搜索

[25233] 2016-07-11_在Linux上管理加密密钥的最佳体验

文档创建者：s7ckTeam
浏览次数：3
最后更新：2025-01-18
2016-07-11_在Linux上管理加密密钥的最佳体验 在   L i n u x   上 管 理 加 密 密 钥 的 最 佳 体 验 原 创   m u d o n g l i a n g   L i n u x 中 国   2 0 1 6 - 0 7 - 1 1 存 储   S S H   的 加 密 秘 钥 和 记 住 密 码 一 直 是 一 个 让 人 头 疼 的 问 题 。 但 是 不 幸 的 是 ， 在 当 前 这 个 充 满 了 恶 意 黑 客 和 攻 击 的 世 界 中 ， 基 本 的 安 全 预 防 是 必 不 可 少 的 。 对 于 许 多 普 通 用 户 来 说 ， 大 多 数 人 只 能 是 记 住 密 码 ， 也 可 能 寻 找 到 一 个 好 程 序 去 存 储 密 码 ， 正 如 我 们 提 醒 这 些 用 户 不 要 在 每 个 网 站 采 用 相 同 的 密 码 。 但 是 对 于 在 各 个   I T   领 域 的 人 们 ， 我 们 需 要 将 这 个 事 情 提 高 一 个 层 面 。 我 们 需 要 使 用 像   S S H   密 钥 这 样 的 加 密 秘 钥 ， 而 不 只 是 密 码 。 设 想 一 个 场 景 ： 我 有 一 个 运 行 在 云 上 的 服 务 器 ， 用 作 我 的 主   g i t   库 。 我 有 很 多 台 工 作 电 脑 ， 所 有 这 些 电 脑 都 需 要 登 录 到 这 个 中 央 服 务 器 去 做 p u s h   与   p u l l   操 作 。 这 里 我 设 置   g i t   使 用   S S H 。 当   g i t   使 用   S S H   时 ， g i t   实 际 上 是 以   S S H   的 方 式 登 录 到 服 务 器 ， 就 好 像 你 通 过   S S H   命 令 打 开 一 个 服 务 器 的 命 令 行 一 样 。 为 了 把 这 些 配 置 好 ， 我 在 我 的   . s s h   目 录 下 创 建 一 个 配 置 文 件 ， 其 中 包 含 一 个 有 服 务 器 名 字 、 主 机 名 、 登 录 用 户 、 密 钥 文 件 路 径 等 信 息 的 主 机 项 。 之 后 我 可 以 通 过 输 入 如 下 命 令 来 测 试 这 个 配 置 是 否 正 确 。 很 快 我 就 可 以 访 问 到 服 务 器 的   b a s h   s h e l l 。 现 在 我 可 以 配 置   g i t   使 用 相 同 配 置 项 以 及 存 储 的 密 钥 来 登 录 服 务 器 。 这 很 简 单 ， 只 是 有 一 个 问 题 ： 对 于 每 一 个 我 要 用 它 登 录 服 务 器 的 电 脑 ， 我 都 需 要 有 一 个 密 钥 文 件 ， 那 意 味 着 需 要 密 钥 文 件 会 放 在 很 多 地 方 。 我 会 在 当 前 这 台 电 脑 上 存 储 这 些 密 钥 文 件 ， 我 的 其 他 电 脑 也 都 需 要 存 储 这 些 。 就 像 那 些 有 特 别 多 的 密 码 的 用 户 一 样 ， 我 们 这 些   I T   人 员 也 被 这 些 特 别 多 的 密 钥 文 件 淹 没 。 怎 么 办 呢 ？ 清 理 清 理 在 我 们 开 始 帮 助 你 管 理 密 钥 之 前 ， 你 需 要 有 一 些 密 钥 应 该 怎 么 使 用 的 基 础 知 识 ， 以 及 明 白 我 们 下 面 的 提 问 的 意 义 所 在 。 同 时 ， 有 个 前 提 ， 也 是 最 重 要 的 ， 你 应 该 知 道 你 的 公 钥 和 私 钥 该 放 在 哪 里 。 然 后 假 设 你 应 该 知 道 ： 1 .   公 钥 和 私 钥 之 间 的 差 异 ； 1 .   s s h   g i t s e r v e r
