SSH-Zugriff auf Server absichern - aber im Notfall immer noch haben!

[cortlieb]

Hallo liebe Experten,
ich komme eher aus der Elektronik und Embedded Software Welt. Für ein IoT-Projekt habe ich einen Server aufgesetzt.
Also habe ich mich damit beschäftigt, wie so ein Server abzusichern ist.

Dafür habe ich die SSH Anmeldung mit Passwörtern und die Anmeldung als root gesperrt. Der Zugriff funktioniert nur über einen dafür vorgesehenen user und Public-Key-Authentifizierung.
Das ist zwar (relativ) sicher. Wenn jetzt aber ein LKW über mein Notebook mit dem privaten Schlüssel fährt, ist der Zugriff auf den Server nicht mehr möglich.
Also sollte ich den privaten Schlüssel wohl noch mal so sicher wie möglich ablegen, z.B. in meinem Passwort-Manager.

Ist das ausreichend oder sollte ich noch irgendeine andere Fallback-Ebene einbauen, mit der ich dann allerdings potentiell wieder die Sicherheit absenke.
Was ist das so die "best practice"?

 

[nexus]

Usb Stick als weiteres Backup für den Key.

 

[cortlieb]

Einen ganzen normalen oder einen irgendwie verschlüsselten?
Was ist der Gedanke dahinter? Die Wahrscheinlichkeit, dass der Stick in falsche Hände gerät und dann noch jemand weiß, was er damit anfangen soll ist viel geringer als die Wahrscheinlichkeit, dass ich mit kaputtem Notebook und irgendwie abgerauchtem Passwortmanager doof dastehe?

 

[Pfiffikus]

Die Datei auf dem Stick ließe sich zum Beispiel mit VeraCrypt Portable absichern.

Darüber hinaus kannst Du mit der Beschriftung des USB-Sticks und der Datei viel erreichen. (Vorschläge für Dateinamen weiter unten.) Wenn niemand weiß, wo dieser Key passt, dann ist der weitgehend nutzlos. (Stell Dir vor, Du findest in der Innenstadt von Köln einen Schlüsselbund. Wenn Du eine böse Absicht hättest, welchen Nutzen könntest Du aus diesem Fund ziehen, selbst wenn der Schlüssel zum Haupttresor der Sparkasse daran befestigt wäre?)

Und weil noch Platz auf dem Stick sein dürfte, fülle ihn mit solchen Bildern:

Pussy from Chicken
Chicken Pussy
Chicken with hairy Pussy
und zahlreiche weitere Dateien dieser Art...

Sollte jemand den Stick wegfinden, so müsste die wirklich interessante Datei mit dem Key aus diesem Wust herausgesucht werden. Das letztere Verfahren bringt zwar keinen hohen Grad an Sicherheit, wie Verschlüsselung, doch könnte es eventuell doch gerade der helfende Strohhalm sein.


Pfiffikus,
der es für möglich hält, dass der "Finder" bei der Durchsicht der Dateien gelangweilt aufgibt

 

[Joe User]

Key -> USB-Stick -> Bankschliessfach

 

[cortlieb]

Bankschliessfach

Ernsthaft?!

 

[nexus]

Eigentlich könntest du dir den ganzen Aufwand auch sparen.
Solange dein Serveranbieter einen Rescue Zugang zu deiner kiste ermöglicht, könntest du im Rescue auch den SSH Key ersetzen oder Key based Auth temporär deaktivieren, um auf deinen Server wieder drauf zu kommen...

 

[GwenDragon]

Bankschliessfach

Ist das nicht ein Mythos,. dass sowas sicher wäre.

 

[greystone]

Ich habe auf einem VServer noch eine per gpg verschlüsselte Textdatei mit all meinen Passwörtern. Sichere Passphrase gewählt. Fertig. Könnte man auch auf einem USB-Stick ablegen. Braucht man bei mir nur ein Linux und die Passphrase um da dran zu kommen.

 

[GwenDragon]

Benutzt denn niemand einen Hardwareschlüssel wie NitroKey als Speicher/Zugang. Haben sogar welche mit einer versteckten Partition.

 

[Joe User]

Ist das nicht ein Mythos,. dass sowas sicher wäre.

Deutlich sicherer als alle anderen zuvor genannten Lösungen.
Der Mythos bezieht sich darauf dass viele Menschen denken dass der Inhalt eines Bankschliessfach über die Bank versichert wäre...

 

[Joe User]

Ernsthaft?!

Ja.

 

[d4f]

Bevor man über Bankschliessfächer und Ocean's Eleven nachdenkt, mal die grundlegende Frage; wie kritisch und sensibel ist die IOT-Steuerung?
Falls darüber MQTT-Steuerbefehle für Industrieanlagen laufen würde ich mir ernsthafte Sicherheitsgedanken stellen.
Ansonsten:
- eine Kopie des Schlüssels mit einem vernünftigem Passwort auf einem privaten und vertrauten Cloud-Speicher ablegen
-eine Kopie auf einem anderen lokalen Speichermedium
- als Notfall-Backup einen Ausdruck als QR-Code neben die ganzen Multifaktor-Recoverycodes klassieren (und ggf bei ausreichender Paranoia im Bankschliessfach)

Benutzt denn niemand einen Hardwareschlüssel wie NitroKey als Speicher/Zugang. Haben sogar welche mit einer versteckten Partition.

Wenn physischer Zugriffsschutz wichtig wird, ist dieser XKCD auch generell relevant: https://xkcd.com/538/

Ist das nicht ein Mythos,. dass sowas sicher wäre.

Die Frage ist, sicher wogegen? Gegen lokale Schäden (Feuer, Wasser, ...) funktioniert es wunderbar und dass Risiko eines zufälligen Untergangs ist deutlich geringer als zuhause. Gegen allgemeinen Einbruch ist es auch deutlich sicherer, zielgerichtete Attacken kommen überall rein. Aber das wird relevant wenn die IOT-Steuerung eine Uran-Zentrifuge ansteuert und dann würde ich mir eher Sorgen über die Wahl des offenen Internet als Verteilplattform machen.

Reine Bemerkung am Rand: Abhängig vom _Wunsch_ ob man eigene Server betreiben will oder ob es eine reine Zwangsaufgabe ist, für viele Protokolle gibt es kommerzielle Anbieter (HiveMQ, IFTT, ...) welche IOT-Protokolle oder zumindest deren Broker als Cloud-Lösung anbieten.