Devo fazer backup de minhas chaves de host SSH?

Question

Nos meus backups automatizados, não tenho certeza se devo fazer isso. Se o disco rígido falhar ou se eu limpar o disco rígido e começar de novo, qual será o efeito de começar com uma nova chave de host SSH para meus clientes? Terei que fazer algo especial além de remover o nome do host do arquivo known_hosts de cada cliente? Qual é a melhor coisa a fazer neste caso? Estou pensando em limpar meu computador e começar do zero nos próximos dias.

    

Answer 1

Se você estiver reinstalando o sistema operacional em seu computador, mas considerar que ainda é o mesmo computador, faça backup da chave privada SSH e restaure-a após a instalação. Se você estiver reutilizando o mesmo hardware para criar um sistema diferente, será necessário gerar uma nova chave para o novo sistema. Decidir se ainda é o mesmo computador é uma decisão semântica, então cabe a você; restaurar ou regenerar a chave SSH é a implementação desta decisão.

Se você é a única pessoa que acessa esse computador, não importa muito. Se você tiver outros usuários, a alteração da chave SSH causará problemas:

• Os poucos usuários conscientes e preocupados com a segurança se preocuparão com o fato de que algo ruim está acontecendo e tentam contatá-lo fora da banda para avisá-lo de que podem estar sob ataque.
• Os poucos usuários com conhecimento, mas não tão paranóicos, removerão a chave SSH antiga para se livrarem da mensagem de erro e resmungarão sobre o sysadmin que está alterando a chave.
• A maioria dos usuários que ignoram as mensagens só verá que eles não podem se conectar e podem entrar em contato com você para obter ajuda.

Answer 2

A menos que um mundo de pessoas se conecte ao seu sistema além de você e você queira que a mudança em seus serviços seja o mais ininterrupta possível, é provável que você crie novas chaves de host. Se você limpar um sistema e começar do zero, realmente não é o mesmo sistema que era antes e seus clientes ssh estarão certos em querer notificá-lo que o sistema foi alterado. Se você não tem nenhum bloqueio louco em termos de afeto, você não pode se conectar a novos hosts, essa deve ser uma tarefa fácil de atualizar o arquivo de hosts conhecidos.