Trhlina je v tom, ze utocnik musi napred prolamat passphrasi. Pokud ji mate dostatecne hutnou, bude to na sve PS/2 farme louskat treba tyden nebo i mesic. A az to rozlouska, zkusi se prihlasit a zjisti, ze jste mu zatim vymazal klic a on palil elektrinu nadarmo. A vetsina potencialnich utocniku PS/2 farmu nema, treba ja bych to na svem HW neroslouskl ani za sto let, i kdybych ze vsech stroju, co se mi tu vali, udelal louskaci cluster.
Týden nebo měsíc? To spíše miliardy let. Pokud vím, jsou soukromé klíče šifrovány pomocí aes a pokud ta implementace není oslabená a používá dostatečně dlouhé bloky (více než 224b, tzn třeba AES-256), tak je to nelousknutelné.
Jinak k původnímu dotazu. V praxi se používají dva přístupy, jak zacházet s klíči.
* Jeden říká, že klíč patří ke stroji, kde byl vygenerován a nikam se nestěhuje. Tzn pro každý stroj, ze kterého se budu na server přihlašovat, mám spešl pár klíčů. Pokud dojde ke kompromitaci stroje, stačí vymazat pouze tento jeden klíč (na serveru) a jsem v klidu, nemusím měnit další klienty.
* Druhý přístup je ten, že existuje pouze jeden pár klíčů, a při jeho kompromitaci je nutné je vygenerovat znovu. Všechno stojí a padá na tom, jak dobře jste schopen tento jeden klíč ubránit (což jde v praxi docela těžko).
Samozřejmně, že v praxi se používá kombinace obou přístupů. Je také dobré si uvědomit, že pro různé případy můžete používat jiné klíče. Tzn pro skripty, pro synchronizaci dat, pro přístup na shell apod.
V každém případě ale platí, že pokud dojde ke kompromitaci soukromého klíče, je nutné ze serveru co nejrychleji odstranit jeho veřejný protějšek. Potom se útočník ani po případném lousknutí passphrase nikam nedostane.
Dál a to už je nad rámec tohoto dotazu. Je také dobré se zamyslet nad tím, co se stane, kdyby se útočník na ten účet opravdu dostal. Co všechno může a co nemůže. K čemu se dostane apod. Bezpečnost nestojí pouze na jedno aspektu. Pokud budu počítat s tím, že "to ssh" jde nějak prolomit, tak můžu mít další opatření, která povedou k tomu, že útočník se sice někam dostal, ale tj tak vše co udělal.
49 Odpovědí
10005 Zhlédnutí