Alles, was Sie über SSH-Schlüsselverwaltung wissen müssen

SSH-Schlüsselmanagement bezeichnet die sichere Kontrolle von SSH-Schlüsseln über ihren gesamten Lebenszyklus hinweg: Generierung, Verteilung, Speicherung, Rotation und Widerruf. SSH-Schlüssel authentifizieren den Zugriff auf entfernte Systeme mithilfe eines öffentlichen und eines privaten Schlüsselpaares. Da sie weitreichende Zugriffsrechte gewähren und nicht ablaufen, ist ihre ordnungsgemäße Verwaltung unerlässlich, um unkontrollierten Zugriff, Kompromittierung und unbefugten Zugriff zu verhindern.

SSH-Schlüsselmanagement ist die Disziplin, SSH-Schlüssel während ihres gesamten Lebenszyklus zu verwalten – von der Generierung und Verteilung über Speicherung, Rotation bis hin zum Widerruf – und zwar für alle Benutzer und Systeme einer Organisation. SSH-Schlüssel authentifizieren den Zugriff auf entfernte Systeme mithilfe eines öffentlichen/privaten Schlüsselpaares anstelle von Passwörtern. Da sie sehr leistungsfähig sind und nicht automatisch ablaufen, verhindert ein diszipliniertes Management, dass sie zu einem ernsthaften Sicherheitsrisiko werden.

Wichtige Erkenntnisse

• SSH (Secure Shell) ist ein kryptografisches Protokoll für den sicheren Zugriff auf entfernte Systeme über ein nicht vertrauenswürdiges Netzwerk unter Verwendung von Public-Key-Kryptografie.
• SSH-Schlüssel authentifizieren Benutzer mit einem öffentlichen/privaten Schlüsselpaar, eine weitaus stärkere Methode als Passwörter, die immun gegen Phishing und Brute-Force-Angriffe ist.
• Die SSH-Schlüsselverwaltung umfasst den gesamten Lebenszyklus: Ermittlung, Generierung, Speicherung, Rotation und Widerruf, geregelt durch Richtlinien.
• Zu den wichtigsten Risiken zählen der Diebstahl privater Schlüssel, die unkontrollierte Ausbreitung von Schlüsseln, fehlende Ablaufdaten, schwache Passphrasen, mangelhafte Schlüsselgenerierung und Lücken bei der Überprüfung.
• Bewährte Vorgehensweisen: Schlüssel ermitteln und konsolidieren, Richtlinien durchsetzen (RBAC, Gruppierung), starke Schlüssel generieren (ED25519 oder RSA 2048/4096), regelmäßig rotieren und kontinuierlich überwachen.

Was ist SSH?

Secure Shell (SSH) ist ein kryptografisches Protokoll, das den sicheren Zugriff auf Netzwerkdienste über einen unsicheren Kommunikationskanal ermöglicht. Es wird hauptsächlich für den sicheren Datenaustausch, die Anmeldung und die Fernadministration zwischen zwei Rechnern verwendet. SSH nutzt Public-Key-Kryptografie, um die gegenseitige und sichere Authentifizierung von Clients und Servern in nicht vertrauenswürdigen Netzwerken zu gewährleisten und ist standardmäßig in Betriebssysteme wie Linux, Unix und macOS integriert.

Windows unterstützt SSH nun nativ über PowerShell und OpenSSH, sodass Drittanbieter-Tools wie PuTTY nicht mehr benötigt werden: Sie können SSH-Verbindungen direkt über das Windows-Terminal oder PowerShell herstellen. Das native OpenSSH-Projekt bietet den vollen Funktionsumfang von PuTTY ohne Installation.

Hauptfunktionen von SSH

• Verschlüsselung: SSH verschlüsselt die Daten während der Übertragung, sodass Unbefugte sie selbst bei Abfangen nicht lesen können. Starke Verschlüsselung Verschlüsselung Algorithmen schützen sensible Informationen wie Anmeldeinformationen und Befehle.
• Authentifizierung: SSH authentifiziert sich mithilfe eines öffentlichen Schlüssels GeheimschriftDies ist deutlich sicherer als Passwörter. Nur ein Benutzer mit dem korrekten privaten Schlüssel kann eine Verbindung herstellen, wodurch unbefugter Zugriff und Brute-Force-Angriffe verhindert werden.
• Integrität: SSH verwendet kryptografische Hash-Funktionen, um zu überprüfen, ob die Daten während der Übertragung manipuliert wurden, und schützt so vor Manipulation und Man-in-the-Middle-Angriffen.

