Fjala sekrete e çelësit SSH mbron skedarin, jo rrugën

Një disk rezervë nga një laptop i vjetër përmban ende një çelës privat SSH, dhe dikush pyet nëse VPN-ja e mbron atë. Nuk e mbron, dhe nuk e ka bërë kurrë. VPN-ja mbron një rrugë midis dy rrjeteve; fjala sekrete mbron skedarin; agjenti mbron një sesion që po ekzekutohet. Tre mekanizma të ndryshëm, tre mënyra të ndryshme dështimi, dhe një kopje e vjedhur interesohet vetëm për dy të parat.

Fjala sekrete i përket skedarit

Fjala sekrete e çelësit SSH kripton materialin e çelësit privat në qetësi. Nuk është fjalëkalimi i llogarisë që dërgohet te serveri, dhe nuk është kredenciali që përdoret për t'u bashkuar me VPN-në. Ngatërrimi i tyre çon në ndryshime që nuk e trajtojnë ekspozimin.

Manual i ssh-keygen i OpenSSH mbulon trajtimin e fjalëve sekrete, përfshirë ndërprerësin -p që vendos një fjalë sekrete të re në një çelës që ekziston tashmë.

Për një çelës ekzistues forma e komandës është e thjeshtë, dhe ajo e rishkruan skedarin:

ssh-keygen -p -f ~/.ssh/id_ed25519

Përdorni procesin e miratuar të mirëmbajtjes dhe rikuperimit të pronarit të çelësit, sepse kjo është një shkrim, jo një inspektim. Mos e publikoni skedarin privat dhe mos vendosni një fjalë sekrete të vërtetë në një rresht komande të përbashkët. Ndryshimi i fjalës sekrete nuk e rikripton një kopje të marrë më herët. Shënoni vendndodhjen e kopjes së vjetër në tiketë, që pronari të vendosë nëse do ta shkatërrojë.

Një kopje mbijeton më shumë se laptopi dhe tuneli

Pasi një skedar çelësi kopjohet, lidhja aktive e VPN-së e laptopit nuk thotë më asgjë për të. Ajo që ka rëndësi është sa mirë mbrohet vetë skedari, dhe cilat serverë ende i besojnë çelësit publik përkatës.

Ndryshimi i fjalës sekrete të skedarit aktual nuk e prek kopjen, dhe nuk e heq të njëjtin çelës publik nga authorized_keys në një server. Revokimi dhe rikriptimi janë veprime të veçanta.

Prandaj trajtoni një çelës privat të rrjedhur si një ngjarje identiteti, jo si ngjarje rrjeti. Hiqni ose zëvendësoni çelësin e pranuar përmes serverëve dhe procesit të regjistrimit që e zotërojnë atë. Ndalimi i VPN-së kufizon një rrugë në një moment; nuk është revokim.

Zhkyçja e zhvendos sekretin në një agjent

Një agjent mban identitete të dekriptuara për vërtetim të mëvonshëm, kështu që përdoruesi nuk e rishkruan fjalën sekrete për çdo lidhje. Është një lehtësi me kufirin e vet të sigurisë.

ssh-agent mund të kufizojë sa kohë një identitet mbetet i ngarkuar përmes opsionit -t, dhe një rregullim për identitet të vetëm mund ta tejkalojë atë kufi. Zgjidhni politikën për agjentin që ekzekutoni vërtet, në vend që të supozoni se shkëputja e VPN-së harron çdo çelës të ngarkuar.

Një proces i kompromentuar pasi çelësi zhkyçet është problem tjetër nga një skedar i kriptuar i vjedhur. Përcjellja e agjentit te një host tjetër delegon aftësinë e vërtetimit pa kopjuar skedarin e çelësit, prandaj aktivizojeni vetëm për një nevojë të miratuar.

Listoni çfarë mban agjenti aktualisht para dhe pas një ndryshimi:

ssh-add -l

Punët pa mbikëqyrje kanë nevojë për planin e tyre

Një punë e planifikuar nuk mund t'i përgjigjet një kërkese. Ka nevojë për një marrëveshje të miratuar për kredencialet e makinës, dhe mbajtja e sekretit të zhkyçjes në të njëjtin drejtori me çelësin, e lexueshme nga i njëjti llogari, nuk krijon një kufi të dytë.

Punoni me pronarin e shërbimit për dërgimin e sekreteve të mbështetur ose funksionimin me harduer, dhe mbuloni rinovimin, dështimin dhe rikuperimin. Dëshira për një njeri në tastierë e ndryshon pamjen e dështimit krahasuar me një host që niset pa asnjë që vëzhgon.

Mbani gjithashtu kontrollin e identitetit të hostit në server dhe kufizimet e llogarisë së tij. Një rrugë VPN ju jep një shteg privat; nuk provon se çdo dëgjues SSH që arrini është hosti që kishit ndërmend. Regjistroni dëgjuesin dhe gjurmën e çelësit të hostit në të njëjtin inventar me vetë çelësin.

Verifikoni kufijtë veçmas

Testoni çdo kufi me pyetjen e vet. A hapet skedari pa fjalën sekrete? A e mban agjenti identitetin pas një shkëputjeje? A e pranon serveri ende çelësin publik?

Dy komanda i përgjigjen të parës dhe të tretës:

ssh-keygen -y -f ~/.ssh/id_ed25519
ssh -v [email protected]

Regjistroni mbrojtjen e skedarit, përdorimin e lejuar të çelësit dhe heqjen nga ana e serverit si tre rreshta të veçantë. Një tunel, një fjalë sekrete dhe një agjent ruajnë secili një pjesë të ndryshme të marrëdhënies, dhe vetëm njëri prej tyre ka të bëjë me rrjetin.