Khóa công khai SSH

Khóa công khai SSH trong crypto là gì?

Khóa công khai SSH là phần có thể chia sẻ của một cặp khóa SSH, cho phép máy chủ xác minh người dùng đang sở hữu khóa riêng tư tương ứng trước khi cấp quyền truy cập từ xa.

Trong tiền mã hóa, khóa công khai SSH quan trọng vì người vận hành node, validator, đơn vị vận hành đào, kỹ sư hạ tầng và nhà phát triển thường sử dụng SSH để truy cập các máy chủ chạy phần mềm blockchain.

SSH là viết tắt của Secure Shell, một giao thức dùng để đăng nhập từ xa an toàn, thực thi lệnh, chuyển tệp và quản trị máy chủ.

Tài liệu SSH chính thức của GitHub giải thích rằng SSH cung cấp một kênh bảo mật qua mạng không an toàn.

Khóa công khai SSH không giống khóa công khai ví, địa chỉ blockchain, cụm từ khôi phục hoặc khóa ký validator.

Đây là thông tin xác thực kiểm soát truy cập dành cho máy tính và máy chủ, thay vì khóa dùng để chi tiêu tài sản crypto on-chain.

Khóa công khai thường có thể được chia sẻ an toàn vì không làm lộ khóa riêng tư.

Khóa riêng tư tương ứng phải được giữ bí mật vì nó chứng minh danh tính người dùng trong quá trình xác thực SSH.

Tài liệu xác thực dựa trên khóa OpenSSH của Microsoft giải thích rằng khóa công khai được đặt trên máy chủ SSH và có thể được chia sẻ mà không làm lộ khóa riêng tư.

Nói đơn giản, khóa công khai SSH là định danh đăng nhập máy chủ có thể chia sẻ an toàn, giúp người vận hành hạ tầng crypto truy cập máy mà không cần phụ thuộc vào mật khẩu thông thường.

Vì sao khóa công khai SSH quan trọng trong crypto?

Khóa công khai SSH quan trọng trong crypto vì hạ tầng blockchain thường được quản lý qua máy chủ Linux từ xa hoặc máy chủ đám mây.

Người vận hành validator có thể dùng SSH để cập nhật consensus client, kiểm tra log, khởi động lại dịch vụ, xoay vòng chứng chỉ, theo dõi dung lượng ổ đĩa hoặc vá hệ điều hành.

Người vận hành full node có thể dùng SSH để quản trị execution client, cấu hình mạng, quản lý bộ nhớ lưu trữ và bảo vệ endpoint RPC.

Người vận hành đào có thể dùng SSH để quản lý máy chủ pool, công cụ giám sát, bộ điều khiển firmware hoặc hạ tầng hỗ trợ hoạt động đào.

Nhà phát triển có thể dùng khóa SSH để triển khai mã, kết nối nền tảng quản lý mã nguồn hoặc truy cập hạ tầng production.

Hướng dẫn chạy node của Ethereum giải thích rằng việc chạy node và validator cần phần mềm, client, đồng bộ hóa, API và thiết lập vận hành.

Vì các máy chủ này có thể kiểm soát hạ tầng crypto có giá trị, bảo mật truy cập yếu có thể trở thành rủi ro tài chính nghiêm trọng.

Đăng nhập bằng mật khẩu có thể bị lộ qua tấn công brute-force, tái sử dụng mật khẩu, phishing, malware hoặc chia sẻ ngoài ý muốn.

Xác thực SSH dựa trên khóa giúp giảm sự phụ thuộc vào mật khẩu bằng cách sử dụng mật mã bất đối xứng.

Đối với hoạt động crypto, một khóa công khai SSH được quản lý tốt có thể là phần cơ bản nhưng quan trọng của bảo mật hạ tầng.

Cách xác thực bằng khóa công khai SSH hoạt động

Xác thực bằng khóa công khai SSH hoạt động thông qua cặp khóa công khai và khóa riêng tư khớp nhau.

Khóa công khai được sao chép vào tài khoản máy chủ được phép truy cập.

Khóa riêng tư được giữ trên máy tính cục bộ, thiết bị phần cứng hoặc trình quản lý khóa an toàn của người dùng.

Khi người dùng kết nối đến máy chủ, client SSH chứng minh quyền sở hữu khóa riêng tư mà không gửi khóa riêng tư tới máy chủ.

Máy chủ đối chiếu bằng chứng đó với khóa công khai đã lưu.

Nếu bằng chứng hợp lệ và quyền tài khoản chính xác, máy chủ cho phép đăng nhập.

Nếu khóa riêng tư không khớp với khóa công khai đã lưu, xác thực sẽ thất bại.

Tài liệu OpenSSH của Microsoft giải thích rằng máy chủ SSH và client so sánh khóa công khai phía máy chủ với khóa riêng tư phía client trong quá trình xác thực dựa trên khóa.

Mô hình này mạnh vì khóa riêng tư không cần truyền qua mạng.

Tuy nhiên, nó cũng nguy hiểm nếu khóa riêng tư bị đánh cắp, vì kẻ tấn công có thể đăng nhập ở bất cứ đâu khóa công khai tương ứng được cấp quyền.

