Portál AbcLinuxu, 29. května 2022 10:49



Dotaz: Vygenerovaní neukradnutelných SSH klíču

13.11.2021 19:09 host
Vygenerovaní neukradnutelných SSH klíču
Přečteno: 502×
Odpovědět | Admin
Ahoj, jak se generuji ssh klíče - ty co nejdou ukradnout z disku? Četl jsem o tom článek a nemůžu ho najít. Díky

Řešení dotazu:


Nástroje: Začni sledovat (0) ?Zašle upozornění na váš email při vložení nového komentáře.

Odpovědi

13.11.2021 19:33 X
Rozbalit Rozbalit vše Re: Vygenerovaní neukradnutelných SSH klíču
Odpovědět | | Sbalit | Link | Blokovat | Admin
Asi se mysli klice ulozene na tokenu, napriklad na obcance.
13.11.2021 20:29 host
Rozbalit Rozbalit vše Re: Vygenerovaní neukradnutelných SSH klíču
Ano, token je to co jsem hledal. Díky

Už jsem to našel, ale stejně to nechápu, kam si to jako mám nahrát? Na jaký hardware a jak se pak podle toho přihlásim na server?
Řešení 1× (billgates)
Jendа avatar 13.11.2021 21:04 Jendа | skóre: 77 | blog: Jenda | JO70FB
Rozbalit Rozbalit vše Re: Vygenerovaní neukradnutelných SSH klíču
Už jsem to našel, ale stejně to nechápu, kam si to jako mám nahrát?
To se nenahrává. Tokenu řekneš „vygeneruj klíč“, on ho vygeneruje uvnitř a dá ti jeho veřejnou část (a tu dáš do authorized_keys na své servery). A potom tokenu vždycky při přihlašování pošleš výzvu serveru, on ji uvnitř podepíše a vrátí ti ji podepsanou. A hlavní pointa tokenu je, že ti nikdy nedá ten privátní klíč, takže nelze tiše zduplikovat.

Má to ale dva problémy:
  • Klíč se generuje uvnitř tokenu a tokeny skoro nikdy nejsou auditovatelné. Musíš tedy věřit, že klíč opravdu vygeneruje správně. Nejčastější chyba je špatný náhodný generátor: na tom dojely třeba slovenské občanské průkazy. Ten může být špatný omylem, nebo i úmyslně. Pokud se to „úmyslně“ dobře udělá, tak je to nezjistitelné bez kompletního reverzního inženýrství tokenu.
  • Pokud máš napadený počítač, tak se dá jen o trošku složitěji stejně např. nainstalovat backdoor na ten systém, ke kterému se vzdáleně přihlašuješ. Jedna z možností je třeba zneužít SSH multiplexing, kdy si jeden shell otevřeš ty a druhý shell si tajně otevře útočník, ale je i hromada dalších možností jak do ssh session něco injectnout, včetně triviální kdy freezneš terminál, něco tam naposíláš a uděláš reset/clear a uživatel má pocit že jenom trochu zalagovala síť. (brát s rezervou, reálně jsem na tohle útočit nezkoušel)
13.11.2021 23:36 bfu
Rozbalit Rozbalit vše Re: Vygenerovaní neukradnutelných SSH klíču
Předřečník zmiňoval token a občanku.

Když budu mít tu občanku, platovou kartičku velikosti kreditky, tak patrně také potřebuji nějakou čtečku. Dobře, a když si ji pořídím, tak pak budu moci na Linuxu i na Windows vygenerovat klíč v občance a přečíst si z ní tu veřejnou část a rozkopírovat ji tam, kam potřebuji? A dosáhnu toho, že se pak s (open)ssh i s Putty spojím bez problémů s protistranou? Co drivery, je to tak jednoduché?

A co si mám představit pod pojmem token? Na Alze jsem našel pod tím pojmem cosi, co byla nějaká fleška, která zvenku vypadala jako zámek na kolo s číselníkem. Ale bylo to z plastu a nikde tam nepsali o nějakých sofistikovaných funkcích, jako je generování klíčů.

A co kdybych nedejbože chtěl použít něco takového s mobilem? Používám JuiceSSH, to snad funguje pouze s vlastními klíči, kde je ukrývá, to netuším a jenom doufám, že mobil neztratím a že mi ho neukradnou. Používám tedy biometrické odemykání, takže možná, že zloděj ostrouhá, ale Google a třípísmenkové agentury nejspíš stejně vědí všechno potřebné.

