SSH сертификаты

[vitus_wagner]

Тут я задумался над вопросом, что слишком много у меня развелось ключевых пар SSH. Я держу отдельный секретный ключ на каждом устройстве. за экраном которого я могу работать, чтобы иметь возможность отзвать ключ в случае чего.

Раньше как-то меня устраивала схема с authorized_keys. Но сейчас развелось планшетов, ноутбуков, виндовых виртуалок (в которых я держу отдельные ключи, поскольку они более подвержены всяким троянам, и может понадобится отозвать ключ виртуалки, не отзывая ключ хоста). В общем authorized_keys на моей домашней машине содержит уже 15 строчек. И распространять его по всем машинам, на которые приходится заходить, надо как-то слишком часто.

А known_hosts вообще под 200 строчек, и большая часть из них про несуществующие уже машины и их ключи. А с тех пор как ssh стал имена хостов хэшировать, чистить его стало неудобно.

В общемя, ч я призадумался над вопросом, а не стоит ли перейти на использование сертификатов.
Сертификаты появились в OpenSSH довольно давно. Более менее вменяемое описание как ими пользоваться можно найти здесь

В этом случае в authorized_keys и known_hostsо станется по одной строчке со ссылокй на ключ CA (ну в known_hosts может быть две - для домашнего CA и для рабочего, чтобы не подписывать своим CA ключи не принадлежащих мне серверов).

Остаются пока следующие вопросы:

1. Как организовать распространение файла RevokedKeys (учитывая что значительная часть машин не всегда влючены)
2. Поддерживаются ли сертификаты во всяких альтернативных по сравнению с openssh клиентах и серверах, которыми приходится пользоваться - putty, vx-connectbot, dropbear, acrosync? Вот sftp-plugin к total commander по-мему их как раз поддерживает, не поддерживая старой схемы с authorized_keys.

Comments

[max630.livejournal.com]

> ssh стал имена хостов хэшировать

это можно отключить

[vitus_wagner]

Можно-то можно, но я уже этого не сделал. И имею под 200 строк хэшированных записей. И не факт, что соображения удобства чистки known_hosts, которые я привел в посте, не перевешиваются теми соображениями, которыми руководствовались авторы openssh, изобретая хэшированный формат known_hosts.

Да, я знаю что еще и completion имен хостов заработает, если хэширование отключить.

[inkelyad.livejournal.com]

А в чем проблема с чисткой known_hosts? Вроде бы ключик -R у ssh-keygen именно для этого служит?

[vitus_wagner]

Нет, он не для этого. Он позволяет вычистить ключи, для которых я знаю имя хоста. А мне надо вычистить все хосты, кроме тех, на которые я могу сходить (т.е. все кроме некоторого списка, имена которых я теоретически должен знать. А на практике, пока не увижу имя. не скажу, что да, мол оно есть).

[beldmit.livejournal.com]

А как?

[max630.livejournal.com]

в sshd_config должен быть параметр, как называется не помню

[vitus_wagner]

В ssh_config (или ~/.ssh/config)
HashKnownHosts no

[beldmit.livejournal.com]

Спасибо. Врублю сегодня.

[vitus_wagner]

Что забавно, оно нынче по умолчанию no (хотя помнится мне, когда только появилось было по умолчанию yes). Это параноик дебиановский мейнтейнер его в /etc/ssh/ssh_config в yes поставил.