2 .   为 什 么 你 不 可 以 从 公 钥 生 成 私 钥 ， 但 是 反 之 则 可 以 ？   文 件 的 目 的 以 及 里 面 包 含 什 么 内 容 ； 4 .   如 何 使 用 私 钥 去 登 录 一 个 你 的 对 应 公 钥 存 储 在 其 上 的     文 件 中 的 服 务 器 。 这 里 有 一 个 例 子 。 当 你 在 亚 马 逊 的 网 络 服 务 上 创 建 一 个 云 服 务 器 ， 你 必 须 提 供 一 个 用 于 连 接 你 的 服 务 器 的   S S H   密 钥 。 每 个 密 钥 都 有 一 个 公 开 的 部 分 （ 公 钥 ） 和 私 密 的 部 分 （ 私 钥 ） 。 你 要 想 让 你 的 服 务 器 安 全 ， 乍 看 之 下 你 可 能 应 该 将 你 的 私 钥 放 到 服 务 器 上 ， 同 时 你 自 己 带 着 公 钥 。 毕 竟 ， 你 不 想 你 的 服 务 器 被 公 开 访 问 ， 对 吗 ？ 但 是 实 际 上 的 做 法 正 好 是 相 反 的 。 你 应 该 把 自 己 的 公 钥 放 到   A W S   服 务 器 ， 同 时 你 持 有 用 于 登 录 服 务 器 的 私 钥 。 你 需 要 保 护 好 私 钥 ， 并 让 它 处 于 你 的 控 制 之 中 ， 而 不 是 放 在 一 些 远 程 服 务 器 上 ， 正 如 上 图 中 所 示 。 原 因 如 下 ： 如 果 公 钥 被 其 他 人 知 道 了 ， 它 们 不 能 用 于 登 录 服 务 器 ， 因 为 他 们 没 有 私 钥 。 进 一 步 说 ， 如 果 有 人 成 功 攻 入 你 的 服 务 器 ， 他 们 所 能 找 到 的 只 是 公 钥 ， 他 们 不 可 以 从 公 钥 生 成 私 钥 。 同 时 ， 如 果 你 在 其 他 的 服 务 器 上 使 用 了 相 同 的 公 钥 ， 他 们 不 可 以 使 用 它 去 登 录 别 的 电 脑 。 这 就 是 为 什 么 你 要 把 你 自 己 的 公 钥 放 到 你 的 服 务 器 上 以 便 通 过   S S H   登 录 这 些 服 务 器 。 你 持 有 这 些 私 钥 ， 不 要 让 这 些 私 钥 脱 离 你 的 控 制 。 但 是 还 有 一 点 麻 烦 。 试 想 一 下 我   g i t   服 务 器 的 例 子 。 我 需 要 做 一 些 抉 择 。 有 时 我 登 录 架 设 在 别 的 地 方 的 开 发 服 务 器 ， 而 在 开 发 服 务 器 上 ， 我 需 要 连 接 我 的   g i t   服 务 器 。 如 何 使 我 的 开 发 服 务 器 连 接   g i t   服 务 器 ？ 显 然 是 通 过 使 用 私 钥 ， 但 这 样 就 会 有 问 题 。 在 该 场 景 中 ， 需 要 我 把 私 钥 放 置 到 一 个 架 设 在 别 的 地 方 的 服 务 器 上 ， 这 相 当 危 险 。 3 .   a u t h o r i z e d _ k e y s a u t h o r i z e d _ k e y s
一 个 进 一 步 的 场 景 ： 如 果 我 要 使 用 一 个 密 钥 去 登 录 许 多 的 服 务 器 ， 怎 么 办 ？ 如 果 一 个 入 侵 者 得 到 这 个 私 钥 ， 这 个 人 就 能 用 这 个 私 钥 得 到 整 个 服 务 器 网 络 的 权 限 ， 这 可 能 带 来 一 些 严 重 的 破 坏 ， 这 非 常 糟 糕 。 同 时 ， 这 也 带 来 了 另 外 一 个 问 题 ， 我 真 的 应 该 在 这 些 其 他 服 务 器 上 使 用 相 同 的 密 钥 吗 ？ 因 为 我 刚 才 描 述 的 ， 那 会 非 常 危 险 的 。 