Vlákno názorů k článku Bezpečné přihlašování na SSH s hardwarovým U2F tokenem od exo - nějak se mi nelíbí věta... "musí zůstat na...

nějak se mi nelíbí věta... "musí zůstat na zařízení a nesmí jej nikdy opustit".
Nikdy jsem moc nechápal bezpečnost klíčů uložených na flashkách.

jak chcete tohle zajistit, pokud se vám přes nějakou neznámou bezpečnostní chybu odstane útočník do zařízení, a nainstaluje tam bota, který vykrádá data?

Určitě ho bude zajímat obsah všeho co se k takovému zařízení připojí. Jak zabránínte tomu aby vám někdo ten soubor nesosnul a neodeslal kamsi do internetu?

Je ale fakt že stejným způsobem může odposlechnout heslo pomocí keylogeru a poslat si jej kam bude potřeba... takže ani to, že jej mám pouze v hlavě, mě taky nezachrání.

>jak chcete tohle zajistit, pokud se vám přes nějakou neznámou bezpečnostní chybu odstane útočník do zařízení, a nainstaluje tam bota, který vykrádá data?

Není o tomhle celý článek? Aktuálně má spousta lidí klíče v ~/.ssh, občas chráněné heslem. Jedna z hlavních výhod U2F tokenu je ta, že klíč se z něj stáhnout nedá.

7. 4. 2020, 09:39 editováno autorem komentáře

Není to sice tak neprůstřelné, ale měl byste to mít chráněné passphrase, pak ten soubor sám nikomu nepomůže. Nebo alespoň máte šanci zaznamenat pokusy o o přihlášení při brute force lámání passphrase.
A můžete to zlepšit i omezením, odkud se tím klíčem dá přihlásit.

7. 4. 2020, 11:02 editováno autorem komentáře

> Nebo alespoň máte šanci zaznamenat pokusy o o přihlášení při brute force lámání passphrase.

Passphrase k SSH klíči se ověřuje offline. Což je vlastně docela škoda.