LINUX.ORG.RU
Форум — General  

как безопасно хранить ssh ключи?

 


1

2

Здравствуйте, подскажите пожалуйста, а кто как хранит у себя приватные ssh-ключи и на что обращать внимание с т.з. безопасности? Насколько нормально/плохо хранить по стандартной практике в домашнем каталоге пользователя в каталоге .ssh? На мой взгляд, безопаснее хранить где-нибудь в другом месте, а то этот каталог точно проверят в случае чего. Используете ли для хранения ключей какие-нибудь менеджеры паролей с ssh-агентом? Насколько сильно небезопасно сохранять парольную фразу ключа в каком-нибудь ssh-агенте, где есть такая возможность, чтобы не вводить каждый раз при входе на хост? (Moba Xterm и т.д.)

Насколько сильно небезопасно сохранять парольную фразу ключа в каком-нибудь ssh-агенте, где есть такая возможность, чтобы не вводить каждый раз при входе на хост?

Если паролить ключ тем же паролем, что и у пользователя то можно застакать pam-модули так, что агент будет разлочивать ключ при входе по паролю.

Pinkbyte ★★★★★
()

На мой взгляд, безопаснее хранить где-нибудь в другом месте, а то этот каталог точно проверят в случае чего.

Товарищ майор в соседнем кресле щас под стол скатится от смеха.

Clockwork ★★★★★
()

все пароли храню в текстовом файлике на флешке в двух экземплярах.

проблемы безопасно хранить нет, есть проблема потерять.

безопасно хранить ты можешь на устройстве которое не выходит в сеть. никуда твои данные не утекут. это ничем не отличается от хранения на клочке бумаги.

а вот потерять свои данные ты можешь на раз-два, банально забыв, куда сохранял их. просто если ты нормальный человек и живёшь обычной жизнью, где у тебя дом, семья, дети, друзья, работа и всё прочее... вот тебе делать больше нефиг, кроме как пердолить линукс на тему безопасного хранения данных? а? серьёзно? настолько заняться нечем?

вот поэтому берёшь текстовый файлик и записываешь на две-три флешки и читаешь на устройстве без интернета.

nuff said.

Spoofing ★★★★★
()

ещё для ssh есть опция -J для прыжка через хост, это как раз сделано для того, что ты на одном доверенном хосте можешь хранить все ssh ключи, и через него подключаться к другим хостам.

Spoofing ★★★★★
()

чтобы не вводить каждый раз при входе на хост?

Имеешь в виду промежуточные хосты, на которые могут ходить другие пользователи? Тогда тебе нужно проксировать запросы к агенту (ssh -A), а не класть свои ключи на промежуточный хост.

i-rinat ★★★★★
()

Единственно верный ответ, в аппаратном токене. Я лично (как и многие) боюсь не силовиков, которые всё равно получат доступ ко всем моим данным, а потерять ключи, винт сдох, например. Поэтому я делаю архивы, а не занимаюсь безопасностью.

azsx
()
General