☰

Warum muss der private Schlüssel mit der Option -i im SSH-Client angegeben werden?

tag-icon • tag-icon ssh security key-authentication
Warum muss der private Schlüssel mit der Option -i im SSH-Client angegeben werden?

Im ssh man heißt es:

-i identity_file
             Selects a file from which the identity (private key) for public key authentication is read.  The default is
             ~/.ssh/identity for protocol version 1, and ~/.ssh/id_dsa, ~/.ssh/id_ecdsa, ~/.ssh/id_ed25519 and
             ~/.ssh/id_rsa for protocol version 2.  Identity files may also be specified on a per-host basis in the con‐
             figuration file.  It is possible to have multiple -i options (and multiple identities specified in configura‐
             tion files).  If no certificates have been explicitly specified by the CertificateFile directive, ssh will
             also try to load certificate information from the filename obtained by appending -cert.pub to identity file‐
             names.

Darin heißt es, dass die Identitätsdatei ein PRIVATER Schlüssel ist.

Aber verstößt es nicht gegen das Sicherheitsprinzip, dass der private Schlüssel geheim gehalten werden sollte?

Wenn SSH den Schlüssel über das Netzwerk überträgt, kann er kompromittiert werden.

Ich würde erwarten, dass die Zielmaschine den privaten Schlüssel behält und den öffentlichen Schlüssel des eingehenden Benutzers überprüft.

Was ist an meinem Verständnis falsch?

Wenn SSH den privaten Schlüssel über das Netzwerk sendet, welchen Vorteil hat es gegenüber der bloßen Verwendung eines Passworts?

Antwort1

SSH sendet den privaten Schlüssel niemals über das Netzwerk. Das wäre in der Tat dumm.

Der private Schlüssel wird lediglich verwendet, um eine „Herausforderung“ des Zielhosts zu beantworten, die mit dem entsprechenden öffentlichen Schlüssel generiert wird. Die Herausforderung zu beantworten, ohne den privaten Schlüssel zu besitzen, ist bekanntermaßen schwierig, was diese Art der Kommunikation sicher macht, da man sie (in einem akzeptablen Zeitrahmen) nicht durch Raten, d. h. mit roher Gewalt, knacken kann.

verwandte Informationen