SSH: Вы используете одну пару частных /открытых ключей для каждой удаленной машины? Или одна пара для всех?

Если вы хотите, чтобы на основе ssh-входа на основе открытого ключа для нескольких компьютеров использовался ли вы один закрытый ключ и ставьте тот же открытый ключ на всех машинах? Или у вас есть одна пара частных /открытых ключей для каждого соединения?

21 голос | спросил Nick 2 12009vEurope/Moscow11bEurope/MoscowMon, 02 Nov 2009 14:49:32 +0300 2009, 14:49:32

5 ответов


25

Я использую один ключ для каждого набора систем, которые имеют общую административную границу. Это ограничивает количество машин, которые появляются, если ключ скомпрометирован, но не полностью подавляет мою способность хранить и управлять несколькими тысячами ключей. Различные фразы на каждой клавише означают, что даже если все ваши личные ключи украдены и один ключ скомпрометирован, остальные не спускаются в туалет с ним. Кроме того, если вы делаете что-то глупое (например, скопируйте секретный ключ на ненадежную машину), снова вам не нужно все развернуть, просто машины, связанные с этим ключом.

ответил womble 2 12009vEurope/Moscow11bEurope/MoscowMon, 02 Nov 2009 15:05:03 +0300 2009, 15:05:03
4

Открытый ключ не имеет большого значения, поскольку по определению он может быть опубликован. Таким образом, единственная проблема - конфиденциальность ваших личных ключей. Они находятся на вашей собственной машине, и все вместе, поэтому, если кто-то скомпрометирован, вполне вероятно, что все они будут скомпрометированы. Таким образом, несколько клавиш - это просто больше работы для того же эффекта.

Единственный раз, когда я буду использовать разные ключи, - это разные учетные записи или разные роли, которые по определению не должны иметь полного перекрытия при доступе.

ответил Lee B 2 12009vEurope/Moscow11bEurope/MoscowMon, 02 Nov 2009 23:21:33 +0300 2009, 23:21:33
2

Если я правильно понимаю, каждый сервер будет иметь свой открытый ключ.

Для данного пользователя вы можете сгенерировать один ключ и использовать его повсюду, пока закрытый ключ реплицируется на все инициирующие хосты. (Это произойдет автоматически через сетевые домашние каталоги и систему аутентификации на основе каталогов, такую ​​как OpenLDAP, так как пользователь всегда будет «тем же» независимо от того, на какой рабочей станции они заходят.)

За пределами пользовательской системы на основе каталогов, я думаю, что Bad Idea ™ использует одни и те же ключи повсюду - вы получаете чистое снижение безопасности системы, поскольку любой, кто может получить ключ от любой из рабочих станций, может затем аутентифицироваться как этот пользователь на удаленном сервере.

Другая альтернатива, которой пользуются несколько крупных корпораций (и я уверен, что маленькие тоже), никогда не позволяет «пользователю» использовать предварительно разделяемые ключи, а скорее иметь вход в «прыжок» или «переход», hub ", su соответствующему подключаемому пользователю, а затем SSH оттуда к серверам, которым им нужно управлять.

Кроме того, если вы используете систему управления, такую ​​как платформа HP Server Automation, то удаленное администрирование управляемых серверов становится более упрощенным процессом.

ответил warren 2 12009vEurope/Moscow11bEurope/MoscowMon, 02 Nov 2009 15:05:51 +0300 2009, 15:05:51
1

Как говорили другие, хотя идея нескольких пар ключей может казаться более безопасной, если есть вероятность, что они будут использоваться таким образом, что все они находятся в одном и том же месте, тогда это будет просто больше хлопот и не более безопасный. Множественные парольные фразы сделали бы его более безопасным, но также и большую головную боль, пытаясь вспомнить, какая кодовая фраза идет с каким ключом и какой ключ идет с каким сервером.

Наиболее разумным ответом для меня будет тот, где было предложено сделать это ТОЛЬКО, если оно связано с отдельными административными ролями без значительного дублирования. Таким образом, это могут быть разные люди, которые выполняют разные роли, или на разных рабочих станциях или что угодно. В этом случае у вас есть более уникальные вещи для решения каждой отдельной роли, так что это более оправданно.

ответил fred 16 J000000Monday12 2012, 05:45:55
0

Для упрощения управления несколькими серверами, поддерживающими SSH, вы можете проверить cssh . Вы можете комбинировать cssh с кодовыми ключами SSH, чтобы значительно повысить способность одновременно управлять несколькими серверами.

ответил Greeblesnort 2 12009vEurope/Moscow11bEurope/MoscowMon, 02 Nov 2009 23:35:10 +0300 2009, 23:35:10

Похожие вопросы

Популярные теги

security × 330linux × 316macos × 2827 × 268performance × 244command-line × 241sql-server × 235joomla-3.x × 222java × 189c++ × 186windows × 180cisco × 168bash × 158c# × 142gmail × 139arduino-uno × 139javascript × 134ssh × 133seo × 132mysql × 132