Was sind SSH-Schlüssel?

Ein SSH-Schlüssel ist ein kryptografischer Schlüssel, der zur Authentifizierung der sicheren Kommunikation zwischen Systemen über das SSH-Protokoll verwendet wird. SSH-Schlüssel stellen eine hochsichere Alternative zur passwortbasierten Authentifizierung dar. Sie nutzen ein öffentliches und ein privates Schlüsselpaar , wodurch das Risiko von Phishing- oder Brute-Force-Angriffen auf Zugangsdaten ausgeschlossen wird. Der private Schlüssel verbleibt sicher auf dem System des Benutzers oder, noch sicherer, in einem Hardware-Sicherheitsmodul ( HSM ), während der öffentliche Schlüssel mit dem Server geteilt wird.

• Öffentlicher Schlüssel: Der öffentliche Schlüssel ist auf dem Server frei zugänglich und muss nicht geheim sein. Bei der SSH-Schlüsselverwaltung dient er zur Überprüfung der Client-Identität gegenüber dem Server.
• Privat Schlüssel: Geheim gehalten und nur dem Besitzer zugänglich, wird es auf dem Gerät des Benutzers oder in einem HSM gespeichert. Der Benutzer weist damit seine Identität nach, wenn er eine Verbindung herstellt.

Wie funktioniert SSH?

SSH kombiniert Public-Key-Kryptographie, Verschlüsselung und Authentifizierung, um die Vertraulichkeit und Integrität von Daten zwischen Systemen zu schützen. Die Verbindung wird in folgenden Schritten hergestellt:

1. Die Verbindung herstellen: Der Client fordert eine Verbindung zum Server über TCP-Port 22 an (der Standard-SSH-Port, der aus Sicherheitsgründen auf einen anderen Port geändert werden kann).
2. Der Server sendet seinen öffentlichen Schlüssel und die unterstützten Algorithmen: Der Server sendet seinen öffentlichen Hostschlüssel (zur Überprüfung seiner Identität und zum Beginn der Verschlüsselung) und eine Liste der unterstützten Verschlüsselungs- und Hash-Algorithmen zurück; für die Sitzung wird ein gemeinsamer Satz ausgewählt.
3. Der Client überprüft den Server: Der Client prüft den öffentlichen Schlüssel des Servers anhand seiner Hosts-Datei. Stimmen die Schlüssel überein, wird dem Server vertraut; andernfalls wird der Benutzer gefragt, ob er dem neuen Schlüssel vertrauen und ihn speichern möchte.
4. Schlüsselaustausch: Client und Server vereinbaren einen gemeinsamen Sitzungsschlüssel mittels eines Schlüsselaustauschs wie Diffie-Hellman oder dem effizienteren Elliptic-Curve Diffie-Hellman (ECDH), ohne dabei jemals den Schlüssel selbst zu übertragen.
5. Sicherer Kanal hergestellt: Beide Seiten verwenden den gemeinsamen Sitzungsschlüssel für symmetrische Verschlüsselung, das alle Nachrichten während der Sitzung verschlüsselt und entschlüsselt.
6. Clientauthentifizierung: Der Client weist seine Identität nach, vorzugsweise mit einem SSH-Schlüsselpaar (dem lokal oder in einem HSM gespeicherten privaten Schlüssel und dem dazugehörigen öffentlichen Schlüssel, der sich bereits auf dem Server befindet) anstatt mit einem Passwort.
7. Sitzung eröffnet: Der Client kann nun Befehle ausführen, Dateien übertragen oder verschlüsselte Tunnel (Portweiterleitung) über die Verbindung erstellen.
8. Sitzungsintegrität gewahrt: Jedes Paket enthält einen Message Authentication Code (MAC), der mit einem Hash-Algorithmus wie beispielsweise generiert wird. SHA-256 oder SHA-512 und ein gemeinsames Geheimnis, damit der Empfänger jede Manipulation erkennen kann.
9. Beendigung der Sitzung: Wenn die Sitzung endet, wird der gemeinsame Sitzungsschlüssel verworfen, sodass ohne den Aufbau einer neuen Verbindung keine weitere Kommunikation möglich ist.