Přiznám se, že správa ssh klíčů mi už leze krkem. Jeden klíč pro všechny zařízení nebo samostatný klíč pro každé... Počet pokusů pro ověření klíče na jedno spojení... Linux, Windows, mobil...
13.11.2021 23:59 X
Rozbalit Rozbalit vše Re: Vygenerovaní neukradnutelných SSH klíču
Token je fyzicke HW zarizeni specialne pro ukladani klicu, certifikatu apod. Ma bezne format cipove karty, nebo USB klicenky. Na kartu potrebujes ctecku, na klicenku USB. Oboji ma special ovladace, ktere nejsou problem v linuxu i win. Trochu horsi je to s klientskou aplikaci zajistujici komunikaci, ale to je proste cena za bezpecnost. Deal with it. Na mobil zapomen..
Jendа avatar 14.11.2021 07:35 Jendа | skóre: 77 | blog: Jenda | JO70FB
Rozbalit Rozbalit vše Re: Vygenerovaní neukradnutelných SSH klíču
Když budu mít tu občanku, platovou kartičku velikosti kreditky, tak patrně také potřebuji nějakou čtečku. Dobře, a když si ji pořídím, tak pak budu moci na Linuxu i na Windows vygenerovat klíč v občance a přečíst si z ní tu veřejnou část a rozkopírovat ji tam, kam potřebuji?
Nezkoušel jsem to, ale odkazovaný článek je přesně o tomhle… U občanky je to ještě okořeněné tím, že potřebuješ na počítači spouštět státní blob, rozumnější čipovky mají podporu přímo ve svobodném opencs.
Na Alze jsem našel pod tím pojmem cosi, co byla nějaká fleška, která zvenku vypadala jako zámek na kolo s číselníkem.
To je dárkový předmět, technicky obyčejná fleška a není to token. Typickým příkladem tokenů je třeba YubiKey, a příkladem relativně auditovatelného „tokenu“ je Bitcoin Trezor (který ale, pokud vím, nemá out-of-the-box podporu pro SSH).
Počet pokusů pro ověření klíče na jedno spojení...
Si moc nedokážu představit, jak člověk narazí na ten defaultní limit. Jak se ti to stalo? (jinak se to řeší tak, že kde máš starší klíče, tak si to nastavíš v .ssh/config, a ten nejnovější dáš jako default)
Jendа avatar 14.11.2021 09:05 Jendа | skóre: 77 | blog: Jenda | JO70FB
Rozbalit Rozbalit vše Re: Vygenerovaní neukradnutelných SSH klíču
který ale, pokud vím, nemá out-of-the-box podporu pro SSH
Má.
14.11.2021 11:14 bfu
Rozbalit Rozbalit vše Re: Vygenerovaní neukradnutelných SSH klíču
Si moc nedokážu představit, jak člověk narazí na ten defaultní limit. Jak se ti to stalo? (jinak se to řeší tak, že kde máš starší klíče, tak si to nastavíš v .ssh/config, a ten nejnovější dáš jako default)
No, obyčejně to nastává, když si při vytváření nějakého virtuálu špatně nastavím klíč nebo Proxy. :-)

Jinak děkuji za informace.

Takže pokud bych měl klíče na hw tokenu, tak aby to bylo bezpečné, při každém ověření klíče (použití ssh) musím mít ten token připojený a musím ještě potvrdit přístup k tokenu a/nebo klíči heslem?
Jendа avatar 14.11.2021 11:33 Jendа | skóre: 77 | blog: Jenda | JO70FB
Rozbalit Rozbalit vše Re: Vygenerovaní neukradnutelných SSH klíču
No, obyčejně to nastává, když si při vytváření nějakého virtuálu špatně nastavím klíč nebo Proxy.
Furt nechápu. Bavíme se o tom, že máš na klientovi příliš mnoho klíčů, a při přihlašování je musí vyzkoušet všechny? Proč máš na klientovi tolik klíčů?
Takže pokud bych měl klíče na hw tokenu, tak aby to bylo bezpečné, při každém ověření klíče (použití ssh) musím mít ten token připojený
Ano (to je princip tokenu).
a musím ještě potvrdit přístup k tokenu a/nebo klíči heslem?
To asi půjde nastavit.
14.11.2021 11:37 Peter Golis | skóre: 63 | blog: Bežné záležitosti | Bratislava
Rozbalit Rozbalit vše Re: Vygenerovaní neukradnutelných SSH klíču
Pri niektorých tokenoch stačí zadať pin (kratučké heslo pozostávajúce len z čísel), alebo len dotknúť sa snímacej plôšky spínača. Alebo ani to nie. Závisí od typu tokenu a nastavenia.

A dá sa to pochopiteľne nastaviť aj tak, že sa to musí potvrdiť heslom, alebo niečím iným. Závisí to od konkrétneho modelu tokenu a nastavení autentifikácie.

Založit nové vláknoNahoru

Tiskni Sdílej: Linkuj Jaggni to Vybrali.sme.sk Google Del.icio.us Facebook

ISSN 1214-1267, (c) 1999-2007 Stickfish s.r.o.