SSH/Kryptografie

Umgang mit Schlüsselmaterial

Schlüsselmaterial identifiziert die kryptografischen Geheimnisse, aus denen ein Schlüssel besteht.

Nur Personen mit spezieller Ausbildung und dem Bedarf an Wissen sollten Zugang zu Schlüsselmaterial haben.
Das Schlüsselmaterial muss bei der Übertragung verschlüsselt werden.
Schlüsselmaterial kann im Klartext gespeichert werden, aber nur mit einer angemessenen Zugangskontrolle (begrenzter Zugang).

Keys	Beschreibung
Server Keys	/etc/ssh/ssh_host_*key
Client Keys	/.ssh/id_{rsa,dsa,ecdsa,ed25519} ~/.ssh/identity

Aktuelle OpenSSH-Server und -Client unterstützen CHACHA20

Wenn CHACHA20 (OpenSSH 6.5+) nicht verfügbar ist
AES-GCM (OpenSSH 6.1+) und jeder andere Algorithmus, der EtM (Encrypt then MAC) verwendet legt die Paketlänge offen - was dem Angreifer einige Informationen liefert.
NIST-Kurven (ecdh-sha2-nistp512,ecdh-sha2-nistp384,ecdh-sha2-nistp256) sind aus Kompatibilitätsgründen aufgeführt, aber die Verwendung von Kurve25519 wird generell bevorzugt.

Die verschiedenen Algorithmen, die von einer bestimmten OpenSSH-Version unterstützt werden, lassen sich mit den folgenden Befehlen auflisten

$ ssh -Q cipher
$ ssh -Q cipher-auth
$ ssh -Q mac
$ ssh -Q kex
$ ssh -Q key

Ermitteln der Auswirkungen der Verwendung größerer Schlüssel auf die Leistung.

Idle, i7 4500 intel CPU

Der folgende Befehl wird 10 Mal ausgeführt

time ssh localhost -i .ssh/id_thekey exit