesar več. Pomembno je, kako dobro je zaščitena sama datoteka, in kateri strežniki še vedno zaupajo ustreznemu javnemu ključu.

Sprememba geselske fraze v trenutni datoteki se kopije ne dotakne in ne odstrani istega javnega ključa iz authorized_keys na strežniku. Preklic in ponovno šifriranje sta ločeni dejanji.

Zato obravnavajte uhajani zasebni ključ kot dogodek identitete, ne omrežja. Odstranite ali zamenjajte sprejeti ključ prek strežnikov in postopka vpisa, ki ga imajo v lasti. Ustavitev VPN omeji eno pot v enem trenutku; to ni preklic.

Odklepanje premakne skrivnost v agenta

Agent hrani dešifrirane identitete za poznejšo overitev, da uporabniku ni treba ob vsaki povezavi znova vpisati fraze. To je udobje z lastno varnostno mejo.

ssh-agent lahko z možnostjo -t omeji, kako dolgo identiteta ostane naložena, in nastavitev za posamezno identiteto lahko to mejo preseže. Izberite politiko za agenta, ki ga resnično poganjate, namesto da bi predpostavljali, da odklop VPN pozabi vsak naloženi ključ.

Proces, ki je ogrožen po odklepu ključa, je drugačna težava kot ukradena šifrirana datoteka. Posredovanje agenta na drug gostitelj prenese zmožnost overjanja brez kopiranja datoteke ključa, zato ga omogočite le za odobreno potrebo.

Naštejte, kaj agent trenutno drži, pred spremembo in po njej:

ssh-add -l

Opravila brez nadzora potrebujejo svoj načrt

Načrtovano opravilo ne more odgovoriti na poziv. Potrebuje odobreno ureditev strojnih poverilnic, shranjevanje skrivnosti za odklep v isti mapi kot ključ, berljivo istemu računu, pa ne ustvari druge meje.

Sodelujte z lastnikom storitve pri podprti dostavi skrivnosti ali strojnem delovanju in pokrijte obnovo, odpoved in okrevanje. Želja po človeku za tipkovnico spremeni videz odpovedi v primerjavi z gostiteljem, ki se zažene brez nadzora.

Ohranite tudi preverjanje identitete gostitelja na strežniku in njegove omejitve računa. Pot VPN vam daje zasebno pot; ne dokazuje, da je vsak dosegljiv poslušalec SSH gostitelj, ki ste ga nameravali. Zabeležite poslušalca in prstni odtis ključa gostitelja v isti popis kot sam ključ.

Preverite meje ločeno

Preizkusite vsako mejo z njenim vprašanjem. Ali se datoteka odpre brez fraze? Ali agent po odklopu še drži identiteto? Ali strežnik še sprejema javni ključ?

Dva ukaza odgovorita na prvo in tretje:

ssh-keygen -y -f ~/.ssh/id_ed25519
ssh -v [email protected]

Zabeležite zaščito datoteke, dovoljeno uporabo ključa in odstranitev na strani strežnika kot tri ločene postavke. Tunel, fraza in agent vsak varujejo drug del odnosa, in le eden od njih zadeva omrežje.