Re: Sinnvoll fail2ban und SSH-pubkey Authentifizierung kombinieren?
Am Freitag, 1. Juni 2012 schrieb David Raab:
> Man kann die Sicherheit erhöhen indem man die Schlüssellänge erhöht.
> Ich glaube bei Debian wird Standardmäßig derzeit 2048bit Schlüssel
> erstellt, man kann auch 4096bit Schlüssel erzeugen, was die Sicherheit
> nochmals erhöht.
Ich verwende privat 4096 Bit. In der Firma haben wir 8192 Bit als
Standard.
> Am besten ist es allerdings wenn der SSH-Schlüssel selber nochmals mit
> einer Passphrase geschützt ist. Naja wer es ultimativ sicher braucht.
Nein! Das ist nicht optional.
Mit der Passphrase für den SSH-Schlüssel fällt und steht die Sicherheit
hinter dem ganzen Konzept. Eine gute (!) Passphrase ist absolut
essentiell.
Das ist nicht optional, das ist nicht für den, der es ultimativ sicher
braucht, das ist für *jeden*.
Wer seinen SSH-Schlüssel nicht via Passphrase verschlüsselt und dann am
besten auch noch das Hostkey-Hashing für die known_hosts ausschaltet -
wofür ich Verständnis habe -, brauch sich nicht wundern, wenn er bei
Diebstahl seines Laptops auf seinen Servern dann Besuch hat ;).
Bitte nicht dieses Halbwissen verbreiten.
Mögliche valide Gründe für einen SSH-Key ohne Passphrase sind nur
automatisierte Prozesse und Cluster-Synchronisation. Und dann würde ich
die Möglichkeiten massiv einschränken über COMMAND=, FROM= und Ähnliches
oder zumindest das ganze zugangsbeschränkt hinter einer Firewall laufen
lassen.
Je eine unterschiedliche und gute Passphrase für den privaten SSH-
Schlüssel und den privaten GNUPG-Schlüssel sind absolut essentiell.
--
Martin 'Helios' Steigerwald - http://www.Lichtvoll.de
GPG: 03B0 0D6C 0040 0710 4AFA B82F 991B EAAC A599 84C7
Reply to: