Захоўваем SSH-ключы бяспечна

Жадаю распавесці як бяспечна захоўваць SSH-ключы на ​​лакальнай машыне, не баючыся за тое, што нейкі дадатак можа выкрасці або расшыфраваць іх.

Артыкул будзе карысны тым, хто так і не знайшоў элегантнага рашэння пасля параноі у 2018 і працягвае захоўваць ключы ў $HOME/.ssh.

Для вырашэння гэтай праблемы прапаную выкарыстоўваць KeePassXC, Які з'яўляецца адным з лепшых менеджэраў пароляў, ён выкарыстоўвае моцныя алгарытмы шыфравання, а таксама мае ўбудаваны SSH-агент.

Гэта дае магчымасць бяспечна захоўваць усе ключы прама ў базе пароляў і аўтаматычна дадаваць іх у сістэму пры яе адкрыцці. Як толькі база будзе зачынена, выкарыстанне SSH-ключоў таксама стане немагчымым.

Перш за ўсё дадамо аўтазапуск SSH-агента пры ўваходзе ў сістэму, для гэтага адкрыйце ~/.bashrc у вашым каханым рэдактары і дадайце ў самы канец:

SSH_ENV="$HOME/.ssh/environment"

function start_agent {
    echo "Initialising new SSH agent..."
    /usr/bin/ssh-agent | sed 's/^echo/#echo/' > "${SSH_ENV}"
    echo succeeded
    chmod 600 "${SSH_ENV}"
    . "${SSH_ENV}" > /dev/null
}

# Source SSH settings, if applicable
if [ -f "${SSH_ENV}" ]; then
    . "${SSH_ENV}" > /dev/null
    #ps ${SSH_AGENT_PID} doesn't work under cywgin
    ps -ef | grep ${SSH_AGENT_PID} | grep ssh-agent$ > /dev/null || {
        start_agent;
    }
else
    start_agent;
fi

Пасля чаго нам трэба ўключыць падтрымку ў KeePassXC:

Інструменты -> Параметры -> SSH-агент -> Уключыць SSH-агент

На гэтым налада завершана, зараз паспрабуем дадаць новы SSH-ключ у KeePassXC:

Націскаем на абразок з ключом, затым запаўняем дадзеныя:

Калі ключ абаронены паролем, укажыце таксама пароль да яго

на ўкладцы дадатковыя загружаем укладанне з нашым id_rsa:

на ўкладцы SSH-агент, адзначым:

• Дадаць ключ у агент пры адкрыцці/разблакіроўцы базы дадзеных
• Прыбраць ключ з агента пры зачыненні/блакаванні базы дадзеных

Далей выберам наш ключ (id_rsa) ва ўкладанні

І націснем кнопку Дадаць у агент:

Цяпер пры запуску KeePassXC ключ будзе аўтаматычна дадавацца ў SSH-агент, такім чынам яго можна больш не захоўваць на дыску!

Крыніца: habr.com