it-swarm-vi.com

Tần suất một cặp khóa SSH nên được thay đổi?

Tôi đã sử dụng khóa RSA 1024 bit cho SSH không mật khẩu giữa các hệ thống của riêng tôi trong nhiều năm. Gần đây tôi cũng đã bắt đầu sử dụng nó để truy cập mật khẩu vào các nhà cung cấp dịch vụ lưu trữ của mình và cho các kho lưu trữ mã nguồn.

Việc sử dụng cùng một cặp khóa trong một khoảng thời gian dài và để truy cập nhiều tài nguyên, có phải là một vấn đề không?

40
Tim Lesher

Có, nói đúng ra là nên hết hạn các khóa SSH sau một thời gian (điều này có thể phụ thuộc vào độ dài khóa, các lỗ hổng được tìm thấy trong trình tạo khóa, v.v.). Tuy nhiên, cơ chế như vậy đã không lường trước được bằng SSH. Và thật khó khăn để đi đến mọi máy chủ từ xa có thể và xóa khóa chung.

Có một giải pháp - mặc dù tôi chưa bao giờ thử nó, nhưng hãy giữ nó khi tôi có thời gian rảnh - dự án MonkeySphere cho OpenSSH . Nó sẽ cho phép quản lý hết hạn các khóa của bạn theo như tôi hiểu!

10
Huygens

Tôi sẽ có một vị trí khác với những người khác ở đây. Đề xuất của tôi: Không cần thay đổi khóa riêng SSH của bạn, trừ khi bạn có lý do chính đáng để thay đổi.

Đặt vấn đề: Tiền điện tử không bị hao mòn. Nó không trở nên yếu hơn khi sử dụng nhiều lần.

Lý do lớn nhất để thay đổi khóa riêng của bạn là nếu bạn có lý do để nghi ngờ nó đã bị xâm phạm hoặc không còn an toàn. Ví dụ: nếu một trong các máy của bạn bị hack và bạn có một bản sao khóa riêng được lưu trữ trên máy đó, tôi khuyên bạn nên thay đổi khóa SSH. Tương tự, nếu một trong các bản sao lưu của bạn đi bộ và nó có một bản sao khóa riêng SSH của bạn trên đó, tôi khuyên bạn nên thay đổi khóa SSH. Hoặc, nếu bạn đã tạo khóa riêng trên hệ thống Debian cũ, thì nó có thể không an toàn và tôi khuyên bạn nên thay đổi nó. Tuy nhiên, nếu bạn không có lý do như vậy để nghi ngờ rằng khóa riêng của bạn bị xâm phạm, tôi thấy không cần phải thay đổi nó.

Nhược điểm của việc thay đổi khóa của bạn một cách không cần thiết là bây giờ bạn phải cập nhật authorized_keys tập tin trên mọi máy bạn có thể đăng nhập. Điều đó hơi tẻ nhạt.

Tôi nghi ngờ lý do mà một số người khuyên bạn nên thay đổi khóa riêng của mình là vì lý do dự phòng: điều gì sẽ xảy ra nếu một trong các máy lưu trữ khóa riêng của bạn bị hack và bạn không biết, và bây giờ hacker không còn quyền truy cập? Tin tặc vẫn có thể có khóa riêng của bạn. Do đó, có thể có một số giá trị để thỉnh thoảng thay đổi khóa riêng SSH của bạn, để hạn chế phơi nhiễm trong loại kịch bản đó. Nhưng cá nhân, tôi nghi ngờ rằng loại kịch bản này rất hiếm và có lẽ không đáng để thay đổi khóa SSH của bạn. Vì vậy, nếu những người khác thích thay đổi khóa SSH của họ theo định kỳ, tôi có thể hiểu lý do của họ - nhưng cá nhân tôi sẽ không bận tâm.

P.S. Nếu chúng ta đang nói về khóa Máy chủ (chứ không phải khóa cá nhân của bạn), thì có một lý do thậm chí còn mạnh mẽ hơn là không thay đổi khóa Máy chủ một cách không cần thiết: nếu bạn thay đổi Khóa máy chủ, mọi người cố gắng đăng nhập vào máy đó sẽ bắt đầu nhận được cảnh báo rằng họ có thể đang bị tấn công. Nếu mọi người thường xuyên nhìn thấy những cảnh báo này, họ sẽ bắt đầu coi chúng là tiếng ồn vô nghĩa (đó sẽ là một tình huống sói khóc), làm giảm giá trị của chúng. Vì vậy, đừng thường xuyên thay đổi khóa Máy chủ mà không có lý do chính đáng.

34
D.W.

Chà, tất nhiên điều đó phụ thuộc vào độ nhạy cảm của dữ liệu của bạn: bạn đang bảo vệ dữ liệu của mình khỏi khu phố của mình, khỏi các cuộc tấn công kinh doanh, từ chính phủ?

Bài viết này ước tính có thể xây dựng một máy tính có thể phá khóa RSA, 1024 bit, trong một năm, tiêu tốn hàng triệu. Họ đề cập đến rất nhiều nghiên cứu, tất cả đều giới thiệu ít nhất 2048 bit.

Trang web này có thể giúp bạn ước tính khóa của bạn sẽ chống lại các cuộc tấn công trong bao lâu.

câu hỏi này đưa ra rất nhiều câu trả lời về keyize.

Ngoài ra, hãy nhớ rằng sử dụng khóa riêng của bạn một cách chính xác không có nghĩa là bạn sẽ gặp vấn đề nếu bạn có thêm một Máy chủ lưu giữ khóa chung của bạn, cũng như những lần bạn sử dụng nó sẽ làm cho nó yếu hơn. Đó là lý do tại sao các khóa công khai được tạo ra: được sử dụng mà không làm tăng rủi ro vì chúng được sử dụng nhiều hơn.

4
woliveirajr

Theo như tôi biết, không có "hao mòn chìa khóa" với các khóa RSA, do đó không có vấn đề gì trong việc giữ cùng một bộ khóa. Nếu bạn nghi ngờ khóa của mình có thể đã bị xâm phạm, bạn có thể tạo khóa mới, nhưng nếu không thì thực sự không cần thiết.

2
Oleksi

Đó là niềm tin của bạn đối với máy chủ từ xa, nếu bạn không tin tưởng máy chủ từ xa, thì việc thay đổi khóa ssh (khóa riêng mới) và tải phần công khai mới lên máy chủ từ xa không có lợi ích gì.

Khóa ssh riêng của bạn không di chuyển qua mạng ... Bảo mật các khóa ssh riêng là khả năng đáp ứng của bạn.

Nếu bạn đặt câu hỏi chung chung hơn, điều đó có nghĩa là làm thế nào để xác nhận lại các khóa của người dùng, thì điều đó còn tùy thuộc. Bạn có thể sử dụng một số công cụ như cengine, con rối để tải các khóa ssh công khai của người dùng lên homedirs của họ từ kho lưu trữ/DB sẽ giữ dấu thời gian. Sau đó, bạn có thể gửi thư cho người dùng để xác nhận lại việc sử dụng khóa hoặc cho người quản lý của mình. Hoặc bạn có thể sử dụng chứng chỉ với ssh. Mặc dù nhóm OpenSSH chưa phát triển bất kỳ thông tin nào về chứng chỉ hết hạn ...

Cách xa các giải pháp openssh bị hack và các bản vá của chúng. Họ sẽ hỗ trợ nó trong tương lai?

1
jirib