Ta bort en nyckelfras eller behålla den? Kopian du skapar

En krypterad privat nyckel och en okrypterad innehåller samma nyckelmaterial. Konvertering skapar ingen ny identitet, återställer inget VPN-konto och ogiltigförklarar inte den gamla filen. Den skriver en andra kopia, och den kopian bär en annan risk i vila.

Om bytet är värt det beror på var filen ska ligga och vem som kan läsa den.

Vad konvertering faktiskt ändrar

Före konvertering skyddas nyckeln av en nyckelfras som operatören anger. Efter konvertering skyddas den av filsystemets behörigheter och all åtkomstkontroll runt filen. Kryptografin har inte ändrats; antalet saker mellan en angripare och nyckeln har ändrats. Det är hela jämförelsen.

En tabell gör skillnaden konkret.

Ingen av formerna är automatiskt säkrare. De misslyckas på olika sätt, och bara ett av dessa sätt lämnar en loggpost.

När det är bättre att behålla nyckelfrasen

Om en klient som stöds kan fråga efter nyckelfrasen eller hämta den från ett godkänt hemlighetslager köper konverteringen ingenting. Du behåller en kopia, en skyddsgräns och en fil mindre att hålla reda på. De flesta VPN-klienter som accepterar PEM-nycklar kan göra detta.

Konvertering är också fel drag när ett team delar nyckeln. En okrypterad fil på en delad värd blir en inloggningsuppgift som alla med shell-åtkomst kan kopiera.

När en okrypterad kopia är motiverad

Vissa tjänster kan inte fråga, vissa containrar monterar hemligheter skrivskyddat och vissa enheter läser en nyckelfil vid start utan en interaktiv väg. I sådana fall kan en okrypterad nyckel i en korrekt begränsad katalog vara den stödda designen. Motiveringen är miljön, inte bekvämligheten.

Om du inte kan säga vem som kan läsa filen och varför, är svaret nej.

Kommandot och dess skarpa kanter

För en filbaserad nyckel som stöds av OpenSSL 3.5, pkey-referensen dokumenterar borttagning av nyckelfrasen och en interaktiv fråga när indata är krypterade och ingen lösenordskälla anges. Den minimala formen är kort, och den är lätt att köra oaktsamt.

umask 077
openssl pkey -in protected-key.pem -out new-private-key.pem

Tre skarpa kanter. I/O för utdatafilen är inte atomär, så en befintlig utdatasökväg kan kapas mitt i skrivningen. Använd inte indatasökvägen som utdata och experimentera inte på den enda skyddade kopian. Skriv in nyckelfrasen vid frågan i stället för på kommandoraden, där den hamnar i shellhistoriken.

Kontrollera resultatet innan du ändrar någon VPN-konfiguration: openssl pkey -in new-private-key.pem -pubout bör skriva ut samma publika nyckel som du hade tidigare.

Vad konvertering inte gör

Den återkallar inte den krypterade kopian, som fortfarande finns där du lämnade den. Den ändrar inte VPN-kontots lösenord eller certifikatet. Och den reparerar inte en exponering som redan har skett. Om en nyckel har läckt är lösningen utbyte och återkallande på serversidan, inte en lokal formatändring.

Radera mellanfilen med avsikt, och bekräfta att sökvägen du raderar är den du skapade.