SSH: ปลอดภัยสำหรับลูกค้าที่จะโฮสต์คีย์ RSA ส่วนตัวหรือไม่


10

ปลอดภัยหรือไม่ที่จะสร้างคู่กุญแจสาธารณะ / ส่วนตัวบนเซิร์ฟเวอร์เพิ่มกุญแจสาธารณะไปยังรายการที่ได้รับอนุญาตจากนั้นคัดลอกคีย์ส่วนตัวไปยังไคลเอนต์แต่ละตัวดังที่อธิบายไว้ที่นี่ ( http://www.rebol.com/docs/ ssh-auto-login.html ) ถ้าคุณรักษาการควบคุมลูกค้าแต่ละรายไว้อย่างถาวร (เช่นผู้ใช้เดียวกันคอมพิวเตอร์หลายเครื่อง)

ขั้นตอนทั่วไปคือการสร้างคู่คีย์สาธารณะ / ส่วนตัวบนไคลเอนต์แล้วเพิ่มคีย์สาธารณะของลูกค้าไปยังรายการ authorized_keys บนเซิร์ฟเวอร์ตามที่อธิบายไว้ที่นี่ ( http://www.linuxproblem.org/art_9.html ) ด้วยวิธีนี้หากคุณมีคอมพิวเตอร์ไคลเอนต์หลายเครื่องแต่ละเครื่องจะต้องต่อกันกับรายการ authorized_keys และดูแลรักษาตามเวลา

คำตอบ:


22

ขอแสดงความยินดีคุณพบบทแนะนำทางอินเทอร์เน็ตพร้อมคำแนะนำที่ไม่ดี

ปัญหาเกี่ยวกับการใช้คู่คีย์เดียวสำหรับคอมพิวเตอร์หลายเครื่องเกิดขึ้นเมื่อคอมพิวเตอร์เครื่องใดเครื่องหนึ่งถูกบุกรุก จากนั้นคุณไม่มีทางเลือกนอกจากเพิกถอน keypair ทุกที่และ rekey คอมพิวเตอร์ทุกเครื่องที่ใช้ keypair นั้น คุณควรใช้คู่คีย์ที่ไม่ซ้ำกันต่อเครื่องและต่อผู้ใช้เพื่อจำกัดความเสียหายที่คีย์ที่ถูกโจมตีสามารถทำได้

สำหรับการกวดวิชาที่มันคำแนะนำดีที่น่าอัศจรรย์ใจในการสร้าง keypair ในที่เซิร์ฟเวอร์และคัดลอกคีย์ส่วนตัวให้กับลูกค้า ย้อนหลังอย่างสิ้นเชิง คีย์แพร์ควรถูกสร้างขึ้นบนไคลเอนต์และคีย์สาธารณะที่คัดลอกไปยังเซิร์ฟเวอร์แทน มีแม้กระทั่งผู้ช่วยสคริปต์ssh-copy-idที่ทำสิ่งนี้และตลอดทางทำให้แน่ใจว่าสิทธิ์ทั้งหมดถูกต้องไคลเอนต์จะได้รับคีย์โฮสต์ของเซิร์ฟเวอร์ ฯลฯ

อาจมีสถานการณ์ที่คุณต้องการจัดการรหัสประจำตัวของผู้ใช้จากส่วนกลางเช่นสคริปต์อัตโนมัติ แต่ในกรณีนี้คุณควรทำสิ่งนี้จากโฮสต์ที่สามหรือจากระบบจัดการการกำหนดค่าเช่นหุ่นเชิด


2
นอกจากนี้ผู้ใช้ของเครื่องไคลเอนต์ต้องจำไว้ว่าคีย์เฉพาะนี้ไม่สามารถใช้งานได้อย่างปลอดภัยเพื่อวัตถุประสงค์อื่นใดเนื่องจากคุณไม่สามารถรู้ได้ว่าคีย์ส่วนตัวนั้นอยู่ที่ไหน หากคุณทราบว่ารหัสลับถูกสร้างขึ้นบนไคลเอนต์และไม่เคยออกจากไคลเอ็นต์โดยทั่วไปจะปลอดภัยที่จะใช้รหัสเดียวกันเพื่อเข้าสู่ระบบต่าง ๆ
kasperd

7
การเปรียบเทียบกับเข็มที่ใช้ร่วมกันได้มาถึงใจแล้ว แต่ฉันไม่แน่ใจจริงๆว่าฉันอยากจะไปไกลขนาดนั้น ...
Michael Hampton

ไม่แน่ใจว่าคุณจะเอาส่วนที่ไม่สมดุลออกไปเปรียบเทียบได้อย่างไร
kasperd

1
ดี ... ขึ้นอยู่กับปลายเข็มของคุณ
Mircea Vutcovici

3

ปัญหาที่ใหญ่ที่สุดของโปรโตคอลที่อธิบายไว้ในบทช่วยสอนนั้นคือมันไม่ได้ระบุว่าคุณ "ดาวน์โหลดไพรเวตคีย์ไปยังเครื่องลูกข่าย" ในลักษณะที่ปลอดภัยได้อย่างไร (เช่นป้องกันการแอบฟัง) หากคุณยังไม่มีช่องทางที่ปลอดภัยรหัสจะถูกถ่ายโอนอย่างชัดเจนผ่านทางอินเทอร์เน็ต (HTTP, FTP, อีเมลและอื่น ๆ ) คุณสามารถใช้ HTTPS แต่ถ้าคุณไม่มีใบรับรองจริง ๆ มันอาจเป็น MITM ที่จะดมกลิ่นกุญแจ ทำตามที่คุณควรจะทำ สร้าง keypair บนเครื่องไคลเอนต์โอนกุญแจสาธารณะไปยังเซิร์ฟเวอร์และอย่าลืมตรวจสอบการตรวจสอบไฟล์เพื่อให้แน่ใจว่ามันไม่ได้ถูกแก้ไขในการถ่ายโอน

โดยการใช้ไซต์ของเรา หมายความว่าคุณได้อ่านและทำความเข้าใจนโยบายคุกกี้และนโยบายความเป็นส่วนตัวของเราแล้ว
Licensed under cc by-sa 3.0 with attribution required.