Beskrivning
Säkert skal (SSH) nycklar driver den moderna infrastrukturen. SSH-nycklar används nästan överallt, och kopplar samman administratörer med servrar, möjliggör automatiseringsskript, stöder CI/CD-pipelines och låter applikationer kommunicera säkert utan mänsklig inblandning. SSH-nycklar konfigureras dock ofta en gång och glöms bort. Och det är precis där problemet börjar.
Med tiden blir ohanterade eller dåligt hanterade SSH-nycklar en tyst säkerhetsrisk. Gamla nycklar finns kvar långt efter att anställda slutat. Automationsnycklar går aldrig ut. Innan du vet ordet av hålls din miljö samman av tusentals långlivade inloggningsuppgifter som ingen helt förstår eller kontrollerar.
Det är därför det inte längre är valfritt att utforma en effektiv SSH-nyckelrotationspolicy; det är en kritisk komponent i modern infrastruktursäkerhet.
Den här bloggen förklarar varför SSH-nyckelrotation är viktig, hur en effektiv policy ser ut och hur man utformar en som balanserar säkerhet med operativa realiteter.
Varför förbises ofta SSH-nyckelrotation?
Till skillnad från lösenord upphör inte SSH-nycklar att gälla som standard. Det finns ingen tvångsrotation, ingen påminnelse, ingen varningsbanner. När ett nyckelpar har genererats och betrotts kan det förbli giltigt på obestämd tid.
Ur ett operativt perspektiv känns detta bekvämt. Ur ett säkerhetsperspektiv är det farligt.
Nedan följer några vanliga problem/utmaningar som organisationer står inför:
- Nej lager av var nycklar finns, hur många SSH-nycklar som finns, var privata nycklar lagras, etc.
- Att rotera SSH-nycklar manuellt för många servrar är felbenäget och driftstörande.
- Användare genererar nycklar fritt med ssh-keygen, vilket skapar inkonsekvent styrka, format och namngivning.
- Äldre nyckeltyper (DSA, RSA-1024) finns kvar i produktionsmiljöer med begränsad eller ingen insyn i nyckelanvändningsfrekvens, användningshistorik eller tidsstämplar för senaste åtkomst.
- Användning av hårdkodade nycklar i applikationer.
- Ingen central styrning av SSH-nycklar.
Angripare vet detta. Om de får tillgång till en privat SSH-nyckel, även den som skapades för flera år sedan, får de ofta omedelbar, lösenordsfri åtkomst till kritiska system.
Riskerna med att inte rotera SSH-nycklar
Att inte rotera SSH-nycklar regelbundet medför en uppsättning säkerhets- och driftsrisker som ofta förblir osynliga. Följande avsnitt beskriver de viktigaste riskerna som är förknippade med att inte rotera SSH-nycklar under längre perioder:
| Risk | BESKRIVNING |
|---|---|
| Ihållande obehörig åtkomst | Nycklar upphör inte att gälla, vilket ger angripare långsiktig åtkomst till hemligheter. |
| Föräldralösa nycklar | Nycklar som skapats av användare som har lämnat organisationen förblir auktoriserade, ibland med fullständig administrativ kontroll. |
| Lateral rörelse | Återanvändning av nycklar över olika system låter angripare växla tyst. |
| Skugga IT | Utvecklare skapar ohanterade nycklar utan något godkännande. |
| Revisions- och efterlevnadsfrågor | PCI DSS, ISO 27001, SOX, och FedRAMP kräver nyckelrotation eller motivering. |
Innan man utformar en rotationspolicy är det viktigt att förstå var nycklar finns och hur de används.
SSH-nyckelparkomponenter
Ett SSH-nyckelpar består av två kryptografiskt länkade komponenter som arbetar tillsammans för att möjliggöra säkra, lösenordsfria autentiseringVarje komponent tjänar ett specifikt syfte och måste hanteras på lämpligt sätt för att upprätthålla säkerheten för SSH-åtkomst:
privat nyckelFörvaras säkert; måste förbli konfidentiellt.
Offentlig nyckel: Lagras i authorized_keys på fjärrservern.
En väl utformad rotationspolicy åtgärdar direkt denna risk. SSH-nyckelrotation handlar inte bara om att regelbundet generera nya nycklar. Det är en kontrollerad nyckellivscykelprocess som inkluderar:
- Begäran / Skapande
- Godkännande och tilldelning av metadata
- Distribution till målservrar
- Användning och övervakning
- Rotation / Återkallelse
- Avveckling
En stark rotationspolicy måste vara riskbaserad, automatiserad, kryptografiskt starkoch i linje med affärsverksamheten.