SSH-Authentifizierungsmethoden

SSH unterstützt zwei Hauptmethoden, um die Identität eines Clients vor der Zugriffsgewährung zu überprüfen.

Passwortbasierte Authentifizierung

Die einfachste Methode: Der Benutzer gibt Benutzername und Passwort über den verschlüsselten Tunnel ein, und der Zugriff wird gewährt, wenn diese übereinstimmen. Sie ist leicht einzurichten und erfordert keine zusätzliche Software oder Schlüsselverwaltung, stellt aber die unsicherste Option dar.

• Vorteile: Einfach einzurichten und zu bedienen; keine zusätzliche Software oder Schlüsselverwaltung erforderlich, wodurch es zugänglich und kostengünstig ist.
• Nachteile: Anfällig für schwache oder wiederverwendete Passwörter und Brute-Force-Angriffe; erfordert häufige Passwortänderungen, die die Benutzer frustrieren; anfällig für Phishing, Credential Stuffing und Keylogger; und ist vollständig davon abhängig, dass der Übertragungskanal sicher bleibt.

SSH-Schlüsselpaar-Authentifizierung

Die sicherere und weitverbreitete Methode basiert auf einem kryptografischen Schlüsselpaar. Der Ablauf: Der Client initiiert die Verbindung; der Server sucht den passenden öffentlichen Schlüssel in seiner Datei „authorized_keys“, verschlüsselt damit eine Herausforderung und sendet diese; der Client entschlüsselt die Herausforderung mit seinem privaten Schlüssel und sendet sie zurück; der Server überprüft die Antwort und gewährt Zugriff, falls sie übereinstimmt.

• Vorteile: weitaus höhere Sicherheit (private Schlüssel sind extrem schwer per Brute-Force-Angriff zu knacken); keine Übertragung von Passwörtern über das Netzwerk; und bequem für die Automatisierung, z. B. durch Skripte und Cronjobs, sobald die Schlüssel eingerichtet sind.
• Nachteile: Wird ein privater Schlüssel kompromittiert, erlangt ein Angreifer Zugriff auf den Besitzer. Daher müssen Schlüssel verschlüsselt und sicher aufbewahrt werden; und die Verwaltung vieler Schlüsselpaare (Schlüsselstreuung) erfordert einen klaren Prozess für Verteilung, Rotation und Widerruf.

SSH- vs. SSL/TLS-Zertifikate: Worin besteht der Unterschied?

Sowohl SSH als auch SSL/TLS sind kryptografische Protokolle, die die Netzwerkkommunikation sichern, dienen aber unterschiedlichen Zwecken: SSH sichert den Fernzugriff auf Systeme zwischen zwei Rechnern, während SSL/TLS die Kommunikation zwischen einem Webbrowser und einem Webserver sichert.

Funktion	SSH	SSL / TLS
Zweck	Sicherer Remote-Systemzugriff und Dateiübertragung	Sichere Webkommunikation und Datenaustausch
Authentifizierung	Public-Key-Authentifizierung (Client und Server)	Zertifikatsbasiert (Server, optional Client)
Verschlüsselung	Symmetrische Verschlüsselung nach Schlüsselaustausch	Symmetrische Verschlüsselung nach zertifikatsbasiertem Schlüsselaustausch
Schlüsselverwaltung	Selbstgenerierte SSH-Schlüssel, lokal oder in einem HSM gespeichert	Zertifikate ausgestellt von vertrauenswürdigen Zertifizierungsstellen
Anwendungsfälle	Fernbefehlsausführung, Dateiübertragung, Portweiterleitung	Sicherung von Websites, E-Mails und APIs
Hauptbedrohungen	Schlüsseldiebstahl oder -kompromittierung	Unautorisierte Zertifizierungsstellen, gefälschte Zertifikate, Man-in-the-Middle-Angriffe