Khóa công khai và khóa riêng tư

Khóa công khai SSH và khóa riêng tư SSH được tạo cùng nhau thành một cặp.

Khóa công khai được thiết kế để sao chép đến máy chủ, tài khoản lưu trữ mã và các hệ thống khác cần nhận diện người dùng.

Khóa riêng tư được thiết kế để giữ bí mật trên thiết bị hoặc kho lưu trữ khóa an toàn của người dùng.

Tài liệu ssh-keygen của OpenBSD giải thích rằng ssh-keygen tạo khóa xác thực cho SSH và lưu khóa công khai cùng tên với khóa riêng tư, kèm phần mở rộng .pub.

Nếu ai đó chỉ có khóa công khai, thông thường họ không thể đăng nhập với danh nghĩa người dùng.

Nếu ai đó có khóa riêng tư và bất kỳ passphrase cần thiết nào, họ có thể đăng nhập với danh nghĩa người dùng trên các máy chủ tin cậy khóa công khai đó.

Đây là lý do khóa công khai có thể được chia sẻ, trong khi khóa riêng tư phải được bảo vệ như một bí mật có giá trị cao.

Trong hạ tầng crypto, việc đánh cắp khóa riêng tư SSH có thể dẫn đến xâm phạm máy chủ, validator ngừng hoạt động, can thiệp cấu hình, cài malware hoặc đánh cắp tệp nhạy cảm.

Khóa công khai là dấu hiệu nhận dạng, còn khóa riêng tư là bằng chứng.

Không bao giờ tải khóa riêng tư lên máy chủ, ứng dụng chat, hệ thống ticket, kho lưu trữ công khai hoặc tài liệu dùng chung.

Khóa công khai SSH và khóa công khai ví crypto

Khóa công khai SSH khác với khóa công khai ví crypto.

Khóa công khai SSH được dùng để xác thực máy chủ.

Khóa công khai ví được dùng trong mật mã blockchain và liên quan đến địa chỉ, chữ ký và quyền sở hữu tài sản.

Khóa công khai SSH không nhận tiền mã hóa trên blockchain.

Khóa công khai ví hoặc địa chỉ được dẫn xuất từ khóa đó thông thường không dùng để đăng nhập máy chủ qua SSH.

Cả hai khái niệm đều sử dụng mật mã khóa công khai, nhưng thuộc các hệ thống khác nhau.

Nhầm lẫn chúng có thể dẫn đến sai lầm nghiêm trọng.

Người dùng không nên dán cụm từ khôi phục ví vào công cụ SSH.

Người dùng không nên dùng khóa ký validator làm khóa SSH thông thường.

Người dùng nên tách biệt khóa truy cập hạ tầng với khóa ví, khóa validator, khóa rút và API key.

Khóa công khai SSH và địa chỉ blockchain

Khóa công khai SSH không phải địa chỉ blockchain.

Địa chỉ blockchain thường là biểu diễn ngắn hơn được dẫn xuất từ khóa công khai ví hoặc cấu trúc tài khoản.

Khóa công khai SSH thường là chuỗi văn bản dài hơn được phần mềm SSH sử dụng để xác thực người dùng hoặc host.

Địa chỉ blockchain có thể được chia sẻ để người khác gửi token hoặc xem hoạt động on-chain.

Khóa công khai SSH có thể được chia sẻ để quản trị viên máy chủ cấp quyền đăng nhập.

Việc chia sẻ địa chỉ blockchain có thể ảnh hưởng đến quyền riêng tư tài chính vì người khác có thể kiểm tra lịch sử on-chain công khai.

Chia sẻ khóa công khai SSH thường tiết lộ ít thông tin tài chính hơn, nhưng vẫn có thể nhận diện một người hoặc thiết bị trong log hạ tầng.

Địa chỉ blockchain chứng minh nơi có thể gửi tài sản.

Khóa công khai SSH chứng minh khóa riêng tư nào có thể truy cập tài khoản máy chủ.

Cả hai nên được xử lý cẩn thận, nhưng được sử dụng cho các mối quan hệ tin cậy khác nhau.

Khóa công khai SSH trông như thế nào?

Khóa công khai SSH thường là một dòng văn bản duy nhất.

Khóa này thường bắt đầu bằng loại khóa như ssh-ed25519, ecdsa-sha2-nistp256 hoặc ssh-rsa.

Phần giữa là một giá trị khóa được mã hóa dài.

Phần cuối có thể gồm nhận xét như tên người dùng, email, tên thiết bị hoặc nhãn tạo khóa.

Nhận xét giúp con người nhận diện khóa về sau.

Bản thân nhận xét không mang lại bảo mật.

Tệp khóa công khai thường kết thúc bằng .pub.

Tệp khóa riêng tư tương ứng có thể có tên tương tự nhưng không có đuôi .pub.

Tài liệu ssh-keygen của OpenBSD giải thích rằng khóa công khai được lưu trong tệp cùng tên với khóa riêng tư, cộng thêm hậu tố .pub.

Người dùng luôn nên xác nhận rằng mình đang sao chép tệp .pub thay vì tệp khóa riêng tư.

authorized_keys

Tệp authorized_keys là tệp phổ biến phía máy chủ liệt kê các khóa công khai SSH được phép đăng nhập với tư cách một người dùng cụ thể.

