El sitio almacenado de WinSCP solo contiene una ruta de acceso a su archivo de clave privada y no más.

Por lo tanto, es poco probable que pueda causar alguna vulnerabilidad, excepto tal vez haciendo que el archivo sea más fácil de encontrar en su máquina. Sin embargo, eso es irrelevante si no considera las amenazas que requieren acceso físico a su máquina.

¿Existe algún vector de ataque o vulnerabilidad conocido específico de WinSCP que pueda filtrar claves privadas de mis sesiones guardadas?

En su caso, las claves privadas se almacenan en el disco local, el único impacto de guardar la sesión es que hace que sea más rápido iniciar sesión. Si el malware estaba buscando claves, normalmente también escanearía todo el disco, buscando archivos que se parecen a las claves, por lo que es poco probable que afecte si las claves son robadas.

Puede haber ataques de 0 días que permitan extraer las claves de la memoria, pero estos serán raros, lo más probable es que robar las claves del disco.

La clave privada no tiene una frase de contraseña.

Es posible que desee agregar una contraseña, no solo si alguien obtiene acceso físico, sino también para dificultar que el malware robe su clave mientras está almacenada en el disco.

Niveles de seguridad más altos

Si desea evitar que las claves se roben del disco, las almacenará en una tarjeta inteligente, de modo que no puedan extraerse, solo se utilizarán cuando se ingrese el PIN (y posiblemente también se verifique la presencia del usuario).

No tengo conocimiento de ningún WinSCP específico. En general, se recomienda el uso de pares de llaves públicas / privadas sobre el uso de contraseñas. Las razones son a menudo similares a alentar a los administradores de contraseñas a recordar las contraseñas:

• Todas sus contraseñas deben ser únicas y no similares. (Agregar el nombre del servicio a una contraseña técnicamente satisface la singularidad, pero tampoco es seguro, porque el atacante podría adivinar fácilmente otras contraseñas después de aprender una).
• Todas sus contraseñas deben ser fuertes.
• Es probable que tengas muchas cuentas. Recordar una contraseña segura única para cada uno de ellos sería grandioso en teoría, pero solo unas pocas personas tienen tan buena memoria. Por lo tanto, el uso de un administrador de contraseñas con una única contraseña maestra fuerte podría ser mejor en la práctica.

Sobre sus inquietudes sobre el acceso local: incluso si se asegura que ninguna persona no autorizada acceda a su computadora, considere el proceso de eliminación de su almacenamiento (HDD / SSD). Especialmente cuando se rompe, puede ser problemático realizar un borrado seguro, pero es posible que el atacante extraiga algunos datos. Por este motivo, recomiendo un cierto cifrado de sus secretos, incluido el cifrado de intercambio.