Kalit parol iborasini olib tashlash yoki saqlash? Siz yaratadigan nusxa
Shifrlanmagan kalit fayli o'sha sirni zaifroq himoya ostida saqlaydi. Konvertatsiyadan oldin dam olish holatidagi xavfni solishtiring va u nimani bekor qilmasligini biling.
Shifrlangan shaxsiy kalit va shifrlanmagan kalit bir xil kalit materialini saqlaydi. Konvertatsiya yangi shaxs yaratmaydi, VPN hisobini tiklamaydi va eski faylni bekor qilmaydi. U ikkinchi nusxani yozadi va bu nusxa dam olish holatidagi boshqa xavfni olib yuradi.
Bu almashinuv arziydimi, fayl qayerda joylashishiga va kim uni o'qiy olishiga bog'liq.
Konvertatsiya aslida nimani o'zgartiradi
Konvertatsiyadan oldin kalit operator taqdim etgan parol iborasi bilan himoyalanadi. Konvertatsiyadan keyin uni fayl tizimi ruxsatlari va fayl atrofidagi har qanday kirish nazorati himoya qiladi. Kriptografiya o'zgarmadi; hujumchi va kalit o'rtasida turgan narsalar soni o'zgardi. Bu butun taqqoslash.
Jadval farqni aniq ko'rsatadi.
| Form | What protects it | How it fails |
|---|---|---|
| Encrypted key | A passphrase plus file access | Weak passphrase, or an offline attack on the file |
| Unencrypted key | File permissions and host security only | Any reader copies it silently |
Hech bir shakl avtomatik ravishda xavfsizroq emas. Ular turli yo'llar bilan muvaffaqiyatsiz bo'ladi va shu yo'llardan faqat bittasi jurnalga yozuv qoldiradi.
Parol iborasini saqlash qachon yaxshiroq
Agar qo'llab-quvvatlanadigan mijoz parol iborasini so'ray olsa yoki tasdiqlangan sir omboridan olsa, konvertatsiya hech narsa sotib olmaydi. Siz bitta nusxa, bitta himoya chegarasi va kuzatish uchun bitta kam fayl saqlaysiz. PEM kalitlarini qabul qiladigan VPN mijozlarining ko'pchiligi buni qila oladi.
Jamoa kalitni bo'lishganda ham konvertatsiya noto'g'ri qadam. Umumiy hostdagi shifrlanmagan fayl shell kirishiga ega har kim nusxalashi mumkin bo'lgan hisob ma'lumotiga aylanadi.
Shifrlanmagan nusxa qachon oqlanadi
Ba'zi xizmatlar so'ray olmaydi, ba'zi konteynerlar sirlarni faqat o'qish uchun ulaydi va ba'zi qurilmalar yuklanish vaqtida interaktiv yo'lsiz kalit faylini o'qiydi. Bunday hollarda to'g'ri cheklangan katalogdagi shifrlanmagan kalit qo'llab-quvvatlanadigan dizayn bo'lishi mumkin. Asos - muhit, qulaylik emas.
Agar faylni kim o'qiy olishini va nima uchun ekanini ayta olmasangiz, javob yo'q.
Buyruq va uning o'tkir qirralari
OpenSSL 3.5 qo'llab-quvvatlaydigan faylga asoslangan kalit uchun pkey ma'lumotnomasi parol iborasini olib tashlashni va kiritish shifrlangan bo'lsa hamda parol manbasi berilmagan bo'lsa, interaktiv so'rovni hujjatlashtiradi. Minimal shakl qisqa va uni ehtiyotsiz ishga tushirish oson.
umask 077
openssl pkey -in protected-key.pem -out new-private-key.pemUch o'tkir qirra. Chiqish fayli I/O atomik emas, shuning uchun mavjud chiqish yo'li yozish o'rtasida kesilishi mumkin. Kirish yo'lini chiqish sifatida ishlatmang va yagona himoyalangan nusxada tajriba qilmang. Parol iborasini buyruq satrida emas, so'rovda kiriting, chunki u yerda shell tarixiga tushadi.
Har qanday VPN konfiguratsiyasini o'zgartirishdan oldin natijani tekshiring: openssl pkey -in new-private-key.pem -pubout avval sizda bo'lgan bir xil ochiq kalitni chop etishi kerak.
Konvertatsiya nima qilmaydi
U shifrlangan nusxani bekor qilmaydi, u qayerda qoldirgan bo'lsangiz ham hali ham mavjud. U VPN hisobining parolini yoki sertifikatni o'zgartirmaydi. Va allaqachon sodir bo'lgan oshkor qilishni tuzatmaydi. Agar kalit oqib ketgan bo'lsa, yechim almashtirish va server tomonida qaytarib olish, mahalliy format o'zgarishi emas.
Oraliq faylni ataylab o'chiring va o'chirayotgan yo'lingiz o'zingiz yaratgan yo'l ekanligini tasdiqlang.