Trên nhiều hệ thống tương tự Unix, tệp này nằm trong thư mục .ssh của người dùng.

Khi khóa công khai được thêm vào authorized_keys, khóa riêng tư tương ứng có thể xác thực với tài khoản đó nếu quyền và cài đặt máy chủ SSH cho phép.

Tệp này cực kỳ quan trọng vì xác định ai có thể đăng nhập qua xác thực dựa trên khóa.

Một khóa cũ bị quên trong authorized_keys có thể trở thành backdoor ẩn.

Khóa công khai được sao chép vào sai tài khoản người dùng có thể cấp sai quyền truy cập.

Tệp authorized_keys của tài khoản root đặc biệt nhạy cảm vì quyền root có thể kiểm soát toàn bộ máy chủ.

Người vận hành node crypto nên thường xuyên xem xét authorized_keys và xóa các khóa không còn cần thiết.

Nếu có thể, quyền truy cập nên được cấp cho tài khoản người dùng được định danh có sudo thay vì đăng nhập root trực tiếp.

Thực hành tốt với authorized_keys giúp giảm phạm vi ảnh hưởng khi khóa riêng tư bị đánh cắp.

ssh-keygen

ssh-keygen là công cụ tiêu chuẩn được dùng để tạo và quản lý cặp khóa SSH trong OpenSSH.

Tài liệu ssh-keygen của OpenBSD nêu rằng ssh-keygen tạo, quản lý và chuyển đổi khóa xác thực cho SSH.

Tài liệu này cũng nêu rằng nếu không chỉ định loại khóa, ssh-keygen sẽ tạo khóa Ed25519 theo mặc định.

Ed25519 thường được sử dụng hiện nay vì hiện đại, gọn nhẹ và hiệu quả cho nhiều quy trình xác thực SSH.

Một số hệ thống vẫn hỗ trợ khóa RSA hoặc ECDSA nhằm tương thích.

Các thuật toán cũ hoặc độ dài khóa ngắn có thể không được khuyến nghị tùy môi trường và chính sách.

Người dùng nên tuân theo hướng dẫn hiện hành của hệ điều hành và OpenSSH khi chọn loại khóa.

Khi tạo khóa nên thêm nhận xét rõ ràng để khóa có thể được nhận diện sau này.

Đối với hạ tầng crypto, các nhận xét như validator-admin-laptop-2026 hoặc node-maintenance-key có thể giúp việc kiểm tra dễ hơn.

Một khóa không thể nhận diện không nên tiếp tục được tin cậy trên máy chủ production.

Passphrase

Passphrase mã hóa hoặc bảo vệ khóa riêng tư khi ở trạng thái lưu trữ.

Tài liệu ssh-keygen của OpenBSD giải thích rằng ssh-keygen yêu cầu passphrase khi tạo khóa và passphrase bị mất không thể khôi phục.

Passphrase bổ sung lớp bảo vệ nếu tệp khóa riêng tư bị sao chép hoặc đánh cắp từ laptop.

Không có passphrase, khóa riêng tư bị đánh cắp có thể được kẻ tấn công sử dụng ngay lập tức.

Có passphrase, kẻ tấn công cũng phải đoán hoặc đánh cắp passphrase.

Điều này không làm hệ thống yếu trở nên an toàn, nhưng cải thiện khả năng phòng vệ.

Người vận hành hạ tầng crypto thường nên bảo vệ các khóa riêng tư SSH quan trọng bằng passphrase mạnh.

Hệ thống tự động có thể cần xử lý đặc biệt vì lời nhắc nhập passphrase không có người giám sát có thể làm script ngừng hoạt động.

Đối với tự động hóa, đội ngũ nên sử dụng khóa bị hạn chế, quyền giới hạn, giới hạn lệnh, chứng chỉ thời hạn ngắn hoặc công cụ quản lý bí mật an toàn khi phù hợp.

Passphrase không thay thế cho việc rà soát quyền truy cập, đặc quyền tối thiểu và xoay vòng khóa.

ssh-agent

ssh-agent là công cụ có thể giữ khóa riêng tư đã giải mã trong bộ nhớ để người dùng không cần nhập passphrase cho mỗi lần kết nối.

Tài liệu OpenSSH của Microsoft liệt kê ssh-agent và ssh-add là công cụ lưu trữ khóa riêng tư an toàn trong quy trình xác thực dựa trên khóa.

ssh-agent tăng tính thuận tiện, nhưng cũng tạo rủi ro nếu agent forwarding hoặc bảo mật máy cục bộ yếu.

Agent forwarding cho phép người dùng kết nối qua một máy chủ đến máy chủ khác bằng agent cục bộ.

Điều này có thể thuận tiện cho quản trị viên, nhưng có thể làm lộ cơ hội xác thực nếu máy chủ trung gian bị xâm phạm.

Người vận hành crypto nên tránh agent forwarding không cần thiết trên hạ tầng validator và node.

Nếu cần agent forwarding, chỉ nên sử dụng cho host đáng tin cậy và phiên giới hạn.

