SSH/PuTTY Private Keys: Goed?

[Dennis]

Ik gebruik sinds een paar maanden SSH/Private Keys in te loggen op mijn server.

De private-key staat password-protected op C:\Program Files\ en ik gebruik pageant.exe om het wachtwoord te laden.

Alleen... ik gebruik deze private-key voor al mijn servers. Ik heb 1 centraal wachtwoord op deze private-key die ik inlaad met pageant.exe

Is dit nog wel zo veilig? Hoe loggen jullie in op je webservers? Ik gebruik overigens een RSA-private-key voor SSH2 icm. OpenSSH op alle servers.

Ik ben bezorgd dat iemand ooit deze private-key te pakken krijgt en dan ook nog eens achter het wachtwoord komt... dan zou hij het beheer over al mijn servers hebben...

[mguilmot]

Heb jij bedreigingen gehad vannacht of vandaag?

Je zit zo in met beveiliging van alles vandaag

[wv-]

als je alleen een wachtwoord had, dan wisten ze het direct. In plaats van rsa is het ook altijd beter om een dsa key te gebruiken. Je kan ook langere keys maken van bvb 2048 bits. Af en toe van key wisselen kan ook geen kwaad.

[Dennis]

Origineel geplaatst door mguilmot
Heb jij bedreigingen gehad vannacht of vandaag?

Je zit zo in met beveiliging van alles vandaag

I know

Nee, ik heb net heel Security.NL doorgelezen en ben de hele dag bezig geweest om security-dingen doorgelezen.

Alleen is zeker geen angst om gehacked te worden, maar behoefte om mijn servers en mijn computer en alles veilig te houden.

Maar mijn hele dag vandaag staat inderdaad in het teken van 'security'

Origineel geplaatst door wv-
In plaats van rsa is het ook altijd beter om een dsa key te gebruiken.

The PuTTY developers strongly recommend you use RSA. DSA has an intrinsic weakness which makes it very easy to create a signature which contains enough information to give away the private key! This would allow an attacker to pretend to be you for any number of future sessions. PuTTY's implementation has taken very careful precautions to avoid this weakness, but we cannot be 100% certain we have managed it, and if you have the choice we strongly recommend using RSA keys instead.

Ik gebruikte eerst ook altijd DSA/DSS, maar sinds vandaag wil ik dus RSA gaan gebruiken.

Origineel geplaatst door wv-
als je alleen een wachtwoord had, dan wisten ze het direct.

... als ik alleen een wachtwoord had ingesteld op mijn root-account in Linux zonder private-keys te gebruiken? Ik volg je niet.

[mguilmot]

Blijkbaar

Wel een goed initiatief, alles veilig houden

[wv-]

geen key een wachtwoord: benodigdheden: het wachtwoord
een key + passphrase: het wachtwoord en de key

hoezo je hebt geen schrik om gehackt te worden? Ik dacht dat je fedora gebruikte

[Dennis]

Origineel geplaatst door wv-
geen key een wachtwoord: benodigdheden: het wachtwoord
een key + passphrase: het wachtwoord en de key

hoezo je hebt geen schrik om gehackt te worden? Ik dacht dat je fedora gebruikte

Lekkere anti-Fedora flame.

Ik gebruik voor nieuwe servers overigens CentOS 3.3. Sinds FC2 ben ik niet meer zo tevreden over Fedora.

Je bedoelt dit:
Als je geen password-phrase op je private-key hebt, dan kan iedereen inloggen op je server als ze je private-key file hebben. Dat klopt inderdaad, ben ik ook pas achter gekomen nadat ik http://the.earth.li/~sgtatham/putty/.../Chapter8.html helemaal had uitgelezen destijds.

Gelukkig gebruikte ik toen nog geen private-keys.

*EDIT*
Zijn hier nog mensen die DSS/DSA preferen boven RSA?

[maxnet]

Heb zelf de voorkeur aan wachtwoorden i.p.v. private keys.