最 后 ， 这 听 起 来 有 些 混 乱 ， 但 是 确 实 有 一 些 简 单 的 解 决 方 案 。 让 我 们 有 条 理 地 组 织 一 下 。 （ 注 意 ， 除 了 登 录 服 务 器 ， 还 有 很 多 地 方 需 要 私 钥 密 钥 ， 但 是 我 提 出 的 这 个 场 景 可 以 向 你 展 示 当 你 使 用 密 钥 时 你 所 面 对 的 问 题 。 ） 常 规 口 令 常 规 口 令 当 你 创 建 你 的 密 钥 时 ， 你 可 以 选 择 是 否 包 含 一 个 密 钥 使 用 时 的 口 令 。 有 了 这 个 口 令 ， 私 钥 文 件 本 身 就 会 被 口 令 所 加 密 。 例 如 ， 如 果 你 有 一 个 公 钥 存 储 在 服 务 器 上 ， 同 时 你 使 用 私 钥 去 登 录 服 务 器 的 时 候 ， 你 会 被 提 示 输 入 该 口 令 。 没 有 口 令 ， 这 个 密 钥 是 无 法 使 用 的 。 或 者 你 也 可 以 配 置 你 的 密 钥 不 需 要 口 令 ， 然 后 只 需 要 密 钥 文 件 就 可 以 登 录 服 务 器 了 。 一 般 来 说 ， 不 使 用 口 令 对 于 用 户 来 说 是 更 方 便 的 ， 但 是 在 很 多 情 况 下 我 强 烈 建 议 使 用 口 令 ， 原 因 是 ， 如 果 私 钥 文 件 被 偷 了 ， 偷 密 钥 的 人 仍 然 不 可 以 使 用 它 ， 除 非 他 或 者 她 可 以 找 到 口 令 。 在 理 论 上 ， 这 个 将 节 省 你 很 多 时 间 ， 因 为 你 可 以 在 攻 击 者 发 现 口 令 之 前 ， 从 服 务 器 上 删 除 公 钥 文 件 ， 从 而 保 护 你 的 系 统 。 当 然 还 有 一 些 使 用 口 令 的 其 它 原 因 ， 但 是 在 很 多 场 合 这 个 原 因 对 我 来 说 更 有 价 值 。 （ 举 一 个 例 子 ， 我 的   A n d r o i d 平 板 上 有   V N C   软 件 。 平 板 上 有 我 的 密 钥 。 如 果 我 的 平 板 被 偷 了 之 后 ， 我 会 马 上 从 服 务 器 上 删 除 公 钥 ， 使 得 它 的 私 钥 没 有 作 用 ， 无 论 有 没 有 口 令 。 ） 但 是 在 一 些 情 况 下 我 不 使 用 口 令 ， 是 因 为 我 正 在 登 录 的 服 务 器 上 没 有 什 么 有 价 值 的 数 据 ， 这 取 决 于 情 境 。 服 务 器 基 础 设 施 服 务 器 基 础 设 施 你 如 何 设 计 自 己 服 务 器 的 基 础 设 施 将 会 影 响 到 你 如 何 管 理 你 的 密 钥 。 例 如 ， 如 果 你 有 很 多 用 户 登 录 ， 你 将 需 要 决 定 每 个 用 户 是 否 需 要 一 个 单 独 的 密 钥 。 （ 一 般 来 说 ， 应 该 如 此 ； 你 不 会 想 在 用 户 之 间 共 享 私 钥 。 那 样 当 一 个 用 户 离 开 组 织 或 者 失 去 信 任 时 ， 你 可 以 删 除 那 个 用 户 的 公 钥 ， 而 不 需 要 必 须 给 其 他 人 生 成 新 的 密 钥 。 相 似 地 ， 通 过 共 享 密 钥 ， 他 们 能 以 其 他 人 的 身 份 登 录 ， 这 就 更 糟 糕 了 。 ） 但 是 另 外 一 个 问 题 是 你 如 何 配 置 你 的 服 务 器 。 举 例 来 说 ， 你 是 否 使 用 像   P u p p e t   这 样 工 具 配 置 大 量 的 服 务 器 ？ 你 是 否 基 于 你 自 己 的 镜 像 创 建 大 量 的 服 务 器 ？ 当 你 复 制 你 的 服 务 器 ， 是 否 每 一 个 的 密 钥 都 一 样 ？ 不 同 的 云 服 务 器 软 件 允 许 你 配 置 如 何 选 择 ； 你 可 以 让 这 些 服 务 器 使 用 相 同 的 密 钥 ， 也 可 以 给 每 一 个 服 务 器 生 成 一 个 新 的 密 钥 。 