在多台计算机上使用相同的私有 ssh 密钥是一个坏主意吗？

Question

我最近买了一台笔记本电脑，我需要用它来访问我从台式机上访问的相同远程主机。我突然想到，可能可以简单地将私钥文件从我的桌面复制到我的笔记本电脑，而不必为~/.ssh/authorized_keys我想要访问的所有主机上的文件添加新密钥。所以我的问题是：

1. 这甚至可能吗？
2. 是否有任何不明显的安全隐患？
3. 有时我会从我的笔记本电脑登录我的桌面。如果使用相同的密钥，会导致任何问题吗？

Answer 1

是的，这是可能的。您的私钥不绑定到一台机器上。

不确定你所说的不明显是什么意思，这通常是主观的;)。如果您确保设置了非常强大的密码短语（至少 20 个字符），这完全不是一个坏主意。

使用与桌面相同的密钥连接没有问题。我会在笔记本电脑上为您的密钥设置一个 ssh 代理，并将代理转发到桌面，这样您就可以在从那里访问的其他系统上使用该密钥。

从 Linux 系统上的 ssh-agent 手册页：

ssh-agent 是一个保存用于公钥认证（RSA、DSA）的私钥的程序。这个想法是 ssh-agent 在 X 会话或登录会话的开始时启动，所有其他窗口或程序都作为 ssh-agent 程序的客户端启动。通过使用环境变量，可以定位代理并在使用 ssh(1) 登录其他机器时自动用于身份验证。

你可以在你的笔记本电脑上运行它，或者是 Linux/Unix 上的 ssh-agent 程序（它随 OpenSSH 一起提供），或者如果你使用的是 Windows，则使用 puTTY 代理。您不需要在任何远程系统上运行代理，它纯粹将您的私钥保存在本地系统的内存中，因此您只需输入一次密码短语，即可将密钥加载到代理中。

代理转发是 ssh 客户端（ssh或腻子）的一项功能，它只是通过 ssh 连接将代理持久化到其他系统。

Answer 2

我曾经在我的所有机器上使用一个私钥（其中一些我只是一个用户，而不是管理员），但最近改变了这一点。拥有一个密钥就可以工作，但这意味着如果您需要撤销密钥（如果它被泄露），那么您将需要在所有机器上更改它。

当然，如果攻击者获得访问权限并能够通过 ssh 进入另一台机器，他们就可以从那台机器上获取密钥，依此类推。但是知道我只能撤销一把钥匙并将那台机器锁在外面，这让我感到更安全。不过，这确实意味着我需要从 authorized_keys 文件中删除密钥。