セキュリティのためにGCEからSSHキーを削除することをGoogleが推奨するのはなぜですか?


15

以下のGoogleのドキュメントへの参照は当てはまりません。

SSHを保護するために、GCEインスタンスからSSHキーを削除することをお勧めします。それは私には意味がありません。キーはセキュリティのためにありますよね?キーを削除すると、SSHDが機能しなくなります。私はおそらく彼らのポイントを見逃しています。誰かがこれによって何を意味するのか説明できますか?

SSHホストキーを削除する

インスタンスでsshホストキーを使用しないでください。次のように削除します。

rm /etc/ssh/ssh_host_key
rm /etc/ssh/ssh_host_rsa_key*
rm /etc/ssh/ssh_host_dsa_key*
rm /etc/ssh/ssh_host_ecdsa_key*

2
このドキュメントでは、有効にすることStrictHostKeyCheckingを推奨しており、後で無効にすることを推奨しています。私はそれが非常に慎重に編集された文書ではないと思う。私のアドバイスは、あなた自身の判断を信頼し、正当な理由がない限りホスト鍵を使用することです。
aecolley 14

@aecolley私もそれに気づきました。私は彼らにフィードバックを提出しました。彼らが私に戻ってくるかどうかを確認します。
マーティンPrikryl 14

1
以下で詳しく説明しますが、内容は要約します-あなたが見ているページは、一般的にマシンを保護するためではなく、新しいイメージを作成するためのアドバイスを与えています。理由は明らかではないため、ホストキーを削除する時期と理由に関する詳細を含むようにドキュメントを更新します。
ベンソン14

回答:


12

重要な詳細は、参照したページが新しいCompute Engineマシンイメージの作成に関するものであることです。具体的には、新しい仮想マシンイメージを作成するときに、ホストキーが含まれないようにする必要があります。これにより、イメージが複製されて実際のVMに再構成されると、sshd起動スクリプトはホストキーがないことを認識し、新しいキーを自動的に生成します。同じホストキーを使用する複数のマシンを持つことは非常に悪い考えなので、これは望ましいことです。

したがって、一般的な場合、ホストキーを削除しないでください。ただし、新しいイメージを作成する場合は、ホストキーとマシンの間に1対1の関係を確保するための重要な手順です。


1
ありがとう。意味あり。いくつかの説明が役立ちますが。「インスタンスでsshホストキーを使用しないでください。」本当に紛らわしい言い回しです。
マーティンPrikryl 14

私は完全に同意します-それを指摘してくれてありがとう。私は実際にドキュメントの更新を提出し、まもなくプッシュされると思われる文言を明確にしました。
ベンソン14

1
更新されたドキュメントが公開されました:developers.google.com/compute/docs/images#removesshkeys
Benson 14

13

私が考えることができる唯一の考えられる理由は、彼らがあなたに新しい鍵を再生成することを強制したいということです。
これらのキーはアクセスする前に生成されたため、信頼されていない可能性があります。
それらを削除して再起動sshdすると、キーが再生成されます。
ただし、このドキュメントでは実際にはそれが明確になっていません。

これは純粋な憶測であり、彼らに連絡してこれについて明確にすることをお勧めします。


4
お返事をありがとうございます。を再起動するには、サーバーにsshする必要がありますsshd。しかし、接続するには、「信頼できない」サーバーのホストキーを受け入れる必要があります。したがって、このセッション中に私が行うことはすべて信頼できません。sshdの再起動も。正しい?
マーティンPrikryl 14

1
主な懸念は、何らかの理由で別の顧客があなたと同じキーを取得することだと思います(注:これにより、お客様はインスタンスにアクセスできなくなりますが、中間者攻撃が簡単になります)。イメージのプロバイダーを信頼していない場合、そこでは何も実行しないでください(実質的に物理的にアクセスできます)。
フェイカー14

1
IIRCには、一部のシステム、特に組み込みシステムのエントロピーの品質が、開始されたばかりの起動済み仮想​​マシンの一部のカテゴリも含まれている可能性があることを示す調査がいくつかあります。SSHホストキーなどの公開キーが最初の起動時に生成される場合、それらは予測可能です。
HBruijn 14

@HBruijnコメントありがとうございます。ただし、それらを削除し、再起動時にsshdで再作成しても、改善されるわけではありません。自分でアップロードする必要があります。しかし、それはドキュメントでカバーされていません。
マーティンPrikryl 14

1
Googleにフィードバックを送信しました。彼らが私に戻ってくるかどうかを確認します。
マーティンPrikryl 14
弊社のサイトを使用することにより、あなたは弊社のクッキーポリシーおよびプライバシーポリシーを読み、理解したものとみなされます。
Licensed under cc by-sa 3.0 with attribution required.