Le 9 avril 2016 à 22:38, Francois Lafont <mathsatta...@free.fr> a écrit :
> Bonsoir, > > Perso, voici comment je fais. Je ne sais pas si bien comme il faut ou non. > Si certains ont des remarques, je suis preneur bien sûr. > > Sur les serveurs que j'administre, le mot de passe root existe mais il > fait dans les ~30 caractères et je ne l'utilise jamais. De toute façon la > connexion en tant que root via ssh est impossible (PermitRootLogin false). > C'est juste un mot de passe spécial coup dur ;). Ensuite, tout passe par > des paires de clés ssh. On va dire que j'ai globalement 2 machines (une > chez moi et une à mon travail) avec chacun sa paire de clés ssh et les clés > publiques sont déployées sur les serveurs au niveau de root et d'un compte > flaf qui est sudo (je reviens sur ce point ci-dessous). > Si on suppose qu'en tant qu'administrateur, les opérations à effectuer à distance sur une machine demandent très souvent les privilèges de root, selon cette méthode, il faut se connecter par clé en tant qu'un utilisateur lamda, puis escalader en tant que root. Pour cette escalade, dois-tu saisir le mot de passe de root (commande su) ou utilises-tu de préférence sudo ? Dans ce dernier cas (sudo) comment est gérée la saisie du mot de passe ( NOPASSWORD ? saisie du mot de passe ? ...) > > La chose qui me semble _absolument_ indispensable pour ce type de clés (ie > utilisées par un humain, en l'occurrence moi-même, et pas dans un script > non interactif), c'est une bonne passphrase sur chaque chaque clés privées. > Pour ce type de clés, je pense que c'est vraiment imprudent de ne pas avoir > de passphrase. Ensuite, avoir un agent ssh qui tourne sur sa machine de > travail pour n'avoir à saisir la passphrase qu'une seule fois à chaque > début de session me semble un _excellent_ compris entre sécurité et > commodité. > > Je sauvegarde quelque part au chaud mes 2 paires de clés ssh. > > Enfin, et c'est un point important je pense, les clés publiques sur les > serveurs sont déployées via un logiciel de gestionnaire de configuration > (en l'occurrence Puppet). Si jamais je me fait piquer une paire de clés > ssh, le temps que le pirate arrive à me casser la passphrase, je peux > supprimer les clés publiques des serveurs et en redéployer une nouvelle en > une dizaine de minutes. > > Voilà. > > -- > François Lafont > >
