PDA

Bekijk Volledige Versie : SSH/PuTTY Private Keys: Goed?



Dennis
03/01/05, 20:33
Ik gebruik sinds een paar maanden SSH/Private Keys in te loggen op mijn server.

De private-key staat password-protected op C:\Program Files\ en ik gebruik pageant.exe om het wachtwoord te laden.

Alleen... ik gebruik deze private-key voor al mijn servers. Ik heb 1 centraal wachtwoord op deze private-key die ik inlaad met pageant.exe

Is dit nog wel zo veilig? Hoe loggen jullie in op je webservers? Ik gebruik overigens een RSA-private-key voor SSH2 icm. OpenSSH op alle servers.

Ik ben bezorgd dat iemand ooit deze private-key te pakken krijgt en dan ook nog eens achter het wachtwoord komt... dan zou hij het beheer over al mijn servers hebben...

mguilmot
03/01/05, 20:34
Heb jij bedreigingen gehad vannacht of vandaag?

Je zit zo in met beveiliging van alles vandaag ;)

wv-
03/01/05, 20:36
als je alleen een wachtwoord had, dan wisten ze het direct. In plaats van rsa is het ook altijd beter om een dsa key te gebruiken. Je kan ook langere keys maken van bvb 2048 bits. Af en toe van key wisselen kan ook geen kwaad.

Dennis
03/01/05, 20:39
Origineel geplaatst door mguilmot
Heb jij bedreigingen gehad vannacht of vandaag?

Je zit zo in met beveiliging van alles vandaag ;) I know :D:D:D

Nee, ik heb net heel Security.NL doorgelezen en ben de hele dag bezig geweest om security-dingen doorgelezen.

Alleen is zeker geen angst om gehacked te worden, maar behoefte om mijn servers en mijn computer en alles veilig te houden.

Maar mijn hele dag vandaag staat inderdaad in het teken van 'security' :p


Origineel geplaatst door wv-
In plaats van rsa is het ook altijd beter om een dsa key te gebruiken.
The PuTTY developers strongly recommend you use RSA. DSA has an intrinsic weakness which makes it very easy to create a signature which contains enough information to give away the private key! This would allow an attacker to pretend to be you for any number of future sessions. PuTTY's implementation has taken very careful precautions to avoid this weakness, but we cannot be 100% certain we have managed it, and if you have the choice we strongly recommend using RSA keys instead. Ik gebruikte eerst ook altijd DSA/DSS, maar sinds vandaag wil ik dus RSA gaan gebruiken. :)


Origineel geplaatst door wv-
als je alleen een wachtwoord had, dan wisten ze het direct.... als ik alleen een wachtwoord had ingesteld op mijn root-account in Linux zonder private-keys te gebruiken? Ik volg je niet.

mguilmot
03/01/05, 20:41
Blijkbaar :p

Wel een goed initiatief, alles veilig houden ;)

wv-
03/01/05, 20:44
geen key een wachtwoord: benodigdheden: het wachtwoord
een key + passphrase: het wachtwoord en de key

hoezo je hebt geen schrik om gehackt te worden? Ik dacht dat je fedora gebruikte :)

Dennis
03/01/05, 20:46
Origineel geplaatst door wv-
geen key een wachtwoord: benodigdheden: het wachtwoord
een key + passphrase: het wachtwoord en de key

hoezo je hebt geen schrik om gehackt te worden? Ik dacht dat je fedora gebruikte :) :D:D:D Lekkere anti-Fedora flame.

Ik gebruik voor nieuwe servers overigens CentOS 3.3. Sinds FC2 ben ik niet meer zo tevreden over Fedora.

Je bedoelt dit:
Als je geen password-phrase op je private-key hebt, dan kan iedereen inloggen op je server als ze je private-key file hebben. Dat klopt inderdaad, ben ik ook pas achter gekomen nadat ik http://the.earth.li/~sgtatham/putty/0.55/htmldoc/Chapter8.html helemaal had uitgelezen destijds.

Gelukkig gebruikte ik toen nog geen private-keys.

*EDIT*
Zijn hier nog mensen die DSS/DSA preferen boven RSA?

maxnet
03/01/05, 21:49
Heb zelf de voorkeur aan wachtwoorden i.p.v. private keys.

Wachtwoorden kun je gemakkelijk regelmatig veranderen.

Private keys zijn meer gedoe.
Lokaal het wachtwoord van de private key veranderen helpt niets, als iemand in het verleden de key file + het (oude) wachtwoord achterhaalt heeft.
Je moet een nieuwe key aanmaken, die weer instellen, etc.

Dennis
03/01/05, 21:54
Origineel geplaatst door maxnet
Heb zelf de voorkeur aan wachtwoorden i.p.v. private keys.

Wachtwoorden kun je gemakkelijk regelmatig veranderen.

Private keys zijn meer gedoe.
Lokaal het wachtwoord van de private key veranderen helpt niets, als iemand in het verleden de key file + het (oude) wachtwoord achterhaalt heeft.
Je moet een nieuwe key aanmaken, die weer instellen, etc. Dat weet ik. Ik zal ook steeds de public_key in authorized_keys op elke server moeten aanpassen als ik een nieuwe private_key met een nieuwe passphrase ga gebruiken.

