SSHキーペアをローカルで廃止する方法

10

しばらくの間、sshキーを使用しています。私のsshキーペアをより強力な暗号化にアップグレードすることを考えています。キーが登録されているすべてのデバイスを知りません。

それはへかのうである「廃止」私は廃止SSHキーで認証場合、私は警告を受けることを、局部的にそうSSHキー？

security ssh-keys

— tim0_o
ソース

その間は、複数のホストで同じSSHキーを使用しないことをお勧めします。それは不必要に攻撃面とそのキーの価値を増加させます。代わりに、接続するホストごとに1つのキーを使用します。理想的には、クライアントとサーバーのペアごとに1つのキーを使用します（ただし、多くのクライアントシステムが多くのサーバーに接続している場合は、スケーリングが不十分です）。また、コメントのキーまたはキー名にキーにタグを付けて、キーの古さを追跡できるようにします。次に、カレンダーに6〜24か月ごとに定期的なリマインダーを設定して更新します。

— からCVn

@MichaelKjörling私はあなたの提案の最初の部分に同意しません。すべての秘密キーが同じ権限で同じマシンに保存されている多くのキーペアを生成しても、セキュリティは大幅に向上しません。1つが侵害された場合、ほとんどの場合それらの残りも侵害されます。その場合、多くのキーペアがあるということは、新しいキーペアを生成する理由を見つけたら、それらをローテーションするための作業が増えることを意味します。コメントに生成日を追加することに関する部分は良いアドバイスです（私ssh-keygenはデフォルトでそうしたいと思います）。

— kasperd 2015年

@kasperdあなたは良い点を作ります。いつものように、それはあなたの脅威モデルに大きく依存すると思います。キーが異なるパスフレーズを持っていると暗黙のうちに想定していたのではないかと思います。パスワードマネージャーをミックスに追加するつもりがない限り、多数のキーを使用しても必ずしも実用的ではない場合があることがわかります。それはないキーが他の接続に影響を与えることなく、非常に簡単に「非推奨」することができますので、しかし、非常に近いOPが記述されているものに何かを許可します。結局のところ、それは個人的な好みの問題だと思います。

— CVn 2015年

9

私はこのようなことをする方法を知りませんが、それがどのように役立つかを見ることができます。私がやろうとしているのは、SSHエージェントへの廃止されたキーの追加をやめることです。そうすれば、使用するたびにパスフレーズを再入力する必要があります。「もう1つ修正する必要があります」などの場合は、そのマシンでもキーを回転させなければならないたびに通知されます。

— ウォンブル
ソース

これに関して、（distro / DEによっては）ファイルを別のディレクトリに移動すると便利な場合があります。たとえば、タツノオトシゴはすべてのキーを~/. ssh自動的に使用します。

— guntbert、2015年

1

それを行うものはすべて焼却する必要があります。つまり、6つ以上のキー（私は数十個を持っています）を持っていると、失敗が多すぎるために認証に失敗することになります（提示されて拒否されたすべてのキーが失敗カウントにカウントされます）。

— ウォンブル

5

古いsshキーをデフォルト以外の場所（つまり、〜/ .ssh / deprecated_id_rsa）に移動し、目的のプロパティを使用して〜/ .ssh / id_rsaに新しいsshキーを作成できます。

これにより、必要に応じて廃止されたキーを引き続き使用できssh -i ~/.ssh/deprecated_id_rsa ...ますが、デフォルトでは新しいキーを使用します。

— つま先
ソース