ubuntu core - cea mai bună practică pentru backup-ul cheilor publice/private

testăm să folosim Ubuntu Core pentru dispozitivele noastre de control/senzori IoT

Încercam să emulez o situație în care, dacă o cheie este compromisă, care este cea mai bună practică pentru perechea de chei ssh. În toate exemplele, instrucțiunea este de a crea o singură pereche. În cazul unui compromis, ar dori să ștergeți imediat cheia compromisă mai întâi.

Am folosit următoarea metodă pentru a crea 2 seturi de chei - unul ca principal și al doilea ca rezervă.

În SSO-ul ubuntu, au creat două chei - similare cu main și backup. Core Ubuntu instalat de la zero în RPi. Când m-am conectat pentru prima dată, a primit ambele chei publice de la serverul SSO.

Apoi am putut să ssh cu fiecare cheie separat. În acest fel, se poate conecta la dispozitiv utilizând cheia de rezervă și șterge cheia compromisă.

Sper că asta ajută pe cineva.

Totuși, dacă există o cale mai bună, aș dori să știu.

După părerea mea, cu cât ai mai multe taste pe dispozitiv, cu atât suprafața de atac este mai largă. Trebuie să se scurgă o singură cheie, iar acum aveți mai multă scurgere din care se poate scurge.

În unele situații, asta are sens, dar nu sunt sigur ce câștigi în scenariul pe care l-ai descris. Dacă cheia SSH A este compromisă, cineva cu cheia respectivă poate obține acces la dispozitiv. Perioadă. Tasta SSH B, care are și acces la dispozitiv, nu este deloc în imagine. Deci, folosirea tastei SSH B pentru a obține acces la dispozitiv pentru a „revoca” cheia SSH A nu are prea mult sens. Faptul că cheia SSH A este compromisă, evident, nu o face inutilă. Ați putea la fel de ușor să utilizați NUMAI cheia SSH A și să o utilizați din nou pentru a obține acces la dispozitiv și să o schimbați cu cheia SSH B în cazul unui compromis. Atunci aveți o singură cheie cu acces la dispozitiv. Același model de securitate pe care îl ai acum, dar suprafața ta de atac nu este la fel de largă.

Ar fi chiar mai bine dacă Ubuntu Core ar oferi o modalitate de a reîmprospăta cheile de pe dispozitivele conectate la contul tău SSO (care ar ajuta și cu scenariul de pierdere a cheii), dar nu cred că această funcționalitate există astăzi (vezi LP #1646559).