Meilleur système pour la gestion des clés SSH ?

J'utilise une solution un peu plus compliquée mais très polyvalente car je veux maintenir une certaine séparation dans les clés d'identité SSH utilisées pour mes serveurs de réseau domestique, serveurs de bureau, serveurs de réseau de clients de consulting et autres systèmes variés sur lesquels j'ai des comptes.

Cela dit, je travaille principalement à partir de postes de travail Linux, donc j'ai une clé USB configurée avec un cryptage LUKS et mon gestionnaire de fenêtres X11 ainsi que le démon HAL détectent le lecteur crypté LUKS et demandent le mot de passe de déchiffrement lorsqu'il est inséré et qu'on tente de le monter. En stockant cela sur un lecteur crypté de la manière dont je le fais, je ne stocke jamais mes clés SSH sur aucun poste de travail.

Ensuite, j'ai la configuration suivante dans mon fichier ~/.ssh/config :

Host *
    Protocol 2
    IdentityFile %d/.ssh/keys.d/id_rsa.%l
    IdentityFile %d/.ssh/keys.d/id_dsa.%l
    IdentityFile %d/.ssh/keys.d/%u@%l

Le %d est traduit comme étant le répertoire personnel de l'utilisateur par OpenSSH et dans le répertoire ~/.ssh, j'ai créé keys.d comme un lien symbolique vers le chemin du répertoire sur la clé USB cryptée lorsqu'elle est correctement montée.

L'expression %l est traduite comme étant le nom de la machine cliente locale et %u sera traduit comme le nom d'utilisateur de la machine cliente locale.

Cette configuration permet à SSH de rechercher une clé en utilisant 3 expressions différentes. Par exemple, si le nom d'utilisateur de ma machine cliente locale était jdoe et le nom de la machine cliente locale était examplehost, il chercherait dans l'ordre suivant jusqu'à ce qu'il trouve une clé qui existe et qui est acceptée par le serveur distant.

/home/jdoe/.ssh/keys.d/id_rsa.examplehost
/home/jdoe/.ssh/keys.d/id_dsa.examplehost
/home/jdoe/.ssh/keys.d/jdoe@examplehost

Vous pourriez même utiliser l'expression %r pour rechercher une clé spécifique pour le nom d'utilisateur du serveur distant ou %h pour le nom d'hôte du serveur distant tout comme %u et %l ont été utilisés.

Mise à jour : Maintenant, j'utilise en fait le gpg-agent de GnuPG avec la compatibilité ssh-agent pour simplement lire et utiliser la clé d'authentification de ma carte à puce OpenPGP v2.

Je supprimerais vos deux options 1 (dont je soupçonne que l'une était censée être l'option 2 ;-) car les clés privées sont des données sensibles, et il est logique de les conserver dans le moins d'endroits possible. Personnellement, je ne copierais jamais une clé privée d'un ordinateur à un autre (ou même d'un fichier à un autre sur le même ordinateur), sauf peut-être pour faire des sauvegardes. Bien que contrairement à la plupart des clés de chiffrement, si une clé SSH est perdue ce n'est pas la fin du monde (il suffit d'en créer une nouvelle, vous ne perdez aucune donnée).

Option 3 et utilisez quelque chose comme Puppet pour gérer la gestion des clés.

Option 3.

Cela vous permet également de contrôler auxquels des serveurs un client peut accéder. Par exemple, si le client X a besoin d'accéder aux serveurs A et B, mais pas C ou D, vous copiez sa clé publique uniquement sur ces hôtes.