Dennis
04/01/05, 10:00
Ik heb nog een paar vragen :)
- Kan het niet gevaarlijk zijn als mijn PuTTY een attempt doet om in te loggen op een server die niet van mij is? Dus als ik op een server van een klant of een vriend inlog, kan hij de authentification-hash die is gemaakt door PuTTY niet achterhalen en vervolgens proberen te gebruiken op mijn servers?

- Nu ik private keys gebruiken. Is er nog enig voordeel om directrootlogin te disablen? Doen jullie dit?

HBCS
04/01/05, 11:58
bij mij op de server kan je alleen inloggen van 1 bepaald ip nummer
of range licht er aan wat je insteld
die private key's vind ik niets ik werk liever gewoon met paswoord die kun je inderdaat regelmatig veranderen
en dat gebeurt bij mij minimaal 1 x per maand

het is overigens wel een goede zaak dat je er zo mee bezig ben
suc6

s.vossen
04/01/05, 12:12
Ik heb tegenwoordig voor SSH AllowUsers ingesteld en werk met DSA-keys. Password authenticatie kun je uitzetten, dan wordt het knap lastig tot onmogelijk om er zonder key en valid user nog in te komen.

Dennis
04/01/05, 12:20
Origineel geplaatst door s.vossen
Ik heb tegenwoordig voor SSH AllowUsers ingesteld en werk met DSA-keys. Password authenticatie kun je uitzetten, dan wordt het knap lastig tot onmogelijk om er zonder key en valid user nog in te komen. Dat laatste houd ik graag voor de zekerheid nog aan.

AllowUsers? Wat is dat voor optie?

MikeN
04/01/05, 12:55
IMHO zijn public/private keys A Good Thing (tm). Ja uiteraard is je key te stelen en kunnen ze je wachtwoord afluisteren, maar die kans is heel wat kleiner dan dat ze alleen achter je wachtwoord komen. Verder is het zo goed als niet te bruteforcen.

Wachtwoorden kun je wijzigen, tja, maar als mensen achter je wachtwoord komen kunnen ze doodleuk een rootkit op je server installen, een tweede root account aanmaken of wat dan ook, waardoor ze er nog steeds inkomen als jij je wachtwoord gewijzigd hebt. Je public key hoef je in principe niet te wijzigen, zolang je je private key maar geheim houdt. En het risico dat iemand m'n private key jat acht ik heel wat kleiner dan het risico dat er morgen een root exploit wordt gevonden in de Linux kernel of OpenSSH.

Voor allowusers zie man 5 sshd_config.
" AllowUsers
This keyword can be followed by a list of user name patterns,
separated by spaces. If specified, login is allowed only for
user names that match one of the patterns."

wv-
04/01/05, 13:29
Root logins altijd afzetten, een aparte sshd draaien op een custom poort met aparte configuratie die alleen maar keys toe laat en 1 group, bijvoorbeeld admins.

Op poort 22 draai je een gewone ssh waar het niet mogelijk is in te loggen / alleen voor klanten. Daar zorg je dus dat groep admin niet kan inloggen.

Dennis
04/01/05, 13:31
Origineel geplaatst door MikeN
IMHO zijn public/private keys A Good Thing (tm). Ja uiteraard is je key te stelen en kunnen ze je wachtwoord afluisteren, maar die kans is heel wat kleiner dan dat ze alleen achter je wachtwoord komen. Verder is het zo goed als niet te bruteforcen.

Wachtwoorden kun je wijzigen, tja, maar als mensen achter je wachtwoord komen kunnen ze doodleuk een rootkit op je server installen, een tweede root account aanmaken of wat dan ook, waardoor ze er nog steeds inkomen als jij je wachtwoord gewijzigd hebt. Je public key hoef je in principe niet te wijzigen, zolang je je private key maar geheim houdt. En het risico dat iemand m'n private key jat acht ik heel wat kleiner dan het risico dat er morgen een root exploit wordt gevonden in de Linux kernel of OpenSSH.

Voor allowusers zie man 5 sshd_config.
" AllowUsers
This keyword can be followed by a list of user name patterns,
separated by spaces. If specified, login is allowed only for
user names that match one of the patterns." Dus dan stel je in dat alleen de linux-user root mag inloggen op SSH... Interessant. Daar ga ik thuis eens mee experimenteren en het misschien ook op onze servers instellen.

Dennis
04/01/05, 15:43
Nog een vraagje!
Is het nu gevaarlijk als mijn PuTTY automatisch een poging doet om in te loggen met de private-key? Ook op servers die niet van mij zijn, waar ik gewoon user/pass moet gebruiken?

Dennis
05/01/05, 14:58
Kick =>

Dit wil ik eigenlijk nog steeds wel weten:
Is het nu gevaarlijk als mijn PuTTY automatisch een poging doet om in te loggen met de private-key? Ook op servers die niet van mij zijn, waar ik gewoon user/pass moet gebruiken?

MikeN
05/01/05, 16:59
Nee. Of het met wachtwoorden wel gevaarlijk is weet ik niet, maar met private keys zeker niet.

De server stuurt jou een stukje data versleuteld met jouw public key, vervolgens mij jij dat decrypten met jouw private key en terugsturen. Hij weet dus alleen jouw public key mits je die eerder aan hem hebt gegeven, en als jij de data die hij stuurt niet goed decrypt (omdat hij niet jouw echte public key had), heeft hij pech.