Исходное сообщение
"Анонсирована внутриядерная реализация WireGuard для OpenBSD" Отправлено OpenEcho, 12-Май-20 23:58
> В Wireguard есть опциональный Preshared Key на этот случай. Канал передачи ключей проверенный??? >Логи SSH? Глазами? Серьезно? :D Я все никак догнать не могу, что смешного??? # cat /var/log/secure | grep 'user_root12' May 12 16:31:44 ХОСТ sshd[23637]: Accepted publickey for root from хх.хх.хх.хх port 7266 ssh2: RSA-CERT ID user_root12 (serial хххххххх) CA RSA SHA512:хххххххххххххххххххххххххх >Правда есть три маленькие детали. Во-первых, на публичный ключ CA на сервера должен как-то попасть. На _каждый_ SSH сервер. Вы его туда руками добавляете? :D Ну да, руками, на первой исталяции, приходит/приезжает/прилетает технарь, ему под подпись выдаются публичные ключи, которые они уже устанавливают через иммиджинг систему. Я же уже сказал, все зависит от систем, которые вы обслуживаете, если это вордпрессы на AWS, это дело одно, а если это военка, финансы, электростанции и т.д. и т.п. то это совсем другое дело... >Во-вторых, revocation list должен попадать на сервера ASAP. На _каждый_ SSH сервер. Вы его туда руками добавляете? Когда система уже доверенная, то доставка идет через проверенный, верифицированный канал и CRL в этом случае уже не есть секрет, т.к. он это просто публичный ключ подписанный тем же СА...