SSH anahtarı parolası dosyayı korur, rotayı değil

Eski bir dizüstü bilgisayardan kalan yedek diskte hâlâ özel bir SSH anahtarı var ve biri VPN'in onu koruyup korumadığını soruyor. Korumuyor ve hiç korumadı. VPN iki ağ arasındaki yolu korur; parola ifadesi dosyayı korur; aracı çalışan bir oturumu korur. Üç farklı mekanizma, üç farklı arıza biçimi ve çalınmış bir kopya yalnızca ilk ikisini önemser.

Parola ifadesi dosyaya aittir

Bir SSH anahtarı parolası, durağan haldeki özel anahtar malzemesini şifreler. Sunucuya gönderilen hesap parolası değildir ve VPN'e katılmak için kullanılan kimlik bilgisi de değildir. Bunları karıştırmak, maruziyeti ele almayan değişikliklere yol açar.

OpenSSH'nin ssh-keygen kılavuzu parola ifadelerinin ele alınmasını kapsar; zaten var olan bir anahtara yeni bir parola ifadesi atayan -p anahtarı da buna dahildir.

Var olan bir anahtar için komutun biçimi basittir ve dosyayı yeniden yazar:

ssh-keygen -p -f ~/.ssh/id_ed25519

Anahtar sahibinin onaylı bakım ve kurtarma sürecini kullanın, çünkü bu bir yazma işlemidir, denetim değil. Özel dosyayı yayımlamayın ve paylaşılan bir komut satırına gerçek bir parola ifadesi koymayın. Parola ifadesini değiştirmek, daha önce alınmış bir kopyayı yeniden şifrelemez. Eski kopyanın yerini kayda not edin ki sahibi onu yok edip etmeyeceğine karar verebilsin.

Bir kopya dizüstü bilgisayardan ve tünelden daha uzun yaşar

Bir anahtar dosyası kopyalandığında, dizüstü bilgisayarın etkin VPN bağlantısı artık onun hakkında hiçbir şey söylemez. Önemli olan dosyanın kendisinin ne kadar iyi korunduğu ve hangi sunucuların eşleşen ortak anahtara hâlâ güvendiğidir.

Geçerli dosyadaki parola ifadesini değiştirmek kopyaya dokunmaz ve bir sunucudaki authorized_keys dosyasından aynı ortak anahtarı kaldırmaz. İptal ve yeniden şifreleme ayrı eylemlerdir.

Bu yüzden sızmış bir özel anahtarı ağ olayı değil, kimlik olayı olarak ele alın. Kabul edilen anahtarı, ona sahip olan sunucular ve kayıt süreci üzerinden kaldırın veya değiştirin. VPN'i durdurmak tek bir anda tek bir rotayı sınırlar; bu bir iptal değildir.

Kilidi açmak sırrı bir aracıya taşır

Bir aracı, sonraki kimlik doğrulama için şifresi çözülmüş kimlikleri tutar, böylece kullanıcı her bağlantıda parola ifadesini yeniden yazmaz. Bu, kendi güvenlik sınırı olan bir kolaylıktır.

ssh-agent, -t seçeneğiyle bir kimliğin ne kadar süre yüklü kalacağını sınırlayabilir ve tek bir kimlik için yapılan ayar bu sınırı aşabilir. VPN bağlantısı kesildiğinde yüklü her anahtarın unutulduğunu varsaymak yerine gerçekten çalıştırdığınız aracı için politikayı seçin.

Anahtar açıldıktan sonra ele geçirilen bir süreç, çalınmış şifreli dosyadan farklı bir sorundur. Aracıyı başka bir ana makineye yönlendirmek, anahtar dosyasını kopyalamadan kimlik doğrulama yeteneğini devreder, bu yüzden yalnızca onaylı bir ihtiyaç için etkinleştirin.

Değişiklikten önce ve sonra aracının şu anda ne tuttuğunu listeleyin:

ssh-add -l

Gözetimsiz işlerin kendi planı olmalı

Zamanlanmış bir iş bir isteme yanıt veremez. Onaylı bir makine kimlik bilgisi düzenine ihtiyacı vardır ve kilit açma sırrını anahtarla aynı dizinde, aynı hesap tarafından okunabilir tutmak ikinci bir sınır oluşturmaz.

Desteklenen sır teslimi veya donanım tabanlı çalışma konusunda hizmet sahibiyle birlikte çalışın; yenileme, arıza ve kurtarmayı kapsayın. Klavyenin başında bir insan istenmesi, kimsenin izlemediği bir ana makinenin açılışına kıyasla arızanın görünümünü değiştirir.

Sunucunun ana makine kimliği denetimini ve hesap kısıtlamalarını da koruyun. Bir VPN rotası size özel bir yol verir; ulaştığınız her SSH dinleyicisinin amaçladığınız ana makine olduğunu kanıtlamaz. Dinleyiciyi ve ana makine anahtarının parmak izini anahtarın kendisiyle aynı envantere kaydedin.

Sınırları ayrı ayrı doğrulayın

Her sınırı kendi sorusuyla test edin. Dosya parola ifadesi olmadan açılıyor mu? Aracı bağlantı kesildikten sonra kimliği hâlâ tutuyor mu? Sunucu ortak anahtarı hâlâ kabul ediyor mu?

İki komut birinciyi ve üçüncüyü yanıtlar:

ssh-keygen -y -f ~/.ssh/id_ed25519
ssh -v [email protected]

Dosya korumasını, izin verilen anahtar kullanımını ve sunucu tarafındaki kaldırmayı üç ayrı satır olarak kaydedin. Tünel, parola ifadesi ve aracı ilişkinin farklı bir bölümünü korur ve yalnızca biri ağla ilgilidir.