Một mô hình tốt hơn thường là kết nối trực tiếp từ máy trạm quản trị an toàn hoặc sử dụng bastion host được tăng cường bảo mật.

ssh-agent hữu ích nhưng nên được xem là một phần của ranh giới bảo mật.

Máy trạm bị xâm phạm có thể làm lộ mọi danh tính SSH đã được nạp vào agent.

Khóa công khai SSH cho node validator

Node validator thường cần truy cập máy chủ an toàn vì người vận hành phải cập nhật phần mềm, theo dõi thời gian hoạt động, kiểm tra log và phản hồi sự cố.

Khóa công khai SSH giúp validator tránh đăng nhập dựa trên mật khẩu trên những máy chủ có thể là mục tiêu của kẻ tấn công.

Một solo staker Ethereum có thể dùng SSH để quản lý execution client, consensus client, validator client, firewall, agent giám sát và dịch vụ hệ thống.

Hướng dẫn node Ethereum giải thích rằng tự vận hành validator là cách ít phải tin cậy nhất để hỗ trợ mạng, nhưng cần hạ tầng và khoản nạp validator.

Hạ tầng đó nên được bảo vệ cẩn thận vì validator ngừng hoạt động có thể làm giảm phần thưởng.

Máy chủ validator bị xâm phạm có thể gây bỏ lỡ attestations, cấu hình sai hoặc gián đoạn vận hành.

Quyền truy cập SSH thường không trực tiếp kiểm soát thông tin xác thực rút tiền nếu chúng được lưu trữ an toàn ở nơi khác.

Tuy nhiên, việc xâm phạm máy chủ vẫn có thể tạo ra rủi ro nghiêm trọng qua malware, đánh cắp dữ liệu, thay đổi cấu hình hoặc phát hiện khóa.

Validator nên tách biệt khóa SSH khỏi khóa ký validator và khóa rút.

Không nên xem quyền truy cập hạ tầng là cùng miền bảo mật với hoạt động lưu ký tài sản.

Khóa công khai SSH cho full node

Full node cũng hưởng lợi từ xác thực bằng khóa công khai SSH.

Full node có thể lưu dữ liệu blockchain, cung cấp API cục bộ, phục vụ ví, xác thực giao dịch hoặc hỗ trợ ứng dụng.

Hướng dẫn node Ethereum cảnh báo rằng việc công khai endpoint RPC có thể khiến chúng có thể truy cập qua mạng cục bộ và địa chỉ IP công khai nếu cấu hình không đúng.

Quyền truy cập SSH thường được dùng để quản lý các cài đặt node và quy tắc firewall đó.

Nếu kẻ tấn công có quyền truy cập SSH vào full node, họ có thể thay đổi cài đặt RPC, đọc tệp cấu hình, làm gián đoạn dịch vụ hoặc chuyển hướng lưu lượng.

Full node có thể không lưu khóa riêng tư của ví, nhưng vẫn có thể nhạy cảm về bảo mật.

Ví dụ, node bị xâm phạm có thể cung cấp dữ liệu sai cho người dùng, làm gián đoạn ứng dụng hoặc làm lộ chi tiết mạng nội bộ.

Quyền truy cập bằng khóa công khai SSH nên giới hạn cho các quản trị viên thực sự cần.

Khóa cũ nên được xóa khi nhà thầu, nhân viên, thiết bị hoặc script không còn cần quyền truy cập.

Full node là một phần của mô hình tin cậy crypto, do đó kiểm soát truy cập máy chủ rất quan trọng.

Khóa công khai SSH cho nhà phát triển crypto

Nhà phát triển crypto sử dụng khóa công khai SSH cho lưu trữ mã, triển khai, môi trường kiểm thử và quản trị máy chủ.

Nền tảng Git thường cho phép người dùng thêm khóa công khai SSH để có thể push và pull repository mà không cần nhập mật khẩu mỗi lần.

Hướng dẫn GitHub tạo khóa SSH và thêm vào ssh-agent giải thích cách người dùng có thể tạo khóa SSH mới và thêm vào ssh-agent.

Điều này quan trọng với đội ngũ crypto vì mã nguồn, script triển khai và repository hạ tầng có thể rất nhạy cảm.

Khóa SSH của nhà phát triển bị xâm phạm có thể làm lộ mã hợp đồng thông minh, pipeline triển khai, hệ thống build hoặc máy chủ production.

Nhà phát triển nên sử dụng khóa SSH riêng cho công việc cá nhân, hạ tầng công ty, hệ thống production và triển khai tự động.

Họ nên xóa khóa cũ khỏi nền tảng mã khi thay thiết bị hoặc thành viên rời đội ngũ.

Họ nên tránh commit khóa riêng tư vào repository.

Họ cũng nên dùng commit có chữ ký hoặc phương pháp xác minh khác khi dự án cần tính toàn vẹn quản lý mã nguồn mạnh hơn.

Khóa SSH là một phần của bảo mật chuỗi cung ứng phần mềm, không chỉ là sự tiện lợi khi đăng nhập máy chủ.

Khóa công khai SSH và hạ tầng đào

Hoạt động đào thường sử dụng khóa SSH để quản lý máy chủ, hệ thống giám sát, proxy, công cụ firmware và hạ tầng backend.