Mögliche Risiken der SSH-Schlüsselverwaltung

• Diebstahl des privaten Schlüssels: Wenn ein Angreifer einen privaten Schlüssel erlangt, kann er sich als dessen Besitzer ausgeben und auf das System zugreifen.
• Wichtigste Ausbreitungsgebiete: Über die Jahre vermehren sich die Schlüssel so stark, dass sie nicht mehr alle nachverfolgt werden können, und vergessene Schlüssel werden zu Einfallstoren für Angriffe.
• Fehlendes Ablaufdatum: SSH-Schlüssel haben im Gegensatz zu TLS-Zertifikaten kein Ablaufdatum, daher bleiben alte Schlüssel bestehen, werden nicht erneuert und nur selten gelöscht.
• SSH-basierte Angriffe: Schwache Algorithmen oder ungeschützte private Schlüssel erhöhen das Angriffsrisiko; verwenden Sie daher immer starke Algorithmen und Passphrasen.
• Schwaches oder gar kein Passwort: Ein privater Schlüssel ohne Passphrase kann im Falle eines Diebstahls sofort verwendet werden; eine Passphrase bietet eine entscheidende zusätzliche Schutzebene.
• Schlechte Schlüsselgenerierung: Veraltete Algorithmen oder kurze Schlüssellängen schwächen Schlüssel. Vermeiden Sie DSA (1024 Bit); verwenden Sie stattdessen ED25519 oder RSA mit ausreichender Länge.
• Mangelnde Prüfung und Überwachung: Ohne Überwachung bleibt der Missbrauch von Schlüsseln unentdeckt, verwaiste Schlüssel ehemaliger Mitarbeiter bleiben aktiv, und es gibt keine Rechenschaftspflicht dafür, wer welchen Schlüssel benutzt.

SSH-Agent-Weiterleitung

Ein SSH-Agent speichert Ihren entschlüsselten privaten Schlüssel im Arbeitsspeicher, sodass Sie ihn nur einmal entsperren müssen, anstatt jedes Mal Ihre Passphrase einzugeben. Die SSH-Agent-Weiterleitung erweitert dies, sodass Sie sich mit Ihrem lokalen privaten Schlüssel an einer Kette von Servern authentifizieren können, ohne ihn auf jeden einzelnen kopieren zu müssen: Authentifizierungsanfragen von entfernten Servern werden an Ihren lokalen Agenten weitergeleitet. Wenn beispielsweise ein entfernter Server Code von GitHub abrufen muss, kann Ihr lokaler Rechner dank der Agent-Weiterleitung die Authentifizierungsanfrage von GitHub beantworten, sodass der Schlüssel Ihren Rechner niemals verlässt.

Es ist zwar bequem, birgt aber reale Risiken:

• Agentenübernahme: Wenn der erste entfernte Server in der Kette kompromittiert wird, kann ein Angreifer dort den weitergeleiteten Agenten kapern, um sich bei anderen Servern zu authentifizieren, ohne jemals den privaten Schlüssel zu besitzen.
• Nicht vertrauenswürdige Server: Durch die Weiterleitung werden Ihre Agenten-Anmeldeinformationen dem Remote-Server zugänglich gemacht, sodass ein Angreifer, der einen nicht vertrauenswürdigen Server kontrolliert, diese ausnutzen kann. Leiten Sie Anfragen nur an Server weiter, denen Sie vertrauen.

Bewährte Verfahren für die SSH-Schlüsselverwaltung

1. Entdeckung und Konsolidierung

Beginnen Sie damit, jeden Schlüssel und seinen Speicherort zu ermitteln, jeden Schlüssel dem jeweiligen Benutzer und Server zuzuordnen, die Nutzung zu verfolgen und die Schlüssel ausgeschiedener Mitarbeiter zu deaktivieren. Die Zusammenführung der Schlüssel in einem zentralen Repository verringert die Angriffsfläche und verhindert die unkontrollierte Verbreitung einzelner Schlüssel.

• Korrekter Schlüsselscan: Suchen Sie überall nach SSH-Schlüsseln, wo sie sich befinden könnten: auf Entwickler-Laptops und -Desktops, lokalen Servern, Cloud-Instanzen und Automatisierungs-VMs. Jeder dieser Orte ist ein potenzieller Schlüsselspeicher.
• Ordnungsgemäße Schlüsselaufbewahrung: Gefundene Schlüssel werden in einem zentralen, stets aktuellen Inventar gespeichert – einer einzigen verlässlichen Quelle, die anzeigt, wem welche Schlüssel gehören, worauf sie zugreifen und wie sie verwendet werden. Dies erleichtert die Rotation und den Widerruf erheblich.
• Automatisierung bei der Datenermittlung: Die automatisierte Erkennung durchsucht systematisch alle Geräte, Server und Cloud-Umgebungen und vermeidet so die Lücken und Fehler manueller Suchvorgänge.

2. Politikgestaltung und -durchsetzung

Definieren Sie Richtlinien, die festlegen, wer Schlüssel erstellen darf, wie Schlüssel erstellt und gespeichert werden, wie lange sie gültig sind, bevor sie rotiert werden, wann sie gelöscht werden und welche maximalen Zugriffsrechte ein Schlüssel haben sollte.

• Gruppierung ähnlicher Schlüssel: Gruppieren Sie Schlüssel nach Funktion (administrativ, Anwendung, Entwickler), damit Richtlinien und Zugriffskontrollen jeder Gruppe klar zugeordnet werden können.
• RBAC-Implementierung: Die rollenbasierte Zugriffskontrolle gewährt jedem Benutzer nur die Zugriffsrechte, die seine Rolle erfordert. Dadurch werden unberechtigte Zugriffe reduziert und Schlüssel an organisatorische Rollen gebunden.
• Erstellung benutzerdefinierter Richtlinien: Standards für die Schlüsselerzeugung (Längen und Algorithmen), regelmäßige Rotation und zeitlich begrenzten Zugriff mit automatischer Widerrufung nach einer festgelegten Zeitspanne definieren.

3. Generieren Sie starke Schlüssel

Wählen Sie einen sicheren Algorithmus und eine ausreichende Schlüssellänge. ED25519 (256 Bit) und RSA (2048 oder 4096 Bit) sind aufgrund ihrer hohen Widerstandsfähigkeit gegen Brute-Force-Angriffe besonders empfehlenswert. Vermeiden Sie veraltete und anfällige Algorithmen wie DSA.

4. Schlüsselrotation

Die Schlüssel sollten nach einer gewissen Nutzungsdauer ausgetauscht werden, indem das gesamte Schlüsselpaar ersetzt wird. Durch den Austausch wird das Zeitfenster, das ein Angreifer für den Missbrauch eines kompromittierten Schlüssels hat, eingeschränkt und der Zugriff kontrolliert.

• Rotationsregelmäßigkeit: Legen Sie einen regelmäßigen Zeitplan fest (zum Beispiel alle 30 bis 45 Tage), damit alte oder potenziell gefährdete Schlüssel nicht lange aufbewahrt werden.
• Automatisierung im Rotationsverfahren: Durch die Automatisierung der Rotation werden die Fehler der manuellen Ersetzung in großem Umfang beseitigt, neue Schlüssel erstellt, Repositories aktualisiert und die Bereitstellung auf den richtigen Systemen mit minimalem menschlichen Eingriff sichergestellt, während gleichzeitig der zentrale Bestand korrekt bleibt.

5. Kontinuierliche Überwachung und Prüfung

Die Schlüssel müssen kontinuierlich überwacht und geprüft werden, um sicherzustellen, dass sie rechtzeitig rotiert und gelöscht werden. Dadurch werden unkontrollierte Schlüsselverluste und Einzelschlüssel vermieden.

• SSH-Protokollierung aktivieren: Detaillierte Protokolle ermöglichen es Administratoren, sämtliche SSH-Aktivitäten zu verfolgen und anormale oder unautorisierte Zugriffe schnell zu erkennen.
• Echtzeit-Benachrichtigungen: Leiten Sie SSH-Protokolle an ein SIEM-System ein, um Aktivitäten in Echtzeit zu korrelieren und bei verdächtigen Mustern, wie z. B. ungewöhnlichen Anmeldezeiten oder wiederholten Versuchen, Alarm zu schlagen.
• Überwachung des SSH-Zugriffs: Überprüfen Sie regelmäßig die Zugriffsrechte, sodass nur aktive, autorisierte Schlüssel übrig bleiben, und entfernen Sie Schlüssel, die durch Ausscheiden von Mitarbeitern oder Rollenwechsel verwaist sind.

SSH und der Übergang nach der Quantenphysik
SSH verwendet Public-Key-Kryptographie für Schlüsselaustausch und Authentifizierung – eine Kryptographieart, die ein zukünftiger Quantencomputer knacken könnte. Das SSH-Ökosystem passt sich bereits an: Neuere OpenSSH-Versionen nutzen standardmäßig einen hybriden Post-Quanten-Schlüsselaustausch, der einen klassischen elliptischen Kurvenaustausch mit … kombiniert. NIST-standardisiert ML-KEM (FIPS 203), daher bleibt eine Sitzung so lange sicher, wie auch nur eine der beiden Komponenten die Verbindung aufrechterhält. Dies ist jetzt relevant, weil Jetzt ernten, später entschlüsseln Angriffe, bei denen der heute erfasste Datenverkehr nach der Marktreife des Quantencomputings entschlüsselt wird, stellen eine Herausforderung dar. Gut verwaltete SSH-Schlüssel erleichtern diesen Übergang erheblich: Organisationen, die ihre Schlüssel bereits ermitteln, inventarisieren und rotieren, können Post-Quanten-Algorithmen ohne Verschlüsselungsprobleme einsetzen. ML-KEM ist hierbei der relevante SSH-Algorithmus, da er den Schlüsselaustausch schützt.

Wie Verschlüsselungsberatung hilft

Der Aufbau eines effektiven SSH-Schlüsselmanagementprogramms – von der Schlüsselermittlung über Richtlinien und die Generierung sicherer Schlüssel bis hin zur Schlüsselrotation und Überwachung – ist das Kerngeschäft der Encryption Advisory Services von Encryption Consulting . Diese bieten Assessments und Schulungen zu SSH und Schlüsselmanagement in AWS, Azure und Google Cloud sowie die Einhaltung von Industriestandards. Für die Automatisierung des SSH-Schlüssellebenszyklus im großen Maßstab übernimmt ECs SSH Secure die Schlüsselermittlung, -rotation und Richtliniendurchsetzung. Die Lösung basiert auf ISO/IEC 27001:2022- und SOC 2-zertifizierten Verfahren.

Häufig gestellte Fragen

Was ist SSH-Schlüsselverwaltung?

SSH-Schlüsselmanagement ist die sichere Kontrolle von SSH-Schlüsseln über ihren gesamten Lebenszyklus hinweg – von der Generierung und Verteilung über Speicherung und Rotation bis hin zur Löschung – für jeden Benutzer und jedes System in einer Organisation. SSH-Schlüssel authentifizieren den Zugriff auf entfernte Systeme mithilfe eines öffentlichen/privaten Schlüsselpaares anstelle von Passwörtern. Da sie weitreichende Zugriffsrechte gewähren und nicht automatisch ablaufen, verhindert ein diszipliniertes Management die unkontrollierte Verbreitung, Kompromittierung und unbefugten Zugriff auf Schlüssel und gewährleistet die Einhaltung der Compliance-Vorgaben in der Organisation.

Wie authentifizieren SSH-Schlüssel einen Benutzer?

