Xóa cụm mật khẩu của khóa hay giữ lại? Bản sao bạn tạo ra

Khóa riêng đã mã hóa và khóa không mã hóa chứa cùng một vật liệu khóa. Việc chuyển đổi không tạo danh tính mới, không đặt lại tài khoản VPN và không làm tệp cũ mất hiệu lực. Nó ghi một bản sao thứ hai, và bản sao đó mang rủi ro khi lưu trữ khác đi.

Việc trao đổi có đáng hay không phụ thuộc vào nơi tệp sẽ nằm và ai có thể đọc nó.

Chuyển đổi thực sự thay đổi điều gì

Trước khi chuyển đổi, khóa được bảo vệ bằng cụm mật khẩu do người vận hành cung cấp. Sau khi chuyển đổi, khóa được bảo vệ bằng quyền của hệ thống tệp và mọi kiểm soát truy cập xung quanh tệp. Mật mã học không thay đổi; số thứ đứng giữa kẻ tấn công và khóa đã thay đổi. Đó là toàn bộ so sánh.

Một bảng làm cho sự khác biệt trở nên cụ thể.

Không dạng nào tự động an toàn hơn. Chúng thất bại theo những cách khác nhau, và chỉ một trong những cách đó để lại một mục trong nhật ký.

Khi nào giữ cụm mật khẩu là tốt hơn

Nếu một ứng dụng khách được hỗ trợ có thể nhắc nhập cụm mật khẩu hoặc lấy nó từ kho bí mật đã được phê duyệt, việc chuyển đổi không mua được gì. Bạn giữ một bản sao, một ranh giới bảo vệ và một tệp ít hơn để theo dõi. Hầu hết ứng dụng VPN chấp nhận khóa PEM đều làm được điều này.

Chuyển đổi cũng là bước đi sai khi một nhóm chia sẻ khóa. Một tệp không mã hóa trên máy chủ dùng chung trở thành thông tin xác thực mà bất kỳ ai có quyền truy cập shell đều có thể sao chép.

Khi nào một bản sao không mã hóa là chính đáng

Một số dịch vụ không thể nhắc nhập, một số vùng chứa gắn bí mật ở chế độ chỉ đọc, và một số thiết bị đọc tệp khóa khi khởi động mà không có đường tương tác. Trong những trường hợp đó, một khóa không mã hóa trong thư mục được hạn chế đúng cách có thể là thiết kế được hỗ trợ. Lý do chính đáng là môi trường, không phải sự tiện lợi.

Nếu bạn không thể nói ai có thể đọc tệp và tại sao, câu trả lời là không.

Lệnh và những cạnh sắc của nó

Đối với khóa dựa trên tệp được OpenSSL 3.5 hỗ trợ, tài liệu tham chiếu pkey ghi lại việc xóa cụm mật khẩu và lời nhắc tương tác khi đầu vào đã được mã hóa và không có nguồn mật khẩu nào được cung cấp. Dạng tối thiểu rất ngắn, và dễ chạy một cách bất cẩn.

umask 077
openssl pkey -in protected-key.pem -out new-private-key.pem

Ba cạnh sắc. Hoạt động I/O của tệp đầu ra không nguyên tử, nên một đường dẫn đầu ra hiện có có thể bị cắt giữa lúc ghi. Đừng dùng đường dẫn đầu vào làm đầu ra và đừng thử nghiệm trên bản sao được bảo vệ duy nhất. Nhập cụm mật khẩu tại lời nhắc thay vì trên dòng lệnh, nơi nó rơi vào lịch sử shell.

Kiểm tra kết quả trước khi thay đổi bất kỳ cấu hình VPN nào: openssl pkey -in new-private-key.pem -pubout sẽ in ra đúng khóa công khai mà bạn đã có trước đó.

Điều mà việc chuyển đổi không làm

Nó không thu hồi bản sao đã mã hóa, vốn vẫn tồn tại ở bất cứ nơi nào bạn để lại. Nó không thay đổi mật khẩu tài khoản VPN hay chứng chỉ. Và nó không sửa chữa một sự lộ lộ đã xảy ra. Nếu một khóa bị rò rỉ, giải pháp là thay thế và thu hồi phía máy chủ, không phải thay đổi định dạng cục bộ.

Cố ý xóa tệp trung gian, và xác nhận rằng đường dẫn bạn xóa là đường dẫn bạn đã tạo.