En SSH-nyckelfras skyddar filen, inte rutten

En säkerhetskopiedisk från en gammal bärbar dator innehåller fortfarande en privat SSH-nyckel, och någon frågar om VPN skyddar den. Det gör det inte, och det har det aldrig gjort. VPN skyddar en väg mellan två nätverk; frasen skyddar filen; agenten skyddar en session som körs. Tre olika mekanismer, tre olika felmoder, och en stulen kopia bryr sig bara om de två första.

Frasen hör till filen

En SSH-nyckelfras krypterar det privata nyckelmaterialet i vila. Det är inte kontolösenordet som skickas till servern, och det är inte legitimationen som används för att ansluta till VPN. Att blanda ihop dem leder till ändringar som inte hanterar exponeringen.

OpenSSHs ssh-keygen-handbok täcker hantering av fraser, inklusive växeln -p som sätter en ny fras på en nyckel som redan finns.

För en befintlig nyckel är kommandots form enkel, och det skriver om filen:

ssh-keygen -p -f ~/.ssh/id_ed25519

Använd nyckelägarens godkända underhålls- och återställningsprocess, eftersom detta är en skrivning, inte en inspektion. Publicera inte den privata filen och sätt inte en riktig fras på en delad kommandorad. En frasändring krypterar inte om en kopia som togs tidigare. Anteckna den gamla kopians plats i ärendet så att ägaren kan avgöra om den ska förstöras.

En kopia överlever den bärbara datorn och tunneln

När en nyckelfil har kopierats säger den bärbara datorns aktiva VPN-anslutning inget mer om den. Det som spelar roll är hur väl själva filen är skyddad, och vilka servrar som fortfarande litar på den matchande publika nyckeln.

Att ändra frasen på den aktuella filen rör inte kopian, och tar inte bort samma publika nyckel från authorized_keys på en server. Återkallelse och omkryptering är separata åtgärder.

Behandla därför en läckt privat nyckel som en identitetshändelse, inte en nätverkshändelse. Ta bort eller byt ut den accepterade nyckeln via servrarna och registreringsprocessen som äger den. Att stoppa VPN begränsar en rutt vid ett tillfälle; det är inte återkallelse.

Upplåsning flyttar hemligheten in i en agent

En agent håller dekrypterade identiteter för senare autentisering, så att användaren inte skriver frasen igen för varje anslutning. Det är en bekvämlighet med egen säkerhetsgräns.

ssh-agent kan begränsa hur länge en identitet förblir laddad via sitt -t-alternativ, och en inställning per identitet kan åsidosätta den gränsen. Välj policyn för den agent du faktiskt kör i stället för att anta att en VPN-frånkoppling glömmer varje laddad nyckel.

En process som komprometteras efter att nyckeln låsts upp är ett annat problem än en stulen krypterad fil. Vidarebefordran av agenten till en annan värd delegerar autentiseringsförmågan utan att kopiera nyckelfilen, så aktivera det bara för ett godkänt behov.

Lista vad agenten håller just nu, före och efter en ändring:

ssh-add -l

Obemannade jobb behöver sin egen plan

Ett schemalagt jobb kan inte svara på en fråga. Det behöver ett godkänt upplägg för maskinlegitimation, och att hålla upplåsningshemligheten i samma katalog som nyckeln, läsbar för samma konto, skapar inte en andra gräns.

Arbeta med tjänsteägaren kring stödd hemlighetsleverans eller maskinvarubaserad drift, och täck förnyelse, fel och återställning. Önskan om en människa vid tangentbordet ändrar hur ett fel ser ut jämfört med en värd som startar utan att någon ser efter.

Behåll också serverns värdidentitetskontroll och dess kontobegränsningar. En VPN-rutt ger dig en privat väg; den bevisar inte att varje SSH-lyssnare du når är den värd du hade tänkt dig. Registrera lyssnaren och värdnyckelns fingeravtryck i samma inventarium som själva nyckeln.

Verifiera gränserna var för sig

Testa varje gräns med sin egen fråga. Öppnas filen utan frasen? Håller agenten identiteten efter en frånkoppling? Accepterar servern fortfarande den publika nyckeln?

Två kommandon svarar på den första och den tredje:

ssh-keygen -y -f ~/.ssh/id_ed25519
ssh -v [email protected]

Registrera filskydd, tillåten nyckelanvändning och borttagning på serversidan som tre separata poster. En tunnel, en fras och en agent vaktar var sin del av relationen, och bara en av dem handlar om nätverket.