Die SSH-Schlüsselauthentifizierung verwendet ein öffentliches und ein privates Schlüsselpaar. Der öffentliche Schlüssel befindet sich auf dem Server in einer Datei namens `authorized_keys`, der private Schlüssel verbleibt beim Benutzer, entweder auf dessen Gerät oder in einem HSM. Beim Login verschlüsselt der Server eine Challenge mit dem öffentlichen Schlüssel. Nur der passende private Schlüssel kann diese entschlüsseln und korrekt antworten, wodurch die Identität des Benutzers bestätigt wird. Da kein Passwort übertragen wird, ist die Methode resistent gegen Phishing- und Brute-Force-Angriffe.

Worin besteht der Unterschied zwischen SSH und SSL/TLS?

SSH und SSL/TLS sind beides kryptografische Protokolle, dienen aber unterschiedlichen Zwecken. SSH sichert den Fernzugriff zwischen zwei Rechnern für Aufgaben wie die Ausführung von Befehlen, Dateiübertragung und Portweiterleitung und verwendet selbstgenerierte Schlüsselpaare. SSL/TLS sichert die Kommunikation zwischen Webbrowser und Server für Websites, E-Mails und APIs und basiert auf Zertifikaten vertrauenswürdiger Zertifizierungsstellen. Die größte Bedrohung für SSH ist der Schlüsseldiebstahl; SSL/TLS ist anfällig für betrügerische Zertifizierungsstellen und gefälschte Zertifikate.

Was sind die besten Vorgehensweisen für die SSH-Schlüsselverwaltung?

Die wichtigsten Best Practices sind: alle Schlüssel in einem zentralen Inventar ermitteln und konsolidieren; Richtlinien mithilfe rollenbasierter Zugriffskontrolle und Schlüsselgruppierung erstellen und durchsetzen; starke Schlüssel mit ED25519 oder RSA (2048 oder 4096 Bit) generieren und schwache Algorithmen wie DSA vermeiden; Schlüssel regelmäßig und automatisch rotieren und dabei das gesamte Schlüsselpaar ersetzen; und Schlüssel kontinuierlich überwachen und prüfen, idealerweise mit SSH-Protokollierung, die in ein SIEM-System zur Echtzeitwarnung eingespeist wird.

Welchen Algorithmus sollte ich für SSH-Schlüssel verwenden?

Als beste Optionen gelten ED25519, das mit einem kompakten 256-Bit-Schlüssel hervorragende Sicherheit bietet, und RSA mit einem 2048- oder 4096-Bit-Schlüssel. Beide bieten einen guten Schutz vor Brute-Force-Angriffen. Ältere Algorithmen wie DSA (insbesondere 1024-Bit) sind veraltet und sollten vermieden werden. Da das SSH-Ökosystem zukünftig auf Post-Quanten-Schlüsselaustausch mit ML-KEM umstellt, erleichtert die Wahl moderner, gut unterstützter Algorithmen bereits heute den späteren Übergang.

Was ist SSH-Agent-Weiterleitung und ist sie sicher?

Die SSH-Agent-Weiterleitung ermöglicht die Authentifizierung über eine Serverkette mithilfe Ihres lokalen privaten Schlüssels, ohne diesen auf jeden Server kopieren zu müssen. Authentifizierungsanfragen werden an Ihren lokalen SSH-Agenten zurückgeleitet. Dies ist besonders praktisch für Aufgaben wie das Abrufen von Code von GitHub über einen Remote-Server, birgt aber Risiken: Wird ein Server in der Kette kompromittiert, kann ein Angreifer den weitergeleiteten Agenten missbrauchen, um sich an anderer Stelle zu authentifizieren. Verwenden Sie die Agent-Weiterleitung daher nur für Server, denen Sie uneingeschränkt vertrauen.

Erstellen Sie ein vollständiges SSH-Schlüsselverwaltungsprogramm

Von der Erkennung über die Rotation bis hin zur Überwachung: Die sichere Verwaltung von SSH-Schlüsseln gewährleistet einen zuverlässigen Fernzugriff. Einen kompakten Überblick bietet unser Begleithandbuch zur SSH-Schlüsselverwaltung. Nutzen Sie die Beratungsleistungen von Encryption Consulting im Bereich Verschlüsselung , um Ihr Programm zu bewerten und aufzubauen. Mit SSH Secure automatisieren Sie den gesamten Lebenszyklus – auch in großem Umfang.