Utforma SSH-nyckelrotationspolicyn
En effektiv policy för SSH-nyckelrotation etablerar tydliga, verkställbara kontroller över hela SSH-nyckelns livscykel, inklusive generering, distribution, rotationsfrekvens och avveckling. Den balanserar kryptografisk hygien och åtkomstkontroll med driftskontinuitet, vilket säkerställer att långlivade eller föräldralösa nycklar inte ackumuleras obemärkt mellan system. Därför bör följande överväganden hållas i åtanke vid utformning och implementering av en sådan policy:
1. Upprätta SSH-styrning
Innan rotation tillämpas är det viktigt att definiera en styrningsstruktur. Strukturen måste inkludera följande:
- Roller och ansvar
- Äganderätt till SSH-nycklar
- Arbetsflöden för godkännande
- Plan för periodisk granskning
- Verkställighetsmekanism
- Dokumentera en formell, omfattande policy för SSH-nyckelrotation
2. Utför SSH-nyckelidentifiering
Du kan inte rotera det du inte kan se. Upptäckten måste innehålla följande:
- Alla servrar som finns i din miljö (t.ex. Linux, Unix, applikationer etc.)
- Alla authorized_keys-filer
- Alla lokala privata nyckelbutiker
- Nycklar inbäddade i skript eller automatisering, etc.
3. Klassificera nycklar efter risk
Ett riskbaserat rotationsschema förhindrar driftstörningar. Nedan följer ett exempel på riskbaserad klassificering av SSH-nycklar.
Observera att tabellen nedan är ett exempel; klassificeringen bör baseras på din organisations interna policy för att säkerställa regelefterlevnad.
| Risknivå | Övergripande kriterier | Rotationsfrekvens |
|---|---|---|
| Hög | Root-åtkomst, delade nycklar, okända ägare, nycklar äldre än 2 år | 30–90 dagar |
| Medium | DevOps och automatiseringsnycklar, användarnycklar med sudo | 90–180 dagar |
| Låg | Icke-privilegierade konton, testsystem | 180–365 dagar |
4. Definiera kryptografiska standarder
Er rotationspolicy måste tillämpa modern kryptografi och minimistandarder under rotationen. Här är några rekommenderade SSH-nyckelalgoritmer: CDSA-256, RSA 2048/3072/4096, etc.
5. Definiera rotationsprocessen
Ett komplett arbetsflöde för nyckelrotation från början till slut bör definieras, vilket bör inkludera:
- Initiera rotation baserat på schema eller utlöst händelse.
- Generera ett nytt nyckelpar på ett godkänt klientsystem eller via SSH Key Manager.
- Tillämpa namngivningsstandarder (användare, system, datum, miljö).
- Distribuera en offentlig nyckel till målservrar via en automatiserad hanterare (t.ex. EC:s SSH-nyckel säker).
- Testa inloggningen för att säkerställa att den nya nyckeln fungerar.
- Återkalla och radera gamla nycklar från alla system.
- Uppdatera lager och revisionsloggar.
6. Definiera rotationsutlösare
Förutom periodisk SSH-nyckelrotation bör organisationer även definiera händelsebaserade rotationsutlösare, såsom:
- Användarens uppsägning eller rollbyte
- Misstänkt kompromiss
- Resultaten av åtkomstgranskningen
- Infrastrukturmigrering
- Utgångsdatum för kryptografisk algoritm
7. Integrera automatisering och SSH-nyckelhanteringslösning
En SSH-nyckelhanteringslösning (EC:s SSH-säkerhet) skulle hjälpa till att automatisera arbetsflödet för nyckellivscykeln, inklusive SSH-nyckelrotation. En SSH-nyckelhanteringslösning bör tillhandahålla:
- Centraliserat lager
- Automatiserad upptäckt
- Policybaserad nyckelskapande
- Automatisk distribution av offentliga nycklar
- Rengöring av gamla nycklar
- Rollbaserad åtkomstkontroll
- Revisionsloggar och efterlevnadsrapport
8. Överväganden om efterlevnad
En robust SSH-nyckelrotationspolicy säkerställer granskningsberedskap och efterlevnad av regelkrav
Relevanta standarder såsom PCI DSS, ISO 27001, NIST 800-53, NIST 800-57, SOX kräver periodisk rotation, kryptografisk nyckelhantering och åtkomstkontroll, nyckeletablering, arbetsuppdelning, spårbarhet och eliminering av delade inloggningsuppgifter etc.
