Kategorie:SSH/Kryptografie: Unterschied zwischen den Versionen
| Zeile 32: | Zeile 32: | ||
$ ssh -Q key | $ ssh -Q key | ||
=== Client-Schlüsselgröße und Anmelde-Latenz | === Anmelde-Latenz === | ||
; Client-Schlüsselgröße und Anmelde-Latenz | |||
Ermitteln der Auswirkungen der Verwendung größerer Schlüssel auf die Leistung. | Ermitteln der Auswirkungen der Verwendung größerer Schlüssel auf die Leistung. | ||
* z.B. RSA 4096 Bytes Schlüssel - auf der Client-Seite | * z.B. RSA 4096 Bytes Schlüssel - auf der Client-Seite | ||
| Zeile 42: | Zeile 43: | ||
* ed25519 server keys | * ed25519 server keys | ||
Der folgende Befehl wird 10 Mal ausgeführt | |||
time ssh localhost -i .ssh/id_thekey exit | time ssh localhost -i .ssh/id_thekey exit | ||
; | ; Ergebnisse | ||
{|| class="wikitable sortable" | {|| class="wikitable sortable" | ||
|- | |- | ||
Version vom 19. April 2024, 11:57 Uhr
Umgang mit Schlüsselmaterial
Schlüsselmaterial identifiziert die kryptografischen Geheimnisse, aus denen ein Schlüssel besteht.
- Sämtliches Schlüsselmaterial muss als RESTRICTED-Daten behandelt werden
- Nur Personen mit spezieller Ausbildung und dem Bedarf an Wissen sollten Zugang zu Schlüsselmaterial haben.
- Das Schlüsselmaterial muss bei der Übertragung verschlüsselt werden.
- Schlüsselmaterial kann im Klartext gespeichert werden, aber nur mit einer angemessenen Zugangskontrolle (begrenzter Zugang).
- Dazu gehören
- OpenSSH server keys (/etc/ssh/ssh_host_*key)
- Client keys (~/.ssh/id_{rsa,dsa,ecdsa,ed25519} and ~/.ssh/identity).
Wahl der Chiffren und Algorithmen
Aktuelle OpenSSH-Server und -Client unterstützen CHACHA20
- Wenn CHACHA20 (OpenSSH 6.5+) nicht verfügbar ist
- AES-GCM (OpenSSH 6.1+) und jeder andere Algorithmus, der EtM (Encrypt then MAC) verwendet legt die Paketlänge offen - was dem Angreifer einige Informationen liefert.
- NIST-Kurven (ecdh-sha2-nistp512,ecdh-sha2-nistp384,ecdh-sha2-nistp256) sind aus Kompatibilitätsgründen aufgeführt, aber die Verwendung von Kurve25519 wird generell bevorzugt.
- SSH protocol 2
- DH
- ECDH key-exchange
- forward secrecy
- Group sizes
Die verschiedenen Algorithmen, die von einer bestimmten OpenSSH-Version unterstützt werden, lassen sich mit den folgenden Befehlen auflisten
$ ssh -Q cipher $ ssh -Q cipher-auth $ ssh -Q mac $ ssh -Q kex $ ssh -Q key
Anmelde-Latenz
- Client-Schlüsselgröße und Anmelde-Latenz
Ermitteln der Auswirkungen der Verwendung größerer Schlüssel auf die Leistung.
- z.B. RSA 4096 Bytes Schlüssel - auf der Client-Seite
- Tests
Idle, i7 4500 intel CPU
- OpenSSH_6.7p1
- OpenSSL 1.0.1l
- ed25519 server keys
Der folgende Befehl wird 10 Mal ausgeführt
time ssh localhost -i .ssh/id_thekey exit
- Ergebnisse
| Client key | Minimum | Maximum | Average |
| RSA 4096 | 120ms | 145ms | 127ms |
| RSA 2048 | 120ms | 129ms | 127ms |
| ed25519 | 117ms | 138ms | 120ms |
- Langsamere Maschinen
Diese Zahlen können auf einem langsameren Rechner abweichen
- Dies enthält die komplette Anmeldesequenz.
- Daher kann es zu Abweichungen kommen
- Zusammenfassend
- Die Latenzunterschiede sind nicht signifikant.
- Sie beeinträchtigen die Leistung nicht wesentlich
Konfiguration
SSH/Kryptografie/Konfiguration
Anhang
Siehe auch
Dokumentation
Links
Projekt
Weblinks
Seiten in der Kategorie „SSH/Kryptografie“
Diese Kategorie enthält nur die folgende Seite.