Re: [OT] rsync, ssh e chiavi con restrizioni

Il 23/01/26 10:42, Alessandro Baggi ha scritto:
> Buongiorno Mario e grazie per la risposta:
>
> Il 23/01/26 09:25, Mario V. Guenzi ha scritto:
>> Buondi' Alessandro,
>>
>> non sono certo di aver capito correttamente il quesito, quindi ti chiedo
>>
>> a) i due host sono raggiungibili via SSH SOLO tramite scambio di 
>> certificati quindi tutti gli host autorizzati hanno la chiave in locale
>>
>
> il caso è questo.
>
Allora per la mia personale esperienza non andrei a tirare in ballo 
niente altro, se la connessione avviene solo tramite scambio chiavi 
pubblica/privata userei lo stesso utente senza chiave e senza pw.

fai conto che sono almeno 20 che sia in azienda che per uso privato uso 
script di rsync con questo metodo tramite VPN e va bene, ma per esempio 
se sono in ferie e devo entrare sui perimetrali per un qualsiasi motivo 
non passo da VPN e i perimetrali accettano connessioni SSH solo da 4 
HOST di cui hanno la chiave in authorized_keys.



>> o
>>
>> b) l'accesso SSH e' libero tramite pw ?
>>
>> se a) a mio avviso ti stai complicando la vita per niente
>
> Quindi oltre ad avere un utente per manutenzione con chiave, tra un 
> utente con due chiavi per due differenti comandi e un utente con 
> chiave senza restrizione cambia poco? Capisco che la chiave è segreta, 
> ma se venisse rubata e se impostassi la restrizione con doppia chiave, 
> si puo solo lanciare quel determinato comando con quella determinata 
> chiave. So che è al limite ma non dovrebbe essere più sicuro?


Si direi, dato che come dici dovrebbero rubarti la chiave (e dimmi come 
potrebbero fare),  a quel punto la cosa e' facilmente risolvibile con un 
ssh-keygen  e buona notte ai suonatori, la chiave che si son presi 
possono scegliere se condirla con senape o maionese.

Altro aspetto che va considerato e' la natura di quello che potrebbero 
prendere, stiamo parlando di ambiente ad alta tecnologia? dati sensibili 
a livello militare? brevetti da milioni di euro? li posso capire che si 
esageri, ma se parliamo di cose normali come nel 99% dei casi domandati 
a chi potrebbe interessare prendere dati.

Ripeto sicurezza si sempre e comunque ma il livello della sicurezza deve 
a mio avviso essere congruo con la realta' che vivi e soprattutto (e 
neghero' di averlo mai detto incolpando una AI maligna che mi ha 
impersonato) con il tuo rompimento di maroni che è la cosa piu' 
importante di tutte.

Concludendo se i due host sono in LAN rsync+ssh con chiavi un unico 
utente simmetrico senza comandi aggiuntivi se i due host sono distanti 
rsync+ssh con certificati il tutto tramite una openvpn e utente 
simmetrico senza comandi aggiuntivi questo e' il mio ragionamento, e 
anche la mia esperienza.

Buona giornata