SSH Keys ohne Passphrase sind böse!
Ich konnte mich Anfangs nicht mit einer Passphrase für SSH anfreunden, ohne kann es aber fürchterlich nach hinten losgehen:
The US-CERT is reporting that there is active attacks against Linux environments using stolen SSH keys. There is a new rootkit out, Phalanx2 which is dropped by attackers which, among the usual rootkit tasks, steal any SSH key on a system. The attackers then, presumably, use those stolen keys (the ones without passwords/passphrases at least) to get into other machines.
SANS ISC
Glücklicherweise gibt es pam-ssh, welches die Sache wieder erträglich macht. Bei KDE muss das Benutzer-Passwort identisch mit der Passphrase sein, GDM ist so elegant und fragt danach. Anschließend merkt man von der Passphrase nichts mehr.
Veröffentlicht am 27.August 2008 | Kommentare: 5 | Artikel 936mal angeschaut
Tags: pam,Passphrase,security,SSH
Verwandte Artikel
2. Kommentar von martin | Datum: 28.August 2008
Ich stimme Doomshammer zu: Aufgeklärte SSH-Nutzer nutzen schon seit Jahren den SSH-Agent, geben ihre Passphrase ein einziges mal beim Anmelden ein und springen dank Agent Forwarding von Maschine zu Maschine, ohne ihren geheimen Schlüssel irgendwohin mitnehmen zu müssen. Dieses PAM-SSH scheint mir ein wenig die Variante für eher unbeholfene Nutzer zu sein.
3. Kommentar von martin | Datum: 28.August 2008
P.S.: Das funktioniert übrigens auch unter dem sogenannten “Windows”-Betriebssystem (Putty/Pageant) ganz hervorragend.
4. Kommentar von Keks | Datum: 28.August 2008
“Dieses PAM-SSH scheint mir ein wenig die Variante für eher unbeholfene Nutzer zu sein.” Ich denke mal für eher Faule User :) und ich bin faul, also is das mal einen Blick wert!
Im Moment fragt mich ein selbstgebasteltes Script beim booten nach meiner SSH Passphrase unter anderem weil ich mehrere Dateisysteme per sshfs mounte, das klappt im Übrigen richtig gut. Hab ihr euch eigentlich schon mal mit sKey
Auseinandergesetzt (wenn man sich mal von ner nicht vertrauenswürdigen Möre einloggen muss)?
5. Kommentar von Stefan Funke | Datum: 28.August 2008
Normales X läuft doch bei lustigen Standard-Distributionen sowieso im ssh-agent, was einem dann mit ssh-add das Leben erleichtert - vor allem wenn mehrere Keys benutzt. Bei meinen letzten SUSE Linux Abenteuern poppte beim Aufruf von ssh-add unter KDE sogar ein grafisches Passworteingabetool auf, automagie!
Passwortlose Keypaare z.B. für Scripting kann man dank Optionen wie “from=[...]“, “command=[...]” oder “environment=[...]” in den authorized_keys sehr gut be- bzw. einschränken. (man sshd hilft weiter)
1. Kommentar von Doomshammer | Datum: 28.August 2008
Mit ssh-add laesst es sich sehr gut mit passphrases leben. Einmal eingeben und gut ist.