Ngay cả khi thiết bị đào dùng hệ thống quản lý riêng, các máy chủ hỗ trợ vẫn có thể dựa vào SSH.

Khóa riêng tư SSH bị đánh cắp có thể cho phép kẻ tấn công làm gián đoạn hoạt động đào hoặc chuyển hướng dữ liệu cấu hình.

Đối với miner Proof of Work, thời gian ngừng hoạt động có thể dẫn đến mất doanh thu trực tiếp vì máy vẫn tiêu thụ điện hoặc ngừng gửi công việc hữu ích.

Người vận hành đào nên sử dụng các khóa riêng cho giám sát, triển khai, truy cập khẩn cấp và tự động hóa.

Họ nên tránh sử dụng một khóa riêng tư trên mọi máy chủ trong cụm máy đào.

Một khóa bị sử dụng quá mức sẽ tạo phạm vi ảnh hưởng lớn nếu bị xâm phạm.

Quyền truy cập nên tuân theo nguyên tắc đặc quyền tối thiểu, nghĩa là mỗi khóa chỉ nên được phép truy cập cần thiết cho vai trò của nó.

Hạ tầng đào có thể không giữ tiền trong ví, nhưng vẫn có thể ảnh hưởng đến doanh thu và tính liên tục trong vận hành.

Vì vậy, quản lý khóa công khai SSH là một phần của bảo mật hoạt động đào.

Khóa công khai SSH và máy chủ đám mây

Nhiều node và validator crypto chạy trên máy chủ riêng ảo, hosting bare-metal hoặc hạ tầng đám mây.

Nhà cung cấp đám mây thường yêu cầu người dùng tải lên khóa công khai SSH khi tạo máy chủ mới.

Nhà cung cấp cài khóa công khai đó để người dùng có thể đăng nhập an toàn sau khi máy chủ được khởi chạy.

Điều này an toàn hơn việc gửi mật khẩu qua email hoặc dựa vào mật khẩu mặc định.

Tuy nhiên, việc tải khóa công khai lên không tự động khiến toàn bộ máy chủ an toàn.

Khóa riêng tư vẫn phải được bảo vệ.

Máy chủ vẫn phải được vá.

Quy tắc firewall vẫn phải được cấu hình cẩn thận.

Cổng RPC, API validator, dashboard và bảng quản trị không nên bị công khai trừ khi người vận hành hiểu rủi ro.

Khóa công khai SSH là một phần của việc tăng cường bảo mật máy chủ đám mây, không phải toàn bộ kế hoạch bảo mật.

Khóa host và khóa người dùng

SSH sử dụng cả khóa người dùng và khóa host.

Khóa người dùng xác thực người hoặc hệ thống đang cố đăng nhập.

Khóa host xác thực máy chủ với client.

Khi người dùng kết nối máy chủ lần đầu, client SSH có thể hỏi có tin cậy fingerprint khóa host của máy chủ hay không.

Việc kiểm tra này giúp ngăn tấn công man-in-the-middle, trong đó kẻ tấn công giả làm máy chủ.

Khóa công khai người dùng được đưa vào authorized_keys trên máy chủ.

Khóa công khai host được client dùng để xác minh danh tính máy chủ và thường được lưu trong known_hosts sau khi chấp nhận.

Người vận hành crypto không nên bỏ qua cảnh báo khóa host một cách mù quáng.

Khóa host thay đổi có thể vô hại sau khi xây dựng lại máy chủ, nhưng cũng có thể báo hiệu việc chặn bắt hoặc thay thế máy chủ.

Khóa người dùng kiểm soát ai có thể đăng nhập, còn khóa host giúp chứng minh người dùng đang kết nối đúng máy chủ nào.

Fingerprint

Fingerprint SSH là biểu diễn ngắn hơn của khóa công khai, được dùng để xác minh.

Fingerprint giúp dễ so sánh khóa hơn mà không phải đọc chuỗi khóa công khai dài.

Tài liệu ssh-keygen của OpenBSD có các tùy chọn hiển thị fingerprint khóa.

Khi thêm khóa vào máy chủ, người dùng có thể so sánh fingerprint với nguồn đáng tin cậy để xác nhận khóa chính xác đang được cài đặt.

Khi kết nối đến máy chủ, người dùng có thể so sánh fingerprint khóa host với giá trị tốt đã biết.

Điều này quan trọng với hạ tầng crypto vì khóa sai có thể cấp quyền cho sai người hoặc kết nối người vận hành đến sai máy chủ.

Fingerprint đặc biệt hữu ích trong các đội ngũ mà khóa được phê duyệt qua ticket, hệ thống kiểm soát truy cập hoặc rà soát bảo mật.

Nhận xét khóa công khai có thể dễ dàng bị thay đổi, nhưng fingerprint được dẫn xuất từ chính khóa đó.

Người vận hành nên dựa vào fingerprint để kiểm tra danh tính thay vì chỉ dựa vào nhận xét.

Xác minh fingerprint tốt giúp giảm sai sót trong quá trình cấp khóa và phản hồi sự cố.