Hur EC:s SSH Secure möjliggör skalbar rotation?
EC:s SSH-säker, är byggd för att leverera heltäckande nyckelsäkerhet under livscykeln, hjälpa organisationer att avsevärt förenkla rotationen, tillhandahålla och få omfattande insyn, vilket säkerställer att organisationer kan hantera nycklar säkert utan ökad komplexitet. Nedan följer de viktigaste funktionerna i SSH Secure:
1. Centraliserad synlighet och ägarkartläggning
Genom en kombination av agentbaserad och agentlös identifiering lokaliserar SSH Secure varje SSH-nyckel på olika servrar och användarmaskiner. Alla nycklar lagras i en enda inventering med ägarskaps- och användningsinformation, vilket eliminerar överblivna nycklar och minskar risken för oönskade skador. utbredningoch säkerställa fullständigt ansvarsskyldighet i hela miljön.
2. Automatiserad nyckellivscykelorkestrering
SSH Secure automatiserar hela nyckellivscykeln, inklusive säker generering, policydriven rotation, schemalagd utgång och återkallelse. Livscykelstyrning eliminerar svaga eller inaktuella nycklar, minskar mänskliga ingripanden och säkerställer kontinuerlig efterlevnad av branschens bästa praxis.
3. Rotation av knappar utan beröring
SSH Secure låter organisationer rotera SSH-nycklar både på begäran och enligt schemalagda policyer. rotation utan beröring, nycklar kan roteras automatiskt med ett enda klick utan manuell åtgärd på servrar, vilket säkerställer att autentiseringsuppgifterna förblir kortlivade, minskar risken för kompromettering och ger fullständig insyn i all aktiv SSH-åtkomst.
4. Policydriven kontroll för nyckeloperationer
Alla viktiga åtgärder, såsom generering, arbetsflöden för godkännande, rotation och återkallelse, verkställs genom policybaserade kontroller. Detta säkerställer enhetlighet i hela miljön, minskar manuella fel och upprätthåller organisationsomfattande säkerhetsstandarder. Policyer kan anpassas för att passa myndighetskrav eller anpassas för att stödja interna styrningsmodeller.
5. HSM-integrerat skydd
Alla privata nycklar är säkrade inom HSM, vilket säkerställer att de inte kan exporteras och är manipuleringssäkra. Nycklar genereras med hjälp av starka kryptografiska algoritmer som RSA-4096, ECDSA och Ed25519, vilket ger både starkt skydd och motståndskraft mot brute-force-attacker samt effektivitet.
6. Kontinuerlig övervakning, revision och beredskap för efterlevnad
SSH Secure tillhandahåller realtidsövervakning av viktiga aktiviteter med detaljerad händelseloggning och inbyggd avvikelsedetektering. Alla nyckelrotationshändelser, oavsett om de sker på begäran eller policydrivna, granskas fullständigt för att säkerställa spårbarhet och efterlevnad.
Loggar kan integreras med siem lösningar som Splunk eller övervakningsstackar som Loki-Grafana för avancerad visualisering, korrelation och aviseringar. Flexibla revisionsfunktioner inkluderar nedladdningsbara loggar och detaljerade rapporter, vilket ger säkerhetsteam tydliga insikter i nyckelanvändning och övergripande status. Centraliserad granskning med policybaserade varningar möjliggör proaktiv säkerhetshantering, snabb avvikelsedetektering och snabbare incidentrespons.
Vi hjälper kunder att flytta från manuell, felbenägen SSH-användning till helt styrd, automatiserad SSH-nyckellivscykelhantering med säkerhet i företagsklass.
Slutsats
Att utforma en effektiv SSH-nyckelrotationspolicy är inte bara bästa praxis, det är en kritisk komponent i företags cybermotståndskraft.
En stark politik kräver:
- Fullständig insyn och lager
- Riskbaserade rotationsscheman
- Moderna kryptografiska standarder
- Automatisering via en SSH-nyckelhanterare
- Styrning och granskningsbarhet
- Integration med hybrid- och multimolnmiljöer
Genom att använda ramverket som beskrivs i den här bloggen kan organisationer eliminera inaktuella nycklar, minska risken för obehörig åtkomst, anpassa sig till efterlevnadsstandarder och avsevärt stärka sin säkerhetsställning för privilegierad åtkomst.
