Quantos SSH chave privada para configurar para vários servidores?

Question

O processo geral é gerar um par de chaves públicas e privadas e carregar a chave pública no servidor para conexão SSH.

Então, se eu tiver que gerenciar uma grande quantidade de servidores, devo:

1. Reutilizar essa chave pública para todos os servidores?

OR

2. Gere pares de chaves diferentes para cada um desses servidores.

Pessoalmente, acredito que a primeira escolha é boa o suficiente do ponto de vista da segurança. Estou correto?

Obrigado.

    

Answer 1

A resposta geral é que você provavelmente desejará colocar a mesma chave pública pessoal em todos os servidores / contas nos quais deseja fazer o login. Para todos os efeitos práticos, é mais ou menos impossível derivar a chave privada da metade pública correspondente.

Depois, há várias exceções em potencial.

• Embora normalmente seja uma boa regra manter protegida a senha da chave privada que pode ser menos factível durante a execução de determinadas tarefas automatizadas. Para esse propósito, você também pode querer ter um par de chaves separado com uma chave privada não criptografada, para usar em relação a certas contas (esperançosamente restritas).

• Supondo que você se conecte principalmente a servidores modernos o suficiente, sua chave ssh pessoal pode ser do tipo ed25519. Você pode então, por motivos de compatibilidade, também precisar de um par de chaves secundário do tipo RSA para poder fazer o login em servidores que executam uma versão mais antiga do OpenSSH. Exceto que, nesse caso, provavelmente é bom o suficiente para ir RSA todo o caminho.

• Se você usa muito o agente ssh, há um benefício teórico em usar pares de chaves separados, limitando os danos que um servidor mal-intencionado pode causar. Exceto que eu imagino isso rapidamente se tornando confuso na prática. Provavelmente melhor do que simplesmente ficar longe do agente de encaminhamento.