Использование пароля для SSH на одном компьютере, где хранятся мои ключи SSH, а затем использование этих ключей небезопасно?
Я знаю, что гораздо безопаснее использовать ssh-ключи, чем использовать имя пользователя и пароли. Итак, мой вопрос заключается в следующем:
Если мне нужно ssh подключиться к нескольким серверам из коробки, которую я никогда раньше не использовал (чтобы мне приходилось использовать свое имя пользователя и пароль), безопасно ли мне просто подключить ssh к одному компьютеру, а затем использовать этот компьютер (который будет хранятся ли на нем все мои ключи ssh) для перехода на другие компьютеры?
Это дает какие-то преимущества?
1 ответ
Сила вашей компьютерной системы (систем) так же сильна, как и самое слабое звено.
Использование ключей SSH - намного более сильный подход, чем имя пользователя / пароль, но если имя пользователя и пароль по-прежнему являются опцией, то это ваша самая слабая ссылка. Если бы вы отключили аутентификацию по паролю на всех других компьютерах, это было бы незначительно безопаснее только из-за того, что ваша экспозиция теперь ограничена одним компьютером, который уязвим для атаки паролем.
Если у вас есть набор доверенных компьютеров (то есть вы являетесь единственным пользователем, имеющим root-доступ к этому блоку), я бы порекомендовал установить ваш открытый ключ на каждом из этих компьютеров, а затем использовать так называемую "Переадресацию агента SSH", чтобы запуск компьютера по SSH и аутентификация с каждым компьютером по пути. Таким образом, ваш стартовый компьютер будет выступать в роли мастера и предоставлять необходимые учетные данные, к сожалению, если вы используете "новый" компьютер, у вас нет такой роскоши.
Даже если вы не используете Ubuntu, это хорошая статья для чтения: https://help.ubuntu.com/community/SSH/OpenSSH/Configuring
Я сам не пробовал, но двухфакторная аутентификация может быть хорошим решением для вашего пароля / варианта использования чужого компьютера: https://www.digitalocean.com/community/tutorials/how-to-protect-ssh-with-two-factor-authentication
По крайней мере, я бы порекомендовал вам использовать менеджер паролей (например, mSecure) и криптографически безопасный случайный сгенерированный пароль значительной длины.
Отказ от ответственности: я не эксперт по компьютерной безопасности, я только что подобрал одну или две вещи за эти годы.