segurança geral ssh - autenticação de certificado

2

Eu usei este artigo: link para ajudar a configurar certificados ssh (estou no mac os x).

Eu vejo que as chaves são colocadas em um arquivo chamado authorized_keys2 .

Importa o que esse arquivo é chamado? Além disso, em servidores não pessoais (servidores onde outros podem ter acesso root) é seguro usar o mesmo arquivo authorized_keys2 ? Eles seriam capazes de usar isso para acessar meus servidores pessoais de alguma forma? Ou eu uso arquivos de autorização separados para diferentes servidores / grupos de servidores?

Existem outras boas "práticas gerais" para ter vários servidores com autenticação baseada em chave que não são mencionados neste artigo?

    
por Matthew 19.05.2011 / 20:26

1 resposta

3

authorized_keys2 ou mais comumente authorized_keys são os nomes de arquivos padrão. Pelo menos com o servidor OpenSSH você pode renomear o arquivo como quiser com a diretiva AuthorizedKeysFile :

AuthorizedKeysFile

Specifies the file that contains the public keys that can be used for user authentication.  AuthorizedKeysFile may contain tokens of the form %T which are substituted during connection setup.  The following tokens are defined: %% is replaced by a literal ’%’, %h is replaced by the home directory of the user being authenticated, and %u is replaced by the username of that user.  After expansion, AuthorizedKeysFile is taken to be an absolute path or one relative to the user’s home directory.  The default is “.ssh/authorized_keys”.

A distinção de authorized_keys versus authorized_keys2 ocorre durante a transição do SSH v1 para o SSH v2. Agora, o SSH v2 é o "padrão padrão", portanto, o nome voltou para as authorized_keys na maioria dos casos.

O ponto "chave" (perdão do trocadilho) para entender é que a chave privada permanece privada e é armazenada somente na máquina cliente. A chave pública pode ser publicada em um ou vários servidores conforme as necessidades de acesso. Dessa forma, a capacidade de ver / visualizar / copiar a chave pública apenas concede acesso adicional à chave privada, mas, de maneira importante, pode não ser usada sozinha para obter acesso.

EDITAR:

Minha série favorita de artigos sobre autenticação baseada em chave SSH foi publicada pela IBM há vários anos.

Tenha em mente que esses artigos têm 10 anos agora e algumas coisas mudaram. Ainda assim, elas continuam sendo a explicação mais abrangente para todas as nuances envolvidas que encontrei até hoje.

    
por 19.05.2011 / 20:37