如 果 你 在 操 作 这 些 复 制 的 服 务 器 ， 如 果 用 户 需 要 使 用 不 同 的 密 钥 登 录 两 个 不 同 但 是 大 部 分 都 一 样 的 系 统 ， 它 可 能 导 致 混 淆 。 但 是 另 一 方 面 ， 服 务 器 共 享 相 同 的 密 钥 会 有 安 全 风 险 。 或 者 ， 第 三 ， 如 果 你 的 密 钥 有 除 了 登 录 之 外 的 需 要 （ 比 如 挂 载 加 密 的 驱 动 ） ， 那 么 你 会 在 很 多 地 方 需 要 相 同 的 密 钥 。 正 如 你 所 看 到 的 ， 你 是 否 需 要 在 不 同 的 服 务 器 上 使 用 相 同 的 密 钥 不 是 我 能 为 你 做 的 决 定 ； 这 其 中 有 权 衡 ， 你 需 要 自 己 去 决 定 什 么 是 最 好 的 。 最 终 ， 你 可 能 会 有 ： 需 要 登 录 的 多 个 服 务 器 多 个 用 户 登 录 到 不 同 的 服 务 器 ， 每 个 都 有 自 己 的 密 钥 每 个 用 户 使 用 多 个 密 钥 登 录 到 不 同 的 服 务 器 （ 如 果 你 正 在 别 的 情 况 下 使 用 密 钥 ， 这 个 同 样 的 普 适 理 论 也 能 应 用 于 如 何 使 用 密 钥 ， 需 要 多 少 密 钥 ， 它 们 是 否 共 享 ， 你 如 何 处 理 公 私 钥 等 方 面 。 ） 安 全 方 法 安 全 方 法 了 解 你 的 基 础 设 施 和 特 有 的 情 况 ， 你 需 要 组 合 一 个 密 钥 管 理 方 案 ， 它 会 指 导 你 如 何 去 分 发 和 存 储 你 的 密 钥 。 比 如 ， 正 如 我 之 前 提 到 的 ， 如 果
我 的 平 板 被 偷 了 ， 我 会 从 我 服 务 器 上 删 除 公 钥 ， 我 希 望 这 在 平 板 在 用 于 访 问 服 务 器 之 前 完 成 。 同 样 的 ， 我 会 在 我 的 整 体 计 划 中 考 虑 以 下 内 容 ： 1 .   私 钥 可 以 放 在 移 动 设 备 上 ， 但 是 必 须 包 含 口 令 ； 2 .   必 须 有 一 个 可 以 快 速 地 从 服 务 器 上 删 除 公 钥 的 方 法 。 在 你 的 情 况 中 ， 你 可 能 决 定 你 不 想 在 自 己 经 常 登 录 的 系 统 上 使 用 口 令 ； 比 如 ， 这 个 系 统 可 能 是 一 个 开 发 者 一 天 登 录 多 次 的 测 试 机 器 。 这 没 有 问 题 ， 但 是 你 需 要 调 整 一 点 你 的 规 则 。 你 可 以 添 加 一 条 规 则 ： 不 可 以 通 过 移 动 设 备 登 录 该 机 器 。 换 句 话 说 ， 你 需 要 根 据 自 己 的 状 况 构 建 你 的 准 则 ， 不 要 假 设 某 个 方 案 放 之 四 海 而 皆 准 。 软 件 软 件 至 于 软 件 ， 令 人 吃 惊 的 是 ， 现 实 世 界 中 并 没 有 很 多 好 的 、 可 靠 的 存 储 和 管 理 私 钥 的 软 件 解 决 方 案 。 但 是 应 该 有 吗 ？ 考 虑 下 这 个 ， 如 果 你 有 一 个 程 序 存 储 你 所 有 服 务 器 的 全 部 密 钥 ， 并 且 这 个 程 序 被 一 个 快 捷 的 密 钥 锁 住 ， 那 么 你 的 密 钥 就 真 的 安 全 了 吗 ？ 或 者 类 似 的 ， 如 果 你 的 密 钥 被 放 置 在 你 的 硬 盘 上 ， 用 于   S S H   程 序 快 速 访 问 ， 密 钥 管 理 软 件 是 否 真 正 提 供 了 任 何 保 护 吗 ？ 但 是 对 于 整 体 基 础 设 施 和 创 建 / 管 理 公 钥 来 说 ， 有 许 多 的 解 决 方 案 。 