Действительно ли безопасно подключаться к серверу с помощью SSH из отелей во время путешествия?
Сервер :
- CentOS 7
- авторизация только по ключу RSA - авторизация пароля запрещена
- нестандартный порт
Рабочая станция :
- Ubuntu 14
- пароль пользователя
- пароль для использования ключа RSA (стандартный метод)
Может быть, будет хорошей идеей сохранить половину закрытого ключа RSA на USB-накопителе и автоматически (по сценарию) добавить эту половину в ~ / .ssh / private_key перед подключением?
Интернет будет через WIFI в отелях или по кабелю в съемной квартире.
UPD
Извините за непонятность. Я имею в виду безопасность в двух аспектах:
- Безопасность только соединения SSH через ненадежную сеть.
- Безопасность компьютера с ключом, необходимым для соединения SSH - если он украден, как защитить сервер ...
security
physical-security
Сергей Серов
источник
источник
Ответы:
Итак, что касается создания ssh-соединения по явно недоверенному соединению.
Предполагая, что у вас уже есть запись ~ / .ssh / known_hosts из предыдущего соединения, да, вы должны иметь возможность подключаться, не беспокоясь о том, безопасна ли сеть или нет. То же самое происходит, если у вас есть другие способы проверки ключа хоста ssh.
Если вы никогда ранее не подключались к серверу и не имели никакого другого способа проверки ключа хоста ssh, вы можете быть более осторожны в отношении сети, которую вы используете для подключения.
источник
Во второй части вашего вопроса вы, кажется, беспокоитесь о краже вашего ноутбука, а также о ваших личных ключах для входа по SSH без пароля на ваши серверы.
Обратите внимание, что это можно легко решить (проблема с закрытыми ключами), храня закрытые ключи, «зашифрованные» с помощью «парольной фразы»: они могут быть изначально зашифрованы при генерации с помощью утилиты ssh-keygen , предоставив парольную фразу в конце процесс генерации или, если у вас уже есть незашифрованные, с помощью утилиты ssh-keygen с
-pопцией. После того, как ключ зашифрован, при каждом входе в систему вас просят ввести соответствующую кодовую фразу и .... если все правильно, все будет работать нормально.Кроме того, если вы не хотите вводить фразу-пароль при каждом запуске клиента ssh, вы можете использовать ssh-agent : он может отслеживать в памяти незашифрованные закрытые ключи. Вы можете просто запустить ssh-add, указывая на файл, содержащий зашифрованный ключ, и, после запроса пароля, ключ добавляется в набор, управляемый ssh-agent. После этого каждый раз, когда клиенту SSH требуется ключ, защищенный парольной фразой, ssh-agent прозрачно предоставляет связанный незашифрованный закрытый ключ клиенту ssh. Таким образом, вам не нужно вводить его в интерактивном режиме.
Обратите внимание, что ssh-agent может управлять множеством ключей, и, очевидно, вы можете «настроить» свой ноутбук / рабочий стол для запуска
ssh-addутилиты (для заполнения набора ключей ssh-agent) во время входа в систему / запуска.Кроме того, если кто-то украдет ваш ноутбук, ваши личные ключи, вероятно, будут не единственным «конфиденциальным» контентом, который вы собираетесь выдавать: обратите внимание, что в современных дистрибутивах Linux для настольных компьютеров ОЧЕНЬ легко настроить ноутбук, опирающийся на «зашифрованный» msgstr "файловая система (
/homeкак стартовая, но вся/при необходимости). Поэтому, пожалуйста, учтите это тоже.Все вышесказанное, очевидно, это НЕ применяется , если вы НЕ полагаться на СВОЙ ноутбук.
PS: что касается вашей возможности хранить две половины незашифрованного закрытого ключа на разных носителях: я настоятельно советую вам не делать этого, поскольку сохранение двух частей конфиденциального содержимого в незашифрованном виде намного, намного хуже, чем хранение двух полные копии всего контента в зашифрованном виде!
источник
На первую часть вашего вопроса уже ответил предыдущий ответ. Что касается вашей второй части, я бы порекомендовал добавить второй фактор к вашей учетной записи SSH с помощью pam_google_authenticator. Это довольно простая установка и настройка на любом дистрибутиве. В случае кражи закрытого ключа, который вы носите с собой, они не смогут войти на ваш сервер без одноразового пароля TOTP от google-authenticator.
https://www.howtoforge.com/tutorial/secure-ssh-with-google-authenticator-on-centos-7
источник