Xoay vòng khóa

Xoay vòng khóa là việc thay thế các cặp khóa SSH cũ bằng cặp mới và xóa khóa công khai cũ khỏi các hệ thống được cấp quyền.

Xoay vòng quan trọng khi laptop bị mất, nhân viên nghỉ việc, nhà thầu hoàn thành công việc, khóa có thể đã bị lộ hoặc thuật toán trở nên lỗi thời.

Hướng dẫn quản lý khóa NIST SP 800-57 cung cấp hướng dẫn chung về quản lý vật liệu khóa mật mã và các vấn đề quản lý khóa.

Đối với đội ngũ crypto, việc xoay vòng khóa nên được lên kế hoạch trước khi xảy ra tình huống khẩn cấp.

Đội ngũ nên biết mỗi khóa công khai được cài ở đâu.

Đội ngũ nên biết ai sở hữu mỗi khóa.

Đội ngũ nên biết máy chủ, repository và hệ thống triển khai nào tin cậy mỗi khóa.

Không có danh mục, khóa công khai SSH cũ có thể tiếp tục hoạt động nhiều năm.

Điều đó tạo ra bề mặt tấn công không cần thiết.

Xoay vòng khóa tốt biến khóa SSH thành thông tin xác thực được quản lý thay vì những tệp bị lãng quên.

Danh mục khóa

Danh mục khóa là hồ sơ về khóa công khai SSH, chủ sở hữu, mục đích, máy chủ được cấp quyền, ngày tạo và ngày xóa.

Báo cáo NISTIR 7966 về quản lý truy cập SSH tập trung vào quản lý khóa người dùng SSH và giải thích rằng truy cập dựa trên SSH cần quy trình cấp phát, chấm dứt và giám sát.

Điều này đặc biệt phù hợp với công ty crypto, validator và đội ngũ hạ tầng vì quyền truy cập SSH có thể có đặc quyền cao.

Danh mục khóa nên trả lời ai có thể truy cập từng máy chủ.

Nó nên giải thích lý do tồn tại của quyền truy cập đó.

Nó nên cho biết khi nào quyền truy cập cần hết hạn.

Nó nên ghi lại liệu khóa thuộc về con người, tác vụ tự động hóa, pipeline triển khai hay tài khoản khẩn cấp.

Không có danh mục, không ai có thể tự tin xóa khóa cũ.

Không xóa, khóa cũ sẽ trở thành quyền truy cập ẩn vĩnh viễn.

Quản lý khóa công khai SSH mạnh bắt đầu bằng việc biết các khóa nào đang tồn tại.

Đặc quyền tối thiểu

Đặc quyền tối thiểu nghĩa là mỗi khóa SSH chỉ nên cấp quyền truy cập cần thiết cho mục đích của nó.

Khóa giám sát không nên có quyền root nếu chỉ cần đọc số liệu.

Khóa triển khai không nên có khả năng rút tài sản, chỉnh sửa khóa validator hoặc đọc bí mật không liên quan.

Khóa của nhà thầu nên hết hạn khi dự án kết thúc.

Nếu có thể, khóa tự động hóa nên bị giới hạn ở lệnh hoặc thư mục cần thiết.

Dùng một khóa quản trị ở mọi nơi thì thuận tiện, nhưng tạo rủi ro cao.

Nếu khóa riêng tư đó bị xâm phạm, mọi máy chủ tin cậy có thể bị lộ.

Hạ tầng crypto nên xem quyền truy cập SSH là một hệ thống kiểm soát có phân quyền.

Các vai trò khác nhau nên dùng các khóa khác nhau.

Các môi trường như kiểm thử, staging và production nên có quy tắc truy cập khác nhau.

Khóa công khai SSH và đăng nhập root

Đăng nhập root cấp quyền quản trị trực tiếp vào máy chủ.

Đăng nhập SSH root trực tiếp có thể rủi ro vì cho kẻ tấn công quyền kiểm soát hoàn toàn ngay lập tức nếu đăng nhập thành công.

Nhiều người vận hành vô hiệu hóa đăng nhập root trực tiếp và thay vào đó dùng tài khoản người dùng được định danh với sudo.

Điều này có thể cải thiện khả năng giải trình vì lệnh quản trị có thể được liên kết với một tài khoản cụ thể.

Điều này cũng có thể giảm rủi ro tấn công tự động nhằm vào người dùng root.

Đối với node crypto và máy chủ validator, quyền truy cập root trực tiếp nên được giới hạn cẩn thận.

Tài khoản quản trị được định danh chỉ nên có các khóa công khai SSH cần thiết cho người vận hành thực tế.

Các mục authorized_keys root cũ nên được xóa trong quá trình kiểm tra máy chủ.

Quyền truy cập khẩn cấp nên được ghi lại và bảo vệ thay vì ứng biến.

Quyền root đủ mạnh để làm gián đoạn hạ tầng blockchain dù không thể trực tiếp chi tiêu tiền trong ví.

Khóa công khai SSH và đăng nhập bằng mật khẩu

Xác thực bằng khóa công khai SSH thường được dùng để giảm hoặc vô hiệu hóa đăng nhập bằng mật khẩu.

