SSH Keys: Kredensial paling kuat yang mungkin Anda abaikan

KOMENTAR

Kunci Secure Shell (SSH) adalah tulang punggung aman akses jarak jauh. Mereka ada di mana -mana, menyalakan pipa DevOps, memungkinkan manajemen server, dan mengotomatisasi semuanya, mulai dari penyebaran hingga penambalan. Namun terlepas dari di mana -mana mereka, kunci SSH sering tetap menjadi titik buta dalam keamanan perusahaan. Mengapa? Karena tidak seperti kata sandi, mereka tidak kedaluwarsa. Mereka mudah dibuat, sulit dilacak, dan sangat mudah dilupakan.

Di perusahaan besar, tidak jarang menemukan ratusan ribu atau bahkan jutaan orang yang tidak dikelola Kunci SSH. Banyak dari akses hibah ini ke sistem sensitif tetapi tidak memiliki kepemilikan yang jelas atau pengawasan siklus hidup, mengubah apa yang seharusnya menjadi metode otentikasi yang aman menjadi faktor risiko utama.

Jika organisasi Anda tidak dapat menjawab, “Siapa yang bisa masuk ke apa, menggunakan kunci yang mana?” Anda terbang buta.

The Wild West of SSH Key Management

Jujur saja: Di sebagian besar orgs, penciptaan kunci ssh adalah urusan do-it-yourself. Pengembang memutar mereka dengan cepat. Mereka menyalin kunci publik ke server. Tidak ada tiket permintaan, tidak ada persetujuan, dan jelas tidak ada tanggal kedaluwarsa.

Langkah pertama sederhana tetapi mengubah permainan: Terapkan Tata Kelola Akses. Buat tombol SSH tunduk pada proses permintaan dan persetujuan yang sama dengan akses VPN atau hak admin. Alat seperti Cyberark, SSH UKM, dan bahkan platform otomatisasi seperti Ansible dapat membantu Anda penyediaan kunci dengan cara yang terkontrol dan dapat diaudit. Pasangkan ini dengan Metadata, yang memiliki kunci, mengapa dikeluarkan, dan kapan harus kedaluwarsa dan Anda sudah lebih maju dari sebagian besar.

Terkait:Google Bug diizinkan memanfaatkan brute dari nomor telepon pengguna apa pun

Temukan kunci yang tidak Anda ketahui

Kunci warisan. Kunci yang dibuat orang dalam. Kunci pemecahan masalah yang terlupakan. Setiap lingkungan memilikinya.

Alat penemuan SSH, seperti yang dari Cyberark atau SSH UKM, dapat memindai server dan mendeteksi file otorisasi_keys. Mereka akan memberi tahu Anda kunci mana yang terhubung ke akun mana dan menandai apa pun tanpa pemilik atau riwayat penggunaan yang jelas.

Dalam satu kasus, upaya pembersihan menghapus 40% kunci, yang paling tidak digunakan dan tidak dilacak. Penemuan bukan hanya tentang inventaris. Ini tentang menghilangkan pintu belakang yang sunyi.

Rotasi: Kebiasaan Keamanan Tidak ada yang suka

Kata sandi berakhir. Kunci SSH? Tidak begitu banyak.

Itu masalah. Jika seorang insinyur pergi atau laptop dikompromikan, tombol statis menjadi bom waktu berdetak. Rotasi utama, katakanlah setiap 90 hari untuk akun privilege tinggi, adalah kebersihan dasar. Dan ya, itu menyakitkan tanpa otomatisasi, tapi itu sebabnya alat ada.

Cyberark dapat memutar kunci dan menggunakannya melintasi armada. Lebih baik lagi, mengintegrasikan rotasi dengan pipa CI/CD Anda. Setiap kali Anda berputar, ajukan pertanyaan yang lebih besar: apakah akses ini masih perlu ada?

Terkait:Mirai botnets mengeksploitasi cacat di platform keamanan wazuh

Ancaman kunci yatim piatu

Yatim piatu kuncimereka yang tidak memiliki pemilik aktif, adalah catnip untuk penyerang. Tidak ada yang mengawasi mereka, dan mereka masih bekerja.

Platform IGA Anda (Think: SailPoint) harus mengikat kunci SSH dengan identitas. Ketika seseorang pergi, kunci mereka juga harus menghilang. Jika kunci tidak dimiliki, dibenarkan, atau dapat dilacak, perlakukan seperti kerentanan. Perbaiki seperti itu.

Jangan lupa kunci pribadi

Kunci publik pergi ke server dan menjadi perhiasan mahkota Anda. Jika mereka disimpan tidak terenkripsi atau disalin ke folder Temp, itu sudah berakhir.

Safeguards minimum: frasa sandi yang kuat, chmod 600, tidak ada folder bersama. Untuk akun layanan atau kunci berisiko tinggi, kubah mereka. Cyberark dapat menengahi akses menggunakan kunci fana, sehingga pengguna bahkan tidak pernah menyentuh setengah pribadi.

Dan ya, pantau perilaku aneh. Jika kunci mulai digunakan dari IP yang tidak dikenal pada jam 2 pagi, ada sesuatu yang tidak aktif.

Masa Depan: Akses SSH fana

Bayangkan sebuah dunia tanpa file otorisasi_keys permanen. Sebaliknya, pengguna meminta akses, dan layanan pusat (seperti Netflix Bless atau Hashicorp Vault) mengeluarkan sertifikat yang berumur pendek. Akses yang diberikan selama 15 menit. Lalu Poof – sudah hilang.

Ini adalah SSH fana. Begitulah cara Anda bergerak menuju hak istimewa nol berdiri. Dan di sinilah industri ini menuju.

Mengapa Pemerintahan Masalah Sekarang

Terkait:Stealth Falcon Apt mengeksploitasi Microsoft RCE Zero-Day di Timur Tengah

Kunci SSH adalah kredensial – berhenti penuh. Mereka perlu diatur seperti akses lainnya. Itu berarti ulasan akses, pembersihan otomatis, jalur audit, dan penegakan hukum.

Dilakukan dengan benar, Tata Kelola memberi Anda visibilitas. Itu membuat kepatuhan lebih mudah. Ini mempersiapkan Anda untuk apa yang selanjutnya, apakah itu Auth Ephemeral, Crypto Post-Quantum, atau hanya audit Anda berikutnya.

Pelanggaran tidak menunggu

Insiden dunia nyata telah menunjukkan bahaya kunci SSH yang tidak dikelola. Pada tahun 2020, GoDaddy mengalami pelanggaran di mana seorang penyerang mengakses kredensial SSH, berdampak pada 28.000 akun hosting. Selain itu, kerangka kerja MITER ATT & CK menguraikan bagaimana musuh mengeksploitasi kunci pribadi tanpa jaminan untuk menyusup ke sistem. Kasus -kasus ini menyoroti kebutuhan kritis untuk praktik manajemen kunci SSH yang kuat.

Kata terakhir

Kunci SSH tidak ke mana -mana. Tetapi kunci yang tidak dikelola adalah risiko yang tidak perlu diambil organisasi Anda. Mulailah dengan memperlakukan mereka seperti apa adanya: kredensial kuat yang pantas mendapatkan pengawasan serius.

Mengaturnya, memutar mereka, memantau mereka, dan tidak menunggu pelanggaran membuktikan mengapa Anda harus melakukannya.