我 已 经 提 到 了   P u p p e t ， 在   P u p p e t   的 世 界 中 ， 你 可 以 创 建 模 块 以 不 同 的 方 式 管 理 你 的 服 务 器 。 这 个 想 法 是 服 务 器 是 动 态 的 ， 而 且 不 需 要 精 确 地 复 制 彼 此 。 这 里 有 一 个 聪 明 的 方 法 [ 1 ] ， 在 不 同 的 服 务 器 上 使 用 相 同 的 密 钥 ， 但 是 对 于 每 一 个 用 户 使 用 不 同 的   P u p p e t   模 块 。 这 个 方 案 可 能 适 合 你 ， 也 可 能 不 适 合 你 。 或 者 ， 另 一 个 选 择 就 是 完 全 换 个 不 同 的 档 位 。 在   D o c k e r   的 世 界 中 ， 你 可 以 采 取 一 个 不 同 的 方 式 ， 正 如 关 于   S S H   和   D o c k e r   博 客 [ 2 ] 所 描 述 的 那 样 。 但 是 怎 么 样 管 理 私 钥 ？ 如 果 你 搜 索 过 的 话 ， 你 无 法 找 到 很 多 可 以 选 择 的 软 件 ， 原 因 我 之 前 提 到 过 ； 私 钥 存 放 在 你 的 硬 盘 上 ， 一 个 管 理 软 件 可 能 无 法 提 到 更 多 额 外 的 安 全 。 但 是 我 使 用 这 种 方 法 来 管 理 我 的 密 钥 ： 首 先 ， 我 的     文 件 中 有 很 多 的 主 机 项 。 我 要 登 录 的 都 有 一 个 主 机 项 ， 但 是 有 时 我 对 于 一 个 单 独 的 主 机 有 不 止 一 项 。 如 果 我 有 很 多 登 录 方 式 ， 就 会 出 现 这 种 情 况 。 对 于 放 置 我 的   g i t   库 的 服 务 器 来 说 ， 我 有 两 个 不 同 的 登 录 项 ； 一 个 限 制 于   g i t ， 另 一 个 用 于 一 般 用 途 的   b a s h   访 问 。 这 个 为   g i t   设 置 的 登 录 选 项 在 机 器 上 有 极 大 的 限 制 。 还 记 得 我 之 前 说 的 我 存 储 在 远 程 开 发 机 器 上 的   g i t   密 钥 吗 ？ 好 了 。 虽 然 这 些 密 钥 可 以 登 录 到 我 其 中 一 个 服 务 器 ， 但 是 使 用 的 账 号 是 被 严 格 限 制 的 。 其 次 ， 大 部 分 的 私 钥 都 包 含 口 令 。 （ 对 于 需 要 多 次 输 入 口 令 的 情 况 ， 考 虑 使 用   s s h - a g e n t [ 3 ] 。 ） 再 次 ， 我 有 一 些 我 想 要 更 加 小 心 地 保 护 的 服 务 器 ， 我 不 会 把 这 些 主 机 项 放 在 我 的   h o s t   文 件 中 。 这 更 加 接 近 于 社 会 工 程 方 面 ， 密 钥 文 件 还 在 ， 但 是 可 能 需 要 攻 击 者 花 费 更 长 的 时 间 去 找 到 这 个 密 钥 文 件 ， 分 析 出 来 它 们 对 应 的 机 器 。 在 这 种 情 况 下 ， 我 就 需 要 手 动 打 出 来 一 条 长 长 的 S S H   命 令 。 （ 没 那 么 可 怕 。 ） 同 时 你 可 以 看 出 来 我 没 有 使 用 任 何 特 别 的 软 件 去 管 理 这 些 私 钥 。 无 放 之 四 海 而 皆 准 的 方 案 无 放 之 四 海 而 皆 准 的 方 案 我 们 偶 尔 会 在   l i n u x . c o m   收 到 一 些 问 题 ， 询 问 管 理 密 钥 的 好 软 件 的 建 议 。 但 是 退 一 步 看 ， 这 个 问 题 事 实 上 需 要 重 新 思 考 ， 因 为 没 有 一 个 普 适 的 解 决 方 案 。 你 问 的 问 题 应 该 基 于 你 自 己 的 情 景 。 你 是 否 简 单 地 尝 试 找 到 一 个 位 置 去 存 储 你 的 密 钥 文 件 ？ 你 是 否 寻 找 一 个 方 法 去 管 理 多 用 户 问 题 ， 其 中 每 个 人 都 需 要 将 他 们 自 己 的 公 钥 插 入 到   . s s h / c o n f i g a u t h o r i z e d _ k e y s
