Anahtarın parola ifadesini kaldırmak mı, saklamak mı? Oluşturduğunuz kopya
Şifrelenmemiş anahtar dosyası aynı sırrı daha zayıf koruma altında tutar. Dönüştürmeden önce durağan durum riskini karşılaştırın ve neleri geri almadığını bilin.
Şifrelenmiş özel anahtar ile şifrelenmemiş anahtar aynı anahtar malzemesini tutar. Dönüştürme yeni bir kimlik oluşturmaz, bir VPN hesabını sıfırlamaz ve eski dosyayı geçersiz kılmaz. İkinci bir kopya yazar ve bu kopya farklı bir durağan durum riski taşır.
Takasın buna değip değmeyeceği dosyanın nerede yaşayacağına ve onu kimin okuyabileceğine bağlıdır.
Dönüştürme gerçekte neyi değiştirir
Dönüştürmeden önce anahtar, operatörün sağladığı bir parola ifadesiyle korunur. Dönüştürmeden sonra dosya sistemi izinleri ve dosyayı çevreleyen her türlü erişim denetimiyle korunur. Kriptografi değişmedi; saldırgan ile anahtar arasında duran şeylerin sayısı değişti. Bütün karşılaştırma bu kadar.
Bir tablo farkı somutlaştırır.
| Form | What protects it | How it fails |
|---|---|---|
| Encrypted key | A passphrase plus file access | Weak passphrase, or an offline attack on the file |
| Unencrypted key | File permissions and host security only | Any reader copies it silently |
Hiçbir biçim otomatik olarak daha güvenli değildir. Farklı biçimlerde başarısız olurlar ve bu yollardan yalnızca biri günlükte bir kayıt bırakır.
Parola ifadesini saklamak ne zaman daha iyidir
Desteklenen bir istemci parola ifadesini sorabiliyor veya onaylanmış bir sır deposundan alabiliyorsa dönüştürme hiçbir şey kazandırmaz. Bir kopya, bir koruma sınırı ve izlenecek bir dosya daha az tutarsınız. PEM anahtarlarını kabul eden VPN istemcilerinin çoğu bunu yapabilir.
Bir ekip anahtarı paylaştığında dönüştürme de yanlış adımdır. Paylaşılan bir ana bilgisayardaki şifrelenmemiş dosya, kabuk erişimi olan herkesin kopyalayabileceği bir kimlik bilgisine dönüşür.
Şifrelenmemiş bir kopya ne zaman haklıdır
Bazı hizmetler soramaz, bazı kapsayıcılar sırları salt okunur bağlar ve bazı aygıtlar açılışta etkileşimli bir yol olmadan anahtar dosyasını okur. Bu durumlarda, düzgün kısıtlanmış bir dizindeki şifrelenmemiş anahtar desteklenen tasarım olabilir. Gerekçe ortamdır, kolaylık değil.
Dosyayı kimin okuyabileceğini ve neden okuyabileceğini söyleyemiyorsanız, yanıt hayırdır.
Komut ve keskin kenarları
OpenSSL 3.5 tarafından desteklenen dosya tabanlı bir anahtar için pkey başvurusu parola ifadesinin kaldırılmasını ve girdi şifreliyken ve hiçbir parola kaynağı verilmediğinde etkileşimli bir istemi belgeler. En küçük biçim kısadır ve dikkatsizce çalıştırmak kolaydır.
umask 077
openssl pkey -in protected-key.pem -out new-private-key.pemÜç keskin kenar. Çıktı dosyası G/Ç işlemleri atomik değildir, bu nedenle var olan bir çıktı yolu yazma sırasında kesilebilir. Girdi yolunu çıktı olarak kullanmayın ve tek korumalı kopya üzerinde deney yapmayın. Parola ifadesini komut satırı yerine istemde girin; komut satırında kabuk geçmişine düşer.
Herhangi bir VPN yapılandırmasını değiştirmeden önce sonucu kontrol edin: openssl pkey -in new-private-key.pem -pubout daha önce sahip olduğunuz aynı genel anahtarı yazdırmalıdır.
Dönüştürmenin yapmadığı şey
Şifrelenmiş kopyayı iptal etmez; o kopya nereye bıraktıysanız hâlâ orada durur. VPN hesabının parolasını veya sertifikayı değiştirmez. Ve zaten yaşanmış bir açığa çıkmayı onarmaz. Bir anahtar sızdıysa çözüm, yerel bir biçim değişikliği değil, değiştirme ve sunucu tarafında geri çekmedir.
Ara dosyayı bilerek silin ve sildiğiniz yolun oluşturduğunuz yol olduğunu doğrulayın.