ลบวลีรหัสของกุญแจหรือเก็บไว้? สำเนาที่คุณสร้างขึ้น
ไฟล์กุญแจที่ไม่เข้ารหัสเก็บความลับเดียวกันไว้ภายใต้การป้องกันที่อ่อนกว่า เปรียบเทียบความเสี่ยงขณะพักก่อนการแปลง และรู้ว่ามันไม่ได้ย้อนคืนอะไร
กุญแจส่วนตัวที่เข้ารหัสและกุญแจที่ไม่เข้ารหัสเก็บวัสดุกุญแจเดียวกัน การแปลงไม่ได้สร้างตัวตนใหม่ ไม่รีเซ็ตบัญชี VPN และไม่ทำให้ไฟล์เก่าใช้ไม่ได้ มันเขียนสำเนาที่สอง และสำเนานั้นมีความเสี่ยงขณะพักที่ต่างออกไป
การแลกเปลี่ยนนี้คุ้มหรือไม่ขึ้นอยู่กับว่าไฟล์จะอยู่ที่ใดและใครสามารถอ่านได้
การแปลงเปลี่ยนอะไรจริง ๆ
ก่อนการแปลง กุญแจได้รับการป้องกันด้วยวลีรหัสที่ผู้ดูแลระบบจัดให้ หลังการแปลง กุญแจได้รับการป้องกันด้วยสิทธิ์ของระบบไฟล์และมาตรการควบคุมการเข้าถึงใด ๆ รอบไฟล์ วิทยาการเข้ารหัสไม่ได้เปลี่ยน สิ่งที่เปลี่ยนคือจำนวนชั้นที่กั้นระหว่างผู้โจมตีกับกุญแจ นั่นคือการเปรียบเทียบทั้งหมด
ตารางทำให้ความแตกต่างเป็นรูปธรรม
| Form | What protects it | How it fails |
|---|---|---|
| Encrypted key | A passphrase plus file access | Weak passphrase, or an offline attack on the file |
| Unencrypted key | File permissions and host security only | Any reader copies it silently |
ไม่มีรูปแบบใดปลอดภัยกว่าโดยอัตโนมัติ ทั้งสองล้มเหลวต่างกัน และมีเพียงวิธีเดียวเท่านั้นที่ทิ้งบันทึกไว้ในล็อก
เมื่อใดควรเก็บวลีรหัสไว้
หากไคลเอนต์ที่รองรับสามารถถามวลีรหัสหรือดึงจากที่เก็บความลับที่ได้รับอนุมัติ การแปลงก็ไม่ได้อะไรเลย คุณเก็บสำเนาเดียว ขอบเขตการป้องกันเดียว และมีไฟล์ให้ติดตามน้อยลงหนึ่งไฟล์ ไคลเอนต์ VPN ส่วนใหญ่ที่รับคีย์ PEM ทำได้
การแปลงยังเป็นก้าวที่ผิดเมื่อทีมใช้กุญแจร่วมกัน ไฟล์ที่ไม่เข้ารหัสบนโฮสต์ที่ใช้ร่วมกันจะกลายเป็นข้อมูลรับรองที่ใครก็ตามที่มีสิทธิ์เชลล์สามารถคัดลอกได้
เมื่อใดสำเนาที่ไม่เข้ารหัสจึงสมเหตุสมผล
บางบริการถามไม่ได้ บางคอนเทนเนอร์เมานต์ความลับแบบอ่านอย่างเดียว และบางอุปกรณ์อ่านไฟล์กุญแจตอนบูตโดยไม่มีเส้นทางโต้ตอบ ในกรณีเหล่านั้น กุญแจที่ไม่เข้ารหัสในไดเรกทอรีที่จำกัดอย่างเหมาะสมอาจเป็นดีไซน์ที่รองรับ เหตุผลคือสภาพแวดล้อม ไม่ใช่ความสะดวก
หากคุณบอกไม่ได้ว่าใครอ่านไฟล์ได้และเพราะอะไร คำตอบคือไม่
คำสั่งและขอบคมของมัน
สำหรับกุญแจที่อิงไฟล์ซึ่ง OpenSSL 3.5 รองรับ เอกสารอ้างอิง pkey อธิบายการลบวลีรหัสและพรอมต์โต้ตอบเมื่ออินพุตถูกเข้ารหัสและไม่ได้ระบุแหล่งรหัสผ่าน รูปแบบน้อยที่สุดนั้นสั้น และเป็นเรื่องง่ายที่จะเรียกใช้อย่างไม่ระวัง
umask 077
openssl pkey -in protected-key.pem -out new-private-key.pemขอบคมสามประการ การรับส่งไฟล์เอาต์พุตไม่ใช่แบบอะตอมมิก ดังนั้นพาธเอาต์พุตที่มีอยู่แล้วอาจถูกตัดกลางการเขียน อย่าใช้พาธอินพุตเป็นเอาต์พุต และอย่าทดลองบนสำเนาที่ได้รับการป้องกันเพียงชุดเดียว ป้อนวลีรหัสที่พรอมต์แทนที่จะป้อนบนบรรทัดคำสั่ง ซึ่งมันจะไปอยู่ในประวัติของเชลล์
ตรวจสอบผลลัพธ์ก่อนเปลี่ยนการกำหนดค่า VPN ใด ๆ openssl pkey -in new-private-key.pem -pubout ควรพิมพ์กุญแจสาธารณะเดิมที่คุณมีก่อนหน้านี้
สิ่งที่การแปลงไม่ได้ทำ
มันไม่ได้เพิกถอนสำเนาที่เข้ารหัส ซึ่งยังคงอยู่ทุกที่ที่คุณทิ้งไว้ มันไม่เปลี่ยนรหัสผ่านบัญชี VPN หรือใบรับรอง และไม่ซ่อมแซมการเปิดเผยที่เกิดขึ้นแล้ว หากกุญแจรั่วไหล ทางแก้คือการเปลี่ยนและการเพิกถอนฝั่งเซิร์ฟเวอร์ ไม่ใช่การเปลี่ยนรูปแบบในเครื่อง
ลบไฟล์กลางอย่างตั้งใจ และยืนยันว่าพาธที่คุณลบคือพาธที่คุณสร้าง