41 votes

Est-ce une mauvaise idée d'utiliser la même clé privée SSH sur plusieurs ordinateurs?

J'ai récemment acheté un ordinateur portable à partir duquel j'ai besoin d'accéder aux mêmes hôtes distants que depuis mon ordinateur de bureau. Il m'est venu à l'idée qu'il pourrait être possible de simplement copier le fichier de clé privée de mon bureau à mon ordinateur portable et éviter d'avoir à ajouter une nouvelle clé aux fichiers ~/.ssh/authorized_keys sur tous les hôtes auxquels je veux accéder. Mes questions sont donc les suivantes :

  1. Est-ce même possible ?
  2. Y a-t-il des implications de sécurité non évidentes ?
  3. Parfois, je me connecterai à mon bureau depuis mon ordinateur portable. Si j'utilisais la même clé, cela poserait-il des problèmes ?

33voto

Loïc Wolff Points 14389

Oui, c'est possible. Votre clé privée n'est pas liée à une seule machine.

Je ne suis pas sûr de ce que vous entendez par non évident, c'est souvent subjectif ;). Ce n'est pas du tout une mauvaise idée si vous vous assurez d'avoir défini une phrase secrète très forte, d'au moins 20 caractères.

Il n'y a aucun problème à vous connecter avec la même clé que celle de votre ordinateur de bureau. Je vous conseillerais de configurer un agent ssh pour votre clé sur l'ordinateur portable, et de transférer l'agent vers l'ordinateur de bureau, de sorte que vous utilisiez cette clé sur d'autres systèmes auxquels vous accédez à partir de là.

À partir de la page de manuel de ssh-agent sur un système Linux :

ssh-agent est un programme pour stocker les clés privées utilisées pour l'authentification par clé publique (RSA, DSA). L'idée est que ssh-agent est lancé au début d'une session X ou d'une session de connexion, et que toutes les autres fenêtres ou programmes sont lancés en tant que clients du programme ssh-agent. Grâce à l'utilisation de variables d'environnement, l'agent peut être localisé et automatiquement utilisé pour l'authentification lors de la connexion à d'autres machines en utilisant ssh(1).

Vous exécuteriez cela sur votre ordinateur portable, soit le programme ssh-agent sur Linux/Unix (il est livré avec OpenSSH), soit avec l'agent puTTY si vous utilisez Windows. Vous n'avez pas besoin que l'agent fonctionne sur des systèmes distants, il garde uniquement votre clé privée en mémoire sur le système local de sorte que vous n'ayez à saisir votre phrase secrète qu'une seule fois, pour charger la clé dans l'agent.

Le transfert d'agent est une fonctionnalité du client ssh (ssh ou putty) qui maintient simplement l'agent à travers d'autres systèmes via la connexion ssh.

10voto

Joel Lucsy Points 5345

Je l'habitude d'utiliser une seule clé privée pour toutes mes machines (et certaines d'entre elles je ne suis qu'un utilisateur et non un administrateur), mais j'ai récemment changé cela. Cela fonctionne en ayant une seule clé, mais signifie que si vous avez besoin de révoquer la clé (si elle est compromise), alors vous devrez la changer sur toutes les machines.

Bien sûr, si un attaquant parvient à accéder et à se connecter via ssh à une autre machine, il peut alors obtenir la clé de cette machine, et ainsi de suite. Mais cela me rassure un peu de savoir que je peux révoquer une seule clé, et verrouiller cette machine. Cela signifie cependant que je dois retirer la clé du fichier authorized_keys.

SistemesEz.com

SystemesEZ est une communauté de sysadmins où vous pouvez résoudre vos problèmes et vos doutes. Vous pouvez consulter les questions des autres sysadmins, poser vos propres questions ou résoudre celles des autres.

Powered by:

X