SSH und die User Priv. Keys

[shub]

Hehey ich grüsse Euch

Ich habe eine Frage, die mir ein bisschen Kopfzerbrechen macht.
Wir haben viele Server und VMs und einen SSH Tunnel Server, somit haben wir auch User die diesen Tunnel nutzen und viele Keys zu Organisieren.
Eig. läuft alles gut, aber wir haben ein neues Problem das wir zu lösen versuchen.

$USER hat 2 Rechner zum arbeiten, aber der Priv, Key von $USER darf NICHT kopiert werden, d.h. er hat 2 Keys für beide Rechner, somit wissen wir immer welcher Key zu löschen ist, falls ein Gerät {weg|kaput|verloren|geklaut} ist, oder $USER gekündigt hat o.ä.

Aber wie kann man einen Key zum Host binden ? Static IP vom $USER geht nicht, wir haben Leute bei denen das nicht machbar ist.
Leider kann es vorkommen, dass es einfacher ist seine Keys von Host-A zu Host-B zu kopieren, statt neue Keys zu machen und diese zu verteilen. Aber genau das wollen wir erreichen. Keys dürfen NICHT kopiert werden.

Weiss da jemand eine Lösung ?

Ich grüsse Euch

Andi

[mat6937]

Aber wie kann man einen Key zum Host binden ? Static IP vom $USER geht nicht, wir haben Leute bei denen das nicht machbar ist.
Leider kann es vorkommen, dass es einfacher ist seine Keys von Host-A zu Host-B zu kopieren, statt neue Keys zu machen und diese zu verteilen. Aber genau das wollen wir erreichen. Keys dürfen NICHT kopiert werden.

Hast Du schon versucht, die nicht autorisierten Hosts zu einem bestimmten key, zu blacklisten?
In der ".ssh/authorized_keys"-Datei, mit z. B.: from="!host1,!host2,*".
Siehe auch den Abschnitt PATTERNS in der manpage von ssh_config.

EDIT:

Vorsicht, ... dass Du dich nicht aussperrst, vom Server.

[uname]

Wahrscheinlich ist es besser einzelne Client-IP-Adressen je Key zu whitelisten.
Zudem kann man auch noch alle oder nur eine Auswahl von Befehlen zulassen.

Hier mal ein Beispiel.

[mat6937]

Wahrscheinlich ist es besser einzelne Client-IP-Adressen je Key zu whitelisten.

Wie funktioniert das, wenn die Clients keine feste/statische IP-Adresse haben?
Denn der TE schreibt oben:

Static IP vom $USER geht nicht, wir haben Leute bei denen das nicht machbar ist.

[uname]

Das habe ich wohl überlesen. Normalerweise ist natürlich ein Key weit mehr wert als irgendeine IP-Adresse.
Daher sollte man lieber die Keys ordentlich verwalten und diese von beliebigen (z. B. internen) Rechnern zulassen.
Zur Absicherung könnte man noch eine Passphrase nutzen.

[bluestar]

Wir haben das Problem dahingehend gelöst, dass wir jedem Nutzer einen Nitrokey ausgeben und diese als erlaubte Schlüssel verwenden. Die authorized_keys für die Nutzer werden ausschließlich vom Administrator gepflegt.

Jeder Benutzer besitzt somit zwei physikalische Schlüssel, einen NFC Transponder für die Schließanlage und einen USB Schlüssel für die SSH Zugänge.