SL
кто-то и без них все делает, нравятся им ощущения.
Size: a a a
2021 July 01
ВС
Подыми на нем openvpn сгенери сертифкат и дай серт доверенным людям все будут подрубаться без пароля а 1 пароль на коннект по впн внутреннему айпи и все
SL
какая-то дикость. мне для 1-2 человек надо разворачивать openvpn, где закрытая часть сертификата так же будет в открытом виде храниться?
ВС
Открытый ключ если передадут другому тут по айпи фильтр сработает и если уведут то значит сотрудник не добросовестный… тут тогда на чела сертификат отдельный чтоб отозвать на сервере можно было и какойнить евент соединений в телегу о коннектах чтоб понимать свой не свой)
SL
Мне кажется вы не правильно поняли первоначальную задачу. Требуется шифровать закрытый ssh ключ, с которым ansible ходит на хосты. Зачем в этой схеме VPN мне совершенно непонятно.
ВС
Вы хотите скрыть ключь от человека которому дали доступ на этот сервер?!
ВС
Чет тут не стыкуется логика
SL
хочу скрыть ключ от человека, который скомпрометировал сервер.
ВС
Каким образом если он туда не попал еще ?!
SL
на случай, если попал.
ВС
И надо позаботится о открытых портах и службах не секьюрных заранее
SL
не спорю, безопасность это комплекс мер, то что предлагаете, так же имеется в перечне.
ВС
И мониторинг банальный fail2ban на отлов ивентов авторизации частых подбора паролей с нотификацией в телегу вот вам и сообщение для принятия мер по смене кредов ключей
ВС
при нотификации никто не мешает вам плейбук запилить чтоб срабатывал на такие евенты и менялтгенерил новые ключи и разбрасывал по сервакам в том числе и в самом себе с отсылкой в приватный чат телеги для уведомления о смененных кредах
SL
Чем сложнее тем интересней, но больше при этом не заплатят =))) да и от шифрования файлов лежащих в открытом виде это тоже не спасет =(((
TG
Так не держите ключ на агенте, в чем проблема?
SL
как агент будет подключаться к хостам?
TG
Через сокет ssh-agent
SL
ssh-agent как я понял хранит как-то ключи в себе, но они там зашифрованы? я не смог пока найти информации об этом. Что там имеется шифрование и какое оно.
TG
На сервере, через который вы подключаетесь, никаких ключей храниться не будет. Ни в каком виде.