Tài liệu OpenSSH của Microsoft lưu ý rằng xác thực bằng tên người dùng và mật khẩu có thể dễ bị xâm nhập brute-force khi hệ thống vận hành xuyên miền hoặc trong môi trường đám mây.

Đối với máy chủ kết nối internet, đăng nhập bằng mật khẩu có thể thu hút nỗ lực đoán tự động liên tục.

Xác thực dựa trên khóa có thể khiến các cuộc tấn công này kém hiệu quả hơn vì kẻ tấn công cần khóa riêng tư thay vì chỉ mật khẩu đoán được.

Tuy nhiên, xác thực dựa trên khóa không phải phép màu.

Nếu khóa riêng tư bị đánh cắp, không được mã hóa hoặc tái sử dụng ở mọi nơi, rủi ro sẽ nghiêm trọng.

Thiết lập tốt thường kết hợp khóa SSH, vô hiệu hóa đăng nhập mật khẩu, không đăng nhập root trực tiếp, quy tắc firewall, quản lý cập nhật và giám sát.

Một số đội ngũ cũng sử dụng VPN, bastion host, khóa có nền tảng phần cứng hoặc SSH dựa trên chứng chỉ.

Hạ tầng crypto nên dùng phòng vệ nhiều lớp vì kẻ tấn công có thể nhắm vào cả mật khẩu lẫn khóa.

Vô hiệu hóa đăng nhập mật khẩu có thể có giá trị, nhưng quản lý vòng đời khóa vẫn thiết yếu.

Khóa SSH có nền tảng phần cứng

Khóa SSH có nền tảng phần cứng lưu trữ vật liệu khóa riêng tư trên thiết bị xác thực hoặc thiết bị bảo mật phần cứng.

Điều này có thể giảm khả năng malware chỉ đơn giản sao chép tệp khóa riêng tư từ laptop.

OpenSSH hiện đại hỗ trợ các loại khóa security-key như ecdsa-sk và ed25519-sk trong môi trường hỗ trợ thiết bị xác thực tương thích.

Tài liệu ssh-keygen của OpenBSD liệt kê các loại khóa security-key trong số các tùy chọn tạo khóa được hỗ trợ.

Khóa SSH có nền tảng phần cứng có thể hữu ích cho quản trị viên hạ tầng crypto vì quyền truy cập máy chủ có thể rất nhạy cảm.

Chúng cũng tạo ra nhu cầu lập kế hoạch vận hành vì thiết bị bị mất cần được khôi phục và thay khóa.

Đội ngũ nên duy trì quy trình truy cập khẩn cấp không phụ thuộc vào khóa phần cứng của một người.

Khóa phần cứng mạnh nhất khi kết hợp với danh mục tốt, phân tách vai trò và xóa khóa công khai cũ.

Chúng không bảo vệ trước mọi cuộc tấn công, chẳng hạn lệnh độc hại sau khi đăng nhập hợp lệ.

Nên xem chúng là một biện pháp kiểm soát mạnh trong hệ thống bảo mật rộng hơn.

Chứng chỉ SSH

Chứng chỉ SSH là khóa công khai SSH được ký, có thể hỗ trợ quản lý quyền truy cập tập trung hơn và có giới hạn thời gian.

Thay vì sao chép khóa công khai của mỗi người dùng đến mọi máy chủ, máy chủ có thể tin cậy cơ quan cấp chứng chỉ và chấp nhận chứng chỉ người dùng được cơ quan đó ký.

Tài liệu ssh-keygen của OpenBSD hỗ trợ ký danh tính chứng chỉ bằng khóa của cơ quan cấp chứng chỉ.

Chứng chỉ SSH có thể giúp đội ngũ crypto lớn quản lý quyền truy cập gọn gàng hơn.

Chúng có thể cho phép quyền truy cập ngắn hạn cho kỹ sư, nhà thầu, người phản ứng sự cố hoặc tự động hóa.

Chúng có thể giảm vấn đề các mục authorized_keys bị lãng quên.

Chúng đòi hỏi bảo vệ cẩn thận khóa cơ quan cấp chứng chỉ.

Nếu khóa cơ quan cấp chứng chỉ bị xâm phạm, kẻ tấn công có thể phát hành chứng chỉ truy cập được tin cậy.

Đội ngũ nhỏ có thể dùng tệp authorized_keys cơ bản, trong khi đội ngũ lớn có thể hưởng lợi từ quyền truy cập dựa trên chứng chỉ.

Thiết kế tốt nhất phụ thuộc vào quy mô đội ngũ, quy mô hạ tầng và mức độ trưởng thành bảo mật.

Khóa công khai SSH và tự động hóa

Tự động hóa thường sử dụng khóa SSH cho triển khai, sao lưu, giám sát, chuyển tệp và hoạt động máy chủ với máy chủ.

Quyền truy cập SSH tự động có thể mạnh vì có thể chạy mà không cần con người nhập passphrase mỗi lần.

Điều này khiến khóa tự động hóa có rủi ro cao nếu không bị hạn chế.

Khóa tự động hóa không nên được tái sử dụng cho các tác vụ không liên quan.

Khóa này không nên có quyền truy cập shell tương tác nếu chỉ cần chạy một lệnh.

