it-swarm-eu.dev

Jak často by se měl pár klíčů SSH měnit?

Už několik let používám 1024bitový RSA klíč pro SSH bez hesel mezi svými vlastními systémy. Nedávno jsem jej také začal používat pro přístup k poskytovatelům hostingu a úložiště zdrojových kódů bez hesla.

Používá stejný pár klíčů po delší dobu a pro přístup k více prostředkům je problém?

40
Tim Lesher

Ano, přísně vzato se doporučuje vypršet platnost SSH klíčů po chvíli (to by mohlo záviset na délce klíče, zranitelnosti nalezené v generátoru klíčů atd.). SSH však takový mechanismus nepředpokládal. A je těžkopádné chodit ke všem možným vzdáleným hostitelům a mazat veřejný klíč.

Existuje řešení - i když jsem to ještě nikdy nezkusil, ale ponechte si ho, až budu mít nějaký volný čas - MonkeySphere pro projekt OpenSSH . To vám umožní spravovat vypršení platnosti vašich klíčů, pokud jsem to pochopil!

10
Huygens

Zastávám zde jiné postavení než ostatní. Moje doporučení: Není nutné měnit svůj soukromý klíč SSH, pokud nemáte dobrý důvod jej změnit.

Odůvodnění: Crypto se neopotřebuje. S opakovaným použitím to není slabší.

Největší důvod ke změně vašeho soukromého klíče je, pokud máte důvod se domnívat, že byl napaden, nebo již není bezpečný. Pokud je například některý z vašich počítačů napaden hackerem a na tomto počítači máte uloženou kopii soukromého klíče, doporučujeme vám změnit klíč SSH. Podobně, pokud se jedna ze záloh zálohuje a měl na ní kopii soukromého klíče SSH, doporučil bych změnit váš klíč SSH. Nebo, pokud jste vygenerovali svůj soukromý klíč ve starém systému Debianu, může to být nejisté a doporučil bych jej změnit. Pokud však nemáte důvod se domnívat, že je váš soukromý klíč ohrožen, nevidím potřebu jej měnit.

Nevýhodou zbytečné změny klíče je, že nyní musíte aktualizovat authorized_keys soubor na každém počítači, do kterého se můžete kdy přihlásit. To je trochu únavné.

Mám podezření, že někteří lidé doporučují, abyste si změnili svůj soukromý klíč, je z profylaktických důvodů: co když se jeden z počítačů, které ukládají váš soukromý klíč, napadl a vy jste nevěděli, a hacker již nemá přístup? Hacker může mít stále svůj soukromý klíč. Proto může existovat určitá hodnota pro příležitostnou změnu vašeho soukromého klíče SSH, aby se omezila expozice v tomto typu scénáře. Ale osobně mám podezření, že takový scénář je velmi vzácný a pravděpodobně nestojí za to, že by se změnila klíč SSH. Pokud tedy ostatní raději pravidelně mění klíče SSH, rozumím jejich důvodům - ale osobně bych se neobtěžoval.

P.S. Pokud jsme mluvili o hostitelském klíči (spíše než o vašem osobním klíči), existuje ještě silnější důvod, aby nedošlo ke zbytečné změně klíče Host: pokud změníte klíč Host, každý, kdo se pokusí přihlásit do tohoto počítače, začne dostávat varování že mohou být pod útokem. Pokud lidé tato varování běžně uvidí, začnou s nimi zacházet jako s bezvýznamným hlukem (bude to situace chlapcův vlků), což podkopává jejich hodnotu. Neměňte proto běžně klíče hostitele bez dobrého důvodu.

34
D.W.

Samozřejmě to záleží na citlivosti vašich dat: chráníte data před svým sousedem, před obchodními útoky, před vládou?

Tento článek odhaduje, že je možné postavit počítač, který dokáže rozbít RSA klíče, 1024 bitů, za rok a utratit několik milionů. Zmíní se o mnoha studiích, z nichž všechny doporučují nejméně 2048 bitů.

Tento web vám může pomoci odhadnout, jak dlouho bude váš klíč odolávat útokům.

A tato otázka dává spoustu odpovědí o velikosti klíče.

Nezapomeňte také, že správné používání soukromého klíče neznamená, že budete mít problémy, pokud váš veřejný klíč drží více než jeden hostitel, ani časy, kdy jej použijete, nebudou slabší. To je důvod, proč byly vytvořeny soukromé-veřejné klíče: pro použití bez zvýšení rizik, protože byly více používány.

4
woliveirajr

Pokud vím, u klíčů RSA neexistuje „opotřebení klíčů“, takže není problém udržet stejnou sadu klíčů. Pokud máte podezření, že vaše klíče mohly být ohroženy, můžete vygenerovat nové klíče, ale jinak to opravdu není nutné.

2
Oleksi

Je to vaše důvěra ve vzdálený server, pokud nedůvěřujete vzdálenému serveru, pak změna vašeho ssh klíče (nový soukromý klíč) a nahrání nové veřejné části na vzdálený server nemá žádnou výhodu.

Váš soukromý klíč ssh necestuje po síti ... Odpovědnost za zabezpečení soukromých klíčů ssh je.

Pokud byla vaše otázka obecnější, znamená to, jak prodloužit platnost klíčů uživatelů, pak záleží. Můžete použít některé nástroje, jako je cfengine, loutka, k pravidelnému nahrávání veřejných ssh klíčů uživatelů na jejich homediry z úložiště/DB, které by obsahovalo časové razítko. Poté můžete uživateli poslat poštu, aby znovu použila klíč, nebo jeho správci. Nebo můžete použít certifikáty s ssh. Přestože tým OpenSSH nevyvinul žádné informace o ukončení platnosti certifikátů ...

Buďte daleko od různých hackovaných řešení openssh a jejich oprav. Podpořili by to v budoucnu?

1
jirib