Wachtwoorden kun je gemakkelijk regelmatig veranderen.

Private keys zijn meer gedoe.
Lokaal het wachtwoord van de private key veranderen helpt niets, als iemand in het verleden de key file + het (oude) wachtwoord achterhaalt heeft.
Je moet een nieuwe key aanmaken, die weer instellen, etc.

[Dennis]

Origineel geplaatst door maxnet
Heb zelf de voorkeur aan wachtwoorden i.p.v. private keys.

Wachtwoorden kun je gemakkelijk regelmatig veranderen.

Private keys zijn meer gedoe.
Lokaal het wachtwoord van de private key veranderen helpt niets, als iemand in het verleden de key file + het (oude) wachtwoord achterhaalt heeft.
Je moet een nieuwe key aanmaken, die weer instellen, etc.

Dat weet ik. Ik zal ook steeds de public_key in authorized_keys op elke server moeten aanpassen als ik een nieuwe private_key met een nieuwe passphrase ga gebruiken.

[Dennis]

Ik heb nog een paar vragen
- Kan het niet gevaarlijk zijn als mijn PuTTY een attempt doet om in te loggen op een server die niet van mij is? Dus als ik op een server van een klant of een vriend inlog, kan hij de authentification-hash die is gemaakt door PuTTY niet achterhalen en vervolgens proberen te gebruiken op mijn servers?

- Nu ik private keys gebruiken. Is er nog enig voordeel om directrootlogin te disablen? Doen jullie dit?

[HBCS]

bij mij op de server kan je alleen inloggen van 1 bepaald ip nummer
of range licht er aan wat je insteld
die private key's vind ik niets ik werk liever gewoon met paswoord die kun je inderdaat regelmatig veranderen
en dat gebeurt bij mij minimaal 1 x per maand

het is overigens wel een goede zaak dat je er zo mee bezig ben
suc6

[s.vossen]

Ik heb tegenwoordig voor SSH AllowUsers ingesteld en werk met DSA-keys. Password authenticatie kun je uitzetten, dan wordt het knap lastig tot onmogelijk om er zonder key en valid user nog in te komen.

[Dennis]

Origineel geplaatst door s.vossen
Ik heb tegenwoordig voor SSH AllowUsers ingesteld en werk met DSA-keys. Password authenticatie kun je uitzetten, dan wordt het knap lastig tot onmogelijk om er zonder key en valid user nog in te komen.

Dat laatste houd ik graag voor de zekerheid nog aan.

AllowUsers? Wat is dat voor optie?

[MikeN]

IMHO zijn public/private keys A Good Thing (tm). Ja uiteraard is je key te stelen en kunnen ze je wachtwoord afluisteren, maar die kans is heel wat kleiner dan dat ze alleen achter je wachtwoord komen. Verder is het zo goed als niet te bruteforcen.

Wachtwoorden kun je wijzigen, tja, maar als mensen achter je wachtwoord komen kunnen ze doodleuk een rootkit op je server installen, een tweede root account aanmaken of wat dan ook, waardoor ze er nog steeds inkomen als jij je wachtwoord gewijzigd hebt. Je public key hoef je in principe niet te wijzigen, zolang je je private key maar geheim houdt. En het risico dat iemand m'n private key jat acht ik heel wat kleiner dan het risico dat er morgen een root exploit wordt gevonden in de Linux kernel of OpenSSH.

Voor allowusers zie man 5 sshd_config.
" AllowUsers
This keyword can be followed by a list of user name patterns,
separated by spaces. If specified, login is allowed only for
user names that match one of the patterns."

[wv-]

Root logins altijd afzetten, een aparte sshd draaien op een custom poort met aparte configuratie die alleen maar keys toe laat en 1 group, bijvoorbeeld admins.

Op poort 22 draai je een gewone ssh waar het niet mogelijk is in te loggen / alleen voor klanten. Daar zorg je dus dat groep admin niet kan inloggen.