<div dir="ltr">On Fri, Sep 27, 2013 at 11:28 AM, Kent Borg <span dir="ltr"><<a href="mailto:kentborg@borg.org" target="_blank">kentborg@borg.org</a>></span> wrote:<br><div class="gmail_extra"><div class="gmail_quote">

<blockquote class="gmail_quote" style="margin:0 0 0 .8ex;border-left:1px #ccc solid;padding-left:1ex"><div class="im">On 09/27/2013 11:07 AM, Colin Law wrote:<br>
<blockquote class="gmail_quote" style="margin:0 0 0 .8ex;border-left:1px #ccc solid;padding-left:1ex">
I thought that if you used keys for authentication and have disabled password access (as the OP has done), then ssh is effectively unbreakable.<br>
</blockquote>
<br></div>
Yes, but now you have shifted the risk to a new location: your private ssh key.<br></blockquote><div><br></div><div>The only way to avoid all risk is to unplug.</div><div> </div><blockquote class="gmail_quote" style="margin:0 0 0 .8ex;border-left:1px #ccc solid;padding-left:1ex">


How do you protect it?  I hope you have it encrypted, but what if someone gets ahold of the encrypted key? </blockquote><div><br></div><div>Huh? Private keys are encrypted. But if you have the key, you have the key. </div>

<div><br></div><blockquote class="gmail_quote" style="margin:0 0 0 .8ex;border-left:1px #ccc solid;padding-left:1ex"><br>
Where do you keep this key file?  How many copies exist?  Have you deleted a copy of it?  Can deleted file be un-deleted?<br></blockquote><div><br></div><div>I keep mine in the standard place so ssh can find it. What are we trying to protect, Fort Knox? I've been doing this quite fine on multiple systems for 13/14 years. Its a good system for most use cases. </div>

<div> </div><blockquote class="gmail_quote" style="margin:0 0 0 .8ex;border-left:1px #ccc solid;padding-left:1ex">
If you have a traditional ssh password the only way to break it is to try it against the sshd and it will only let you try so many times a second, so much less entropy is needed in your key.<div class="HOEnZb"><div class="h5">

</div></div></blockquote></div><br></div><div class="gmail_extra">Key based authentication is "safe" enough for most use cases. </div><div class="gmail_extra"><br></div><div class="gmail_extra">Simples precautions:</div>

<div class="gmail_extra"><br></div><div class="gmail_extra">1. Use firewall based access where you can</div><div class="gmail_extra">2. Use something like fail2ban</div><div class="gmail_extra">3. Run ssh on non-standard port, if you are paranoid enough. </div>

<div class="gmail_extra">4. Run log monitoring software to know what's happening.</div><div class="gmail_extra"><br></div></div>