Re: [OT] rsync, ssh e chiavi con restrizioni

Il 23/01/26 11:29, Mario V. Guenzi ha scritto:
> 
> Il 23/01/26 10:42, Alessandro Baggi ha scritto:
>> Buongiorno Mario e grazie per la risposta:
>>
>> Il 23/01/26 09:25, Mario V. Guenzi ha scritto:
>>> Buondi' Alessandro,
>>>
>>> non sono certo di aver capito correttamente il quesito, quindi ti chiedo
>>>
>>> a) i due host sono raggiungibili via SSH SOLO tramite scambio di 
>>> certificati quindi tutti gli host autorizzati hanno la chiave in locale
>>>
>>
>> il caso è questo.
>>
> Allora per la mia personale esperienza non andrei a tirare in ballo 
> niente altro, se la connessione avviene solo tramite scambio chiavi 
> pubblica/privata userei lo stesso utente senza chiave e senza pw.
> 
> fai conto che sono almeno 20 che sia in azienda che per uso privato uso 
> script di rsync con questo metodo tramite VPN e va bene, ma per esempio 
> se sono in ferie e devo entrare sui perimetrali per un qualsiasi motivo 
> non passo da VPN e i perimetrali accettano connessioni SSH solo da 4 
> HOST di cui hanno la chiave in authorized_keys.
> 
> 
> 
>>> o
>>>
>>> b) l'accesso SSH e' libero tramite pw ?
>>>
>>> se a) a mio avviso ti stai complicando la vita per niente
>>
>> Quindi oltre ad avere un utente per manutenzione con chiave, tra un 
>> utente con due chiavi per due differenti comandi e un utente con 
>> chiave senza restrizione cambia poco? Capisco che la chiave è segreta, 
>> ma se venisse rubata e se impostassi la restrizione con doppia chiave, 
>> si puo solo lanciare quel determinato comando con quella determinata 
>> chiave. So che è al limite ma non dovrebbe essere più sicuro?
> 
> 
> Si direi, dato che come dici dovrebbero rubarti la chiave (e dimmi come 
> potrebbero fare),  a quel punto la cosa e' facilmente risolvibile con un 
> ssh-keygen  e buona notte ai suonatori, la chiave che si son presi 
> possono scegliere se condirla con senape o maionese.
> 
> Altro aspetto che va considerato e' la natura di quello che potrebbero 
> prendere, stiamo parlando di ambiente ad alta tecnologia? dati sensibili 
> a livello militare? brevetti da milioni di euro? li posso capire che si 
> esageri, ma se parliamo di cose normali come nel 99% dei casi domandati 
> a chi potrebbe interessare prendere dati.
> 
> Ripeto sicurezza si sempre e comunque ma il livello della sicurezza deve 
> a mio avviso essere congruo con la realta' che vivi e soprattutto (e 
> neghero' di averlo mai detto incolpando una AI maligna che mi ha 
> impersonato) con il tuo rompimento di maroni che è la cosa piu' 
> importante di tutte.
> 
> Concludendo se i due host sono in LAN rsync+ssh con chiavi un unico 
> utente simmetrico senza comandi aggiuntivi se i due host sono distanti 
> rsync+ssh con certificati il tutto tramite una openvpn e utente 
> simmetrico senza comandi aggiuntivi questo e' il mio ragionamento, e 
> anche la mia esperienza.
> 
> Buona giornata
> 
> 

Grazie mille per i consigli.

Saluti, Alessandro.