Приступна фраза SSH кључа штити датотеку, а не путању

Резервни диск са старог преносног рачунара још увек садржи приватни SSH кључ, и неко пита да ли га VPN штити. Не штити, и никада није. VPN штити пут између две мреже; приступна фраза штити датотеку; агент штити сесију која ради. Три различита механизма, три различита режима отказа, а украдена копија брине само о прва два.

Приступна фраза припада датотеци

Приступна фраза SSH кључа шифрује материјал приватног кључа док мирује. То није лозинка налога која се шаље серверу и није акредитив за придруживање VPN-у. Њихово мешање води променама које не решавају изложеност.

OpenSSH приручник за ssh-keygen покрива руковање приступним фразама, укључујући прекидач -p који поставља нову фразу на кључ који већ постоји.

За постојећи кључ облик наредбе је једноставан и преписује датотеку:

ssh-keygen -p -f ~/.ssh/id_ed25519

Користите одобрени поступак одржавања и опоравка власника кључа, јер је ово писање, а не преглед. Не објављујте приватну датотеку и не стављајте праву приступну фразу на дељену командну линију. Промена фразе не поново шифрује копију узету раније. Забележите локацију старе копије у тикету да би власник одлучио да ли да је уништи.

Копија надживљава преносни рачунар и тунел

Када се датотека кључа копира, активна VPN веза преносног рачунара више ништа не говори о њој. Важно је колико је добро заштићена сама датотека, и који сервери још увек верују одговарајућем јавном кључу.

Промена приступне фразе на тренутној датотеци не дира копију и не уклања исти јавни кључ из authorized_keys на серверу. Опозив и поновно шифровање су одвојене радње.

Зато третирајте процурели приватни кључ као догађај идентитета, а не мрежни догађај. Уклоните или замените прихваћени кључ кроз сервере и поступак регистрације који га поседују. Заустављање VPN-а ограничава једну путању у једном тренутку; то није опозив.

Откључавање премешта тајну у агента

Агент држи дешифроване идентитете за каснију аутентификацију, па корисник не уписује приступну фразу за сваку везу. То је погодност са сопственом безбедносном границом.

ssh-agent може да ограничи колико дуго идентитет остаје учитан кроз опцију -t, а поставка за појединачни идентитет може да надмаши то ограничење. Изаберите политику за агента који стварно покрећете уместо да претпостављате да прекид VPN-а заборавља сваки учитан кључ.

Процес који буде компромитован након откључавања кључа други је проблем од украдене шифроване датотеке. Прослеђивање агента другом хосту делегира способност аутентификације без копирања датотеке кључа, зато га омогућите само за одобрену потребу.

Наведите шта агент тренутно држи пре и после промене:

ssh-add -l

Послови без надзора траже сопствени план

Заказани посао не може да одговори на захтев. Потребно му је одобрено уређење машинских акредитива, а држање тајне за откључавање у истом директоријуму као кључ, читљиво истом налогу, не ствара другу границу.

Радите са власником услуге на подржаној испоруци тајни или хардверском раду и покријте обнову, отказ и опоравак. Жеља да човек буде за тастатуром мења како изгледа отказ у поређењу са хостом који се подиже без надзора.

Задржите и проверу идентитета хоста на серверу и његова ограничења налога. VPN путања вам даје приватни пут; она не доказује да је сваки доступни SSH слушалац хост који сте наменили. Забележите слушаоца и отисак кључа хоста у исти инвентар као и сам кључ.

Проверите границе одвојено

Тестирајте сваку границу сопственим питањем. Да ли се датотека отвара без приступне фразе? Да ли агент још држи идентитет после прекида везе? Да ли сервер још прихвата јавни кључ?

Две наредбе одговарају на прво и треће:

ssh-keygen -y -f ~/.ssh/id_ed25519
ssh -v [email protected]

Забележите заштиту датотеке, дозвољену употребу кључа и уклањање на страни сервера као три одвојене ставке. Тунел, приступна фраза и агент сваки чува други део односа, а само један од њих се тиче мреже.