SSH: Her uzak makine için bir özel / ortak anahtar çifti kullanıyor musunuz? Ya da herkes için tek bir çift?

Birden fazla makine için ortak anahtar tabanlı ssh girişleri yapmak istediğinizde, bir özel anahtar kullanıyor musunuz ve aynı ortak anahtarı tüm makinelere mi yerleştiriyorsunuz? Veya her bağlantı için bir özel / ortak anahtar çiftiniz var mı?

Ortak bir yönetim sınırını paylaşan sistemler kümesi başına bir anahtar kullanıyorum. Bu, bir anahtarın tehlikeye girmesi durumunda patlayan makinelerin sayısını sınırlandırırken, birkaç bin anahtarı saklama ve yönetme kapasitemi tamamen etkilemiyor. Her anahtardaki farklı parolalar, tüm özel anahtarlarınız çalınsa ve bir anahtarın tehlikeye atılsa bile, geri kalanın tuvalete düşmemesi anlamına gelir. Ayrıca, aptalca bir şey yaparsanız (özel bir anahtarı güvenilmeyen bir makineye kopyalamak gibi), yine de her şeyi yeniden anahtarlamanız gerekmez, yalnızca o anahtarla ilişkilendirilen makineler.

Açık anahtar çok önemli değildir, çünkü tanım gereği halka açıklanabilir. Bu yüzden tek sorun, özel anahtarlarınızın gizliliğidir. Onlar kendi makinenizde ve hepsi birlikte, bu yüzden eğer biri tehlikeye girerse, hepsinden de ödün verilmiş olacak. Bu nedenle, birden fazla anahtar çifti aynı etki için sadece daha fazla iş.

Farklı anahtarlar kullanacağım tek zaman, tanım olarak erişimde tam olarak çakışmaması gereken farklı hesaplar veya farklı roller içindir.

Doğru anladıysam, her sunucunun kendi ortak anahtarı olacak.

Belirli bir kullanıcı için , bir anahtar oluşturabilir ve özel anahtar tüm yeni başlatılan ana bilgisayarlara çoğaltıldığı sürece her yerde kullanabilirsiniz. (Bu, ağa bağlı ev dizinleri ve OpenLDAP gibi dizin tabanlı bir kimlik doğrulama sistemi aracılığıyla otomatik olarak gerçekleşecektir, çünkü kullanıcı hangi iş istasyonundan giriş yapmış olursa olsun her zaman "aynı" olacaktır.)

Dizin tabanlı bir kullanıcı sistemi dışında, her yerde aynı anahtarları kullanmanın kötü bir fikir olduğunu düşünüyorum; iş istasyonlarından herhangi birinden bir anahtar alan herhangi bir kişinin kimlik doğrulamasını yapabileceğinden, sistem güvenliğini azaltabilirsiniz. bu kullanıcıyı uzak sunucuya

Birkaç büyük şirket tarafından boşaltılan bir başka alternatif (ve ben de küçüklerin de eminim) bir "kullanıcının" önceden paylaşılan anahtarları kullanmasına asla izin vermemektir, ancak daha sonra bir "atlama" veya "hub" kutusuna giriş yapmış olmaktır. , suuygun bağlantı kullanıcısına ve ardından SSH'yi oradan yönetmeleri gereken sunuculara gönderin.

Ayrıca, HP'nin Sunucu Otomasyon platformu gibi bir yönetim sistemi kullanıyorsanız, yönetilen sunucuların uzaktan yönetimi daha basitleştirilmiş bir işlem haline gelir.

Diğerlerinin de söylediği gibi, birden fazla anahtar çifti fikri daha güvenli gibi görünse de, hepsi aynı yerde olacak şekilde kullanılma şansı varsa, o zaman daha fazla güçlük çeker ve daha güvenli olmaz. Çoklu parolalar onu daha güvenli kılar ama aynı zamanda hangi parolanın hangi anahtarla gittiğini ve hangi anahtarın hangi sunucuyla gittiğini hatırlamaya çalışan büyük bir baş ağrısı olur.

Bana en makul cevap, SADECE çok fazla örtüşmeden ayrı idari roller içeriyorsa, bunu yapmasının önerildiği yer olacaktır. Öyle ki, farklı rollerle ilgilenen farklı insanlar ya da farklı iş istasyonlarında ya da her neyse. Bu durumda zaten her farklı rol için başa çıkacak daha eşsiz şeyleriniz var, bu yüzden daha haklı gösterilebilir.

Birden fazla SSH yeteneğine sahip sunucuyu yönetme kolaylığı için, cssh'ı kontrol etmek isteyebilirsiniz . Birden fazla sunucuyu aynı anda yönetme yeteneğinizi büyük ölçüde artırmak için cssh'yi şifreli SSH tuşları ile birleştirebilirsiniz.