Ist es in Ordnung, meinen passwortgeschützten privaten Schlüssel in das Unternehmens-LAN aufzunehmen?

649
Seamus Connor

Ich muss während der Arbeit oft andere Computer als meine eigenen verwenden, und es wäre praktisch, pagent mit meinem privaten Schlüssel zu starten. Ist es in Ordnung, meinen passwortgeschützten privaten Schlüssel in einem halb vertrauenswürdigen Bereich abzulegen?

2

3 Antworten auf die Frage

3
jfmessier

Es hängt von den Systemen ab, auf die dieser private Schlüssel Zugriff gewährt. Wenn es sich nur um Ihre Systeme zu Hause handelt und es nur Ihre Familienbilder enthält, ist das keine große Sache. Aber wenn es eine Unternehmensfirewall oder Bankdaten schützt, würde ich das nicht tun.

Die SSH-Schlüsselpaare werden verwendet, um eine Zwei-Faktor-Authentifizierung bereitzustellen. Es gibt etwas, das Sie kennen (das Passwort) und etwas, das Sie haben (den privaten SSH-Schlüssel). Wenn Sie nicht mehr über die Exklusivität eines SSH-Schlüssels verfügen oder dessen Verwendung nicht kontrollieren, ist es absolut unmöglich, den Authentifizierungsfaktor zu entfernen.

Ich bin ein bisschen verrückt, aber einer meiner SSH-Schlüssel ist auf einem durch Fingerabdruck geschützten Gerät gespeichert. Bei anderen Sicherheitsmaßnahmen, damit der private Schlüssel nicht in temporären Dateien usw. verbleibt.

Mein Punkt ist, dass Ihr privater Schlüssel für den Moment sicher ist. Wenn jedoch ein Fehler im SSH-Schlüsselgenerierungsalgorithmus gefunden wird oder wenn jemand eine Kopie erhält und Brute-Force verwendet, um das Kennwort zu finden, erhöhen Sie die Gefahr, gehackt zu werden. Auch hier hängt es davon ab, was Sie mit Ihrem SSH-Schlüssel schützen.

1
joyjit

Aus reiner "Paranoia mit Sicherheit" -Perspektive ist dies NICHT in Ordnung. Viele Unternehmen installieren auf ihren Unternehmens-PCs Software, mit deren Hilfe alles auf diesen PCs einschließlich der Tastenanschläge überwacht werden kann. (Sehen Sie sich beispielsweise diese Software an: Digital Guardian )

Theoretisch können sie Ihr "Passwort" erfassen, das den privaten Schlüssel schützt.

In der Realität können diese extremen Funktionen (z. B. wichtige Logger und Bildschirmaufnahmen) in den meisten Unternehmen deaktiviert sein.

Es tut mir leid, aber ob Sie Ihren passwortgeschützten privaten Schlüssel auf dem Computer eines anderen Benutzers haben sollten oder nicht, ist eine Frage mit subjektiver Antwort - die Antwort ist, dass es von Ihrem Paranoia-Level abhängt.

Ich glaube, wenn ein Unternehmen irgendeine Art von Überwachung durchführt, muss es seine Arbeitgeber darüber warnen. Wenn ein Unternehmen beispielsweise über Webcams im Serverraum verfügt, ist es eine gute Möglichkeit, den neuen gemieteten Sysadmin darüber zu warnen, wenn er nackt im Serverraum tanzt. Dies gilt auch für Kennwörter. Wenn ein Unternehmen Keylogging ausführt, riskiert dies seine eigene Sicherheit, da Keylogger möglicherweise schwächere Techniken verwenden (weil Spionage häufig auf Kosten einer Sicherheitslücke erfolgt), um die erfassten Daten zu speichern. vtest vor 13 Jahren 0
Entschuldigung, ich hätte klar sein sollen. Als ich "viele Unternehmen" sagte, bezog ich mich auf Unternehmen mit Sitz in den Vereinigten Staaten. In den USA ist es für Unternehmen absolut legal, zu überwachen, was Mitarbeiter während der Arbeitszeit an Arbeitsgeräten tun. Darüber hinaus verpflichten viele Unternehmen (darunter auch meine) dazu, eine Vereinbarung zu unterzeichnen, die im Wesentlichen besagt, dass Sie über diese Richtlinie informiert sind. In anderen Ländern (zum Beispiel in vielen Ländern Europas) habe ich gehört, dass solche Überwachungspraktiken tatsächlich illegal sein könnten. joyjit vor 13 Jahren 0
In den meisten Ländern Europas ist es absolut legal, dass Unternehmen ihre Vermögenswerte überwachen. Sie müssen dies in ihrer Nutzungsrichtlinie angeben, aber es könnte gut im Kleingedruckten verborgen sein. Rory Alsop vor 13 Jahren 0
0
Rory Alsop

Es sollte nicht wirklich auf Paranoia zurückzuführen sein - da Ihr Schlüssel in IT-Systemen tatsächlich "Sie" ist (da es keine 100% ige Garantie gibt, die Person, die etwas geschrieben hat, zu beweisen, wird dies oft als so nah wie möglich betrachtet Bekommen Sie in allgemeinen Systemen). Wenn Sie es nicht schützen, könnte Sie jemand anders sein, der Sie benötigen.

Möchten Sie sich gegen technisch "nachweisbare" Beweise wehren müssen, dass Sie eine Tat begangen haben?

Sind Sie glücklich mit dem Wissen, dass Sie tatsächlich keine Vertraulichkeit haben?

Schützen Sie Ihren privaten Schlüssel - immer!

Verwandte Probleme