Devo avere una passphrase per la mia chiave SSH RSA?

Prima di iniziare il mio attuale lavoro (in una piccola impresa), il mio ufficio non aveva firewall sulla rete e letteralmente non veniva mai eseguito il backup. Ora che ho firmato come dipartimento dedicato sysadmin / one-man-IT, ho fatto il possibile per cambiarlo. Dopo aver spiegato al mio capo quanto fossimo vulnerabili, mi ha permesso di installare alcuni server di backup, uno dei quali è a casa sua.

In questo momento, sto cercando di impostare tutto in modo da poter automatizzare i backup giornalieri. Sto programmando di usare rsync tramite ssh per fare questo. Per motivi di sicurezza e per facilità di automazione, avevo in programma di disabilitare l'accesso con password ssh e di utilizzare solo la convalida della chiave rsa. Bene, se ho un set di passphrase rsa, allora dovrei ancora inserire una password, e questo è un problema.

Non avere una passphrase rsa rende le cose significativamente meno sicure? Sono l'unica persona in azienda che ha qualche indizio su questo genere di cose, quindi non sono troppo preoccupata per qualcuno che chiama un terminale sulla mia macchina (che è sempre bloccato quando sono AFK, comunque ) e immergersi in uno dei server di backup e causare danni. Sono ancora molto, molto nuovo nel mondo dell'amministrazione dei sistemi, e questa è la prima volta che faccio qualcosa del genere, e non voglio lasciare buchi nell'impostazione della sicurezza.

I computer in questione qui eseguono Ubuntu 10.10, SME Server e OSX 10.6, se questo in qualche modo fa la differenza.

Come sai, il vantaggio che ti offre la passphrase è che se qualcuno è in grado di leggere la tua chiave privata, non è in grado di usarla.

Se qualcuno è in grado di accedere a quella chiave privata, dovresti dare per scontato che abbiano accesso (ed) / compromesso qualunque macchina sia configurata con la chiave pubblica. Cose come .bash_history o .ssh / config lo rendono più semplice, anche se il tuo .ssh / known_hosts è offuscato.

Non avere una password sulla tua chiave non è la fine del mondo, ecco 3 idee per provare ad aiutarti a proteggerti un po 'meglio nonostante ciò. ( Il grande è il secondo, leggi che se non altro )

1. Non utilizzare la stessa chiave su tutte le macchine e gli utenti. Generare ogni utente su ogni macchina (che deve fare questo tipo di cose) la propria coppia di chiavi. Ciò ti consentirà di mantenere un controllo accurato su ciò che è in grado di vedere dove.

2. Quando si aggiunge la chiave al file authorized_keys, è possibile bloccarla per poter eseguire solo un comando specifico o utilizzarla solo da un host specifico.

   Vedi man sshe cerca command = e from =

   La sintassi è simile a:

   from="1.2.3.4",command="/path/to/executable argument" ssh-rsa key name

   cioè pop 'rsync' lì e solo 'rsync' può essere chiamato dalla tua chiave, e solo dall'indirizzo IP 1.2.3.4. È possibile separare più IP ,. Sono supportati anche i nomi host.

3. Un'altra cosa che mi viene in mente è la direttiva "AllowUser" nel tuo sshd_config

   AllowUsers

   Questa parola chiave può essere seguita da un elenco di modelli di nomi utente, separati da spazi. Se specificato, l'accesso è consentito solo per i nomi utente che corrispondono a uno dei modelli. '*' e '?' può essere utilizzato come carattere jolly nei motivi. Sono validi solo i nomi utente; un ID utente numerico non viene riconosciuto. Per impostazione predefinita, l'accesso è consentito a tutti gli utenti. Se il modello assume il formato USER @ HOST, USER e HOST vengono controllati separatamente, limitando gli accessi a determinati utenti da determinati host.

   Ciò garantisce sostanzialmente che l'utente possa accedere solo da una determinata posizione. (Anche se accetta anche i caratteri jolly) Non risolverà tutti i tuoi problemi ma renderà almeno più difficile per gli altri.

Puoi usare qualcosa come il portachiavi per rendere meno dolorosa la passphrase. Questo è leggermente più sicuro rispetto all'utilizzo di un accesso senza password e può essere utilizzato in combinazione con le altre risposte qui. La risposta di PriceChild è stata abbastanza buona.

Personalmente uso DSA e non RSA, principalmente perché è quello che ho sempre usato e so che "funziona", ma la teoria immagino sia la stessa. È possibile sostituire dsacon rsanel seguito.

Sulla fonte:

$ ssh-keygen -t dsa

Quindi copiare il contenuto del .ssh/id_dsa.pubfile nell'account .ssh/authorized_keysutente sulla destinazione.

Quindi dovresti essere in grado di ssh tra l'origine e la destinazione senza password.