  文 件 中 ？ 通 过 这 篇 文 章 ， 我 已 经 囊 括 了 这 方 面 的 基 础 知 识 ， 希 望 到 此 你 明 白 如 何 管 理 你 的 密 钥 ， 并 且 ， 只 有 当 你 问 出 了 正 确 的 问 题 ， 无 论 你 寻 找 任 何 软 件 （ 甚 至 你 需 要 另 外 的 软 件 ） ， 它 都 会 出 现 。 v i a :   h t t p : / / w w w . l i n u x . c o m / l e a r n / t u t o r i a l s / 8 3 8 2 3 5 - h o w - t o - b e s t - m a n a g e - e n c r y p t i o n - k e y s - o n - l i n u x 作 者 ： J e f f   C o g s w e l l [ 4 ]   译 者 ： m u d o n g l i a n g [ 5 ]   校 对 ： w x y [ 6 ] 本 文 由   L C T T [ 7 ]   原 创 翻 译 ， L i n u x 中 国 [ 8 ]   荣 誉 推 出 [ 1 ] :   h t t p : / / m a n u e l . k i e s s l i n g . n e t / 2 0 1 4 / 0 3 / 2 6 / b u i l d i n g - m a n a g e a b l e - s e r v e r - i n f r a s t r u c t u r e s - w i t h - p u p p e t - p a r t - 4 / [ 2 ] :   h t t p : / / b l o g . d o c k e r . c o m / 2 0 1 4 / 0 6 / w h y - y o u - d o n t - n e e d - t o - r u n - s s h d - i n - d o c k e r / [ 3 ] :   h t t p : / / b l o g . d o c k e r . c o m / 2 0 1 4 / 0 6 / w h y - y o u - d o n t - n e e d - t o - r u n - s s h d - i n - d o c k e r / [ 4 ] :   h t t p : / / w w w . l i n u x . c o m / c o m m u n i t y / f o r u m s / p e r s o n / 6 2 2 5 6 [ 5 ] :   h t t p s : / / g i t h u b . c o m / m u d o n g l i a n g [ 6 ] :   h t t p s : / / g i t h u b . c o m / w x y [ 7 ] :   h t t p s : / / g i t h u b . c o m / L C T T / T r a n s l a t e P r o j e c t [ 8 ] :   h t t p s : / / l i n u x . c n / 推 荐 文 章 推 荐 文 章 点 击 标 题 或 输 入 文 章   I D   直 达 该 文 章 将 文 章 分 享 给 朋 友 是 对 我 们 最 好 的 赞 赏 ！ a u t h o r i z e d _ k e y s
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理