Est-il possible d'utiliser une clé SSH avec une phrase de passe vide ?

Une autre solution, qui renforce la sécurité tout en vous facilitant la tâche, de sorte que vous n'ayez pas à taper votre mot de passe en permanence :

si vous voulez crypter votre clé privée, vous pouvez utiliser ssh-agent sur votre poste de travail pour "mettre en cache" la clé non chiffrée. lorsque vous souhaitez stocker votre clé déchiffrée, vous exécutez ssh-add ~/.ssh/id_rsa ou quel que soit le nom de votre clé privée. Le mot de passe vous sera demandé et la clé décryptée sera disponible pour vos connexions ssh jusqu'à ce que vous vous déconnectiez, que vous tuiez ssh-agent ou l'arrêt.

vous pouvez kill les clés stockées avec ssh-agent -k et vous pouvez attribuer une durée de vie à la clé pour qu'elle soit en mémoire avec ssh-agent -t [seconds] Par exemple, si vous ne voulez pas que votre clé soit déchiffrée indéfiniment, mais que vous voulez faire beaucoup de ssh autour de vos hôtes, vous pouvez fixer le délai d'attente à 5-10 minutes, de sorte que vous n'ayez pas à entrer continuellement le mot de passe de votre clé.

Encore une fois, tout cela dépend de votre degré de confiance dans la sécurité de votre /station de travail/. Si vous êtes le seul à y avoir accès, que vous disposez d'un mot de passe local assez sûr et que vous n'invitez pas les exploits et les rootkits à se manifester, votre clé privée sans phrase est raisonnablement sûre.

Si vous êtes comme moi et que vous conservez votre clé privée sur une clé USB, vous voudrez certainement la crypter, même s'il ne s'agit que d'une clé privée (distincte de celle que j'utilise sur mon poste de travail, de sorte que si je perds ma clé, je peux facilement retirer la clé publique de la clé USB de celle de mon serveur). ~/.ssh/authorized_keys ce qui constitue également une excellente raison d'ajouter des commentaires UTILES à vos clés publiques).

dans votre réponse à une question précédente, vous avez dit que seules les personnes en qui vous avez confiance ont accès à la machine contenant les clés. je tiens juste à préciser que votre clé privée n'a PAS besoin d'être sur le serveur auquel vous vous connectez, au cas où c'est ce que vous faites. seule votre clé publique a besoin d'être sur le serveur, et ce n'est pas un problème, c'est pourquoi il s'agit d'une clé "publique".

Oh, j'ai oublié de mentionner que je lance ssh-agent lorsque je démarre X, sinon les clés déchiffrées que je stocke avec ssh-add ne sont pas retenus à travers différents xterm sessions, et je dois réintroduire le mot de passe à chaque fois que je ferme l'application. xterm i lancé ssh-add en. en. en. ~/.xinitrc j'ai :

if [ -x /usr/bin/ssh-agent ]; then
   eval $(/usr/bin/ssh-agent)
fi

j'ai l'appel à ssh-agent enveloppé dans eval parce que ssh-agent renvoie des variables d'environnement qui doivent être définies lorsqu'il s'exécute, et qu'il s'exécute à partir de ~/.xinitrc les variables d'environnement sont constantes tout au long de la session X.

Vous pouvez consulter un question similaire J'ai posé une question sur les clés privées SSL pour les serveurs web. En fait, il y a trois options :

1. Protéger la clé avec des perms du système de fichiers.
2. Utilisez une clé protégée par un mot de passe et entrez la clé manuellement à chaque redémarrage.
3. Utilisez une clé protégée par un mot de passe et stockez la clé dans le système de fichiers pour automatiser le redémarrage.

Chacune d'entre elles est imparfaite, tout dépend donc de ce que vous craignez le plus.

Pour l'accès automatisé, qui, comme vous le dites, nécessite des clés sans phrase, j'utilise toujours les options supplémentaires de authorized_keys (voir sshd(8)) pour limiter la commande qui peut être exécutée.

En général, je fournis un script soigneusement écrit à l'extrémité distante, qui effectue exactement le travail (ou les travaux - il peut examiner les paramètres) que je souhaite voir autorisé.

Ensuite, je verrouille également les adresses IP qui peuvent se connecter avec cette clé (ce n'est pas infaillible à 100 %, mais cela convient également à la restriction des commandes).

Tant que personne d'autre que vous n'a accès à la clé, vous n'avez pas besoin de phrase de passe. En fait, vous ne pouvez pas utiliser de phrase de passe sur les clés utilisées par les logiciels automatisés.