Siempre tuve un problema con las claves SSH cuando era un QSA. Principalmente porque la gente básicamente los construye una vez y luego los ignora.
Como probador de penetración, hay muchas formas de acceder a los sistemas. Lo más fácil para mí siempre fue obtener acceso a un sistema de administración del sistema con las teclas ssh, o usar un navegador u otro exploit local (ataque de phishing) para extraer las teclas & correo electrónico o web / enviarlos si no puedo acceder directamente al sistema. O simplemente compre hardware antiguo que su personal está vendiendo con actualizaciones anuales; Estoy seguro de que no se borraron y a uno de ellos le queda una llave. Hay muchas formas de acceder a las claves.
Una vez que tuve las claves ssh tuve acceso a todo . Las mejores cuentas para encontrar fueron los administradores que ya no estaban con la empresa. Sin una administración central, es probable que esas cuentas aún estuvieran en el sistema.
Pregúntate esto. ¿Qué estás haciendo para administrar las claves y cuentas ssh en los sistemas? Si tiene cuentas del sistema local con sudo local y usa las teclas ssh para acceder, ¿qué debe hacer cuando alguien cambia los roles en la empresa o contrata a una nueva persona o alguien se retira? O peor, cuando tienes a alguien malintencionado que sabe que se está yendo, que construye previamente las cuentas y las teclas ssh antes de irse. ¿Cómo monitoreas y controlas eso?
Las claves SSH por lo general dejan sus sistemas como docenas o cientos, o por muchos que tenga de sistemas individuales.
Sí, las contraseñas son un dolor, pero muchos administradores en estos días; especialmente aquellos que están capacitados y reciben las herramientas adecuadas para construir contraseñas seguras.
También, con las teclas ssh, incluso con una frase de contraseña; ¿Cómo estás controlando eso? No hay manera de forzar el cambio de frase de contraseña de manera centralizada, ni siquiera una frase de contraseña segura. He visto muchas frases de contraseña de ssh con la contraseña como "a" o "contraseña" ...
Si realmente desea seguridad, debería buscar una solución de token basada en el radio; pero en cualquier caso, debería considerar tener sus cuentas administradas y controladas de forma centralizada. Winbind o incluso solo ldap se pueden usar para la verificación de la cuenta de usuario, así como para la correcta autorización del grupo de usuarios, de modo que pueda controlar adecuadamente el acceso a los sistemas.
No es una respuesta fácil; pero la pregunta que debe hacer es si desea esto para su comodidad o seguridad.