SSH: Passphrase bei ssh-agent Nutzung sinnlos?

[buhtz]

Ich versuche die Funktionsweise des ssh-agent zu verstehen.

Warum erzeuge ich mir ein mit passhrase geschützes Schlüsselpaar, wenn ich am Ende die passphrase doch wieder nur einmal eingebe und im Speicher halte? Wo ist dann der Sicherheitsgewinn?

[uname]

Selbst wenn du den Schlüssel am Ziel auf genau deine Quelle eingeschränkt hast, könnte ein Angreifer von deinem System sonst evtl. zugreifen. Besteht diese Einschränkung nicht könnte der Schlüssel entwendet und woanders verwendet werden. Umgekehrt ist es natürlich sehr unpraktisch immer die Passphrase eingzugeben.

[bluestar]

Warum erzeuge ich mir ein mit passhrase geschützes Schlüsselpaar, wenn ich am Ende die passphrase doch wieder nur einmal eingebe und im Speicher halte?

Wenn du dies nicht möchtest dann kannst du auch ssh-add -t 3600 nutzen um die TTL einzugrenzen.

[buhtz]

Selbst wenn du den Schlüssel am Ziel auf genau deine Quelle eingeschränkt hast, könnte ein Angreifer von deinem System sonst evtl. zugreifen.

Aber das kann er doch auch, wenn ich eine passphrase + agent nutze, oder?

[buhtz]

Wie schätzt ihr die Notwendigkeit von passphrasen-geschützen Schlüsseln für Dienste wie GitHub, GitLab, Coderberg, etc ein?

Wenn ein Schlüssel (ohne passphrase) entwendet und genutzt wird, würde ich es bei dem Dienst ja auch sofort merken, weil alle git-Aktivitäten gelogged werden. In dem Fall könnte ich den Schlüssel einfach entfernen, das repository aus meinen Backups zurücksetzen/reparieren und gut ist.

[diggerchen]

Ich versuche die Funktionsweise des ssh-agent zu verstehen.

Warum erzeuge ich mir ein mit passhrase geschützes Schlüsselpaar, wenn ich am Ende die passphrase doch wieder nur einmal eingebe und im Speicher halte? Wo ist dann der Sicherheitsgewinn?

Der Sicherheitsgewinn liegt IMHO darin, dass der private Schlüssel bei Transport und Lagerung vor unberechtigter Benutzung geschützt ist (eine ausreichend sichere Passphrase vorausgesetzt). Benutzt man den privaten Schlüssel auf einem kompromittierten System, bringt die Passphrase kaum Sicherheitsgewinn.