Khóa này không nên tiếp tục hoạt động sau khi tác vụ tự động hóa ngừng sử dụng.

Đội ngũ crypto nên đặc biệt cẩn thận với tự động hóa kết nối đến validator, node, cảnh báo giám sát và script triển khai.

Khóa triển khai bị xâm phạm có thể đẩy phần mềm xấu hoặc thay đổi cấu hình trên nhiều máy.

Khóa bị hạn chế có thể hạn chế thiệt hại nếu một thành phần bị xâm phạm.

Tự động hóa khiến quản lý khóa quan trọng hơn, không phải ít quan trọng hơn.

Thực tiễn tốt nhất về bảo mật khóa công khai SSH

Sử dụng loại khóa hiện đại được hệ điều hành và hạ tầng hỗ trợ.

Bảo vệ khóa riêng tư bằng passphrase mạnh khi phù hợp.

Sử dụng khóa riêng cho các vai trò, thiết bị và môi trường riêng.

Xóa khóa công khai cũ khỏi tệp authorized_keys và tài khoản lưu trữ mã.

Vô hiệu hóa đăng nhập bằng mật khẩu trên máy chủ kết nối internet khi có kế hoạch khôi phục dựa trên khóa an toàn.

Tránh đăng nhập SSH root trực tiếp trừ khi có lý do chính đáng và biện pháp kiểm soát bổ sung.

Áp dụng đặc quyền tối thiểu cho khóa của con người và tự động hóa.

Duy trì danh mục khóa, chủ sở hữu, mục đích và ngày hết hạn.

Xác minh fingerprint khóa host thay vì chấp nhận cảnh báo một cách mù quáng.

Không bao giờ lưu khóa riêng tư trong repository công khai, chat dùng chung, ảnh chụp màn hình hoặc thư mục đám mây mà không có mã hóa mạnh và kiểm soát truy cập.

Các lỗi phổ biến với khóa công khai SSH

Một lỗi phổ biến là sao chép khóa riêng tư thay vì khóa công khai.

Một lỗi khác là dùng cùng một khóa SSH cho mọi máy chủ và mọi vai trò.

Lỗi thứ ba là để lại khóa công khai cũ trong authorized_keys sau khi một người hoặc thiết bị không còn cần quyền truy cập.

Lỗi thứ tư là không dùng passphrase cho khóa riêng tư quan trọng được lưu trên laptop.

Lỗi thứ năm là bật agent forwarding ở mọi nơi mà không hiểu rủi ro.

Lỗi thứ sáu là tin cậy lời nhắc khóa host không xác định mà không xác minh fingerprint.

Lỗi thứ bảy là cấp khóa tự động hóa quyền truy cập shell đầy đủ khi chỉ cần một lệnh giới hạn.

Lỗi thứ tám là nhầm lẫn khóa công khai SSH với khóa công khai ví crypto.

Lỗi thứ chín là lưu bí mật validator, khóa ví và khóa SSH cùng nhau trên một máy chủ được bảo vệ kém.

Lỗi thứ mười là cho rằng chỉ khóa công khai là đủ để bảo mật máy chủ blockchain production.

Lợi ích của khóa công khai SSH

Lợi ích đầu tiên của khóa công khai SSH là bảo mật đăng nhập từ xa mạnh hơn so với truy cập chỉ dùng mật khẩu đơn giản.

Lợi ích thứ hai là giảm mức độ tiếp xúc với việc đoán mật khẩu brute-force.

Lợi ích thứ ba là kiểm soát truy cập dễ hơn cho máy chủ cần quản trị thường xuyên.

Lợi ích thứ tư là tương thích với quy trình làm việc của nhà phát triển, hệ thống quản lý mã nguồn, công cụ triển khai và máy chủ đám mây.

Lợi ích thứ năm là khả năng dùng passphrase, agent, khóa phần cứng hoặc chứng chỉ để quản lý mạnh hơn.

Lợi ích thứ sáu là khả năng kiểm tra tốt hơn khi mỗi người và vai trò có một khóa riêng.

Lợi ích thứ bảy là vận hành hạ tầng crypto an toàn hơn khi khóa được quản lý đúng cách.

Các lợi ích này mạnh nhất khi khóa công khai được lập danh mục, rà soát, xoay vòng và xóa khi không còn cần thiết.

Khóa công khai SSH đơn giản để tạo, nhưng quản lý tốt là trách nhiệm liên tục.

Đối với đội ngũ crypto, lợi ích không chỉ là thuận tiện mà còn là giảm rủi ro vận hành.

Rủi ro và hạn chế của khóa công khai SSH

Rủi ro đầu tiên là đánh cắp khóa riêng tư.

Nếu kẻ tấn công đánh cắp khóa riêng tư không được bảo vệ, khóa công khai tương ứng có thể trở thành con đường vào máy chủ.

Rủi ro thứ hai là sự lan rộng của khóa.

Sự lan rộng của khóa xảy ra khi khóa công khai được sao chép trên nhiều hệ thống và không ai biết chúng được tin cậy ở đâu.

Rủi ro thứ ba là quyền truy cập cũ.

Quyền truy cập cũ xảy ra khi khóa công khai cũ vẫn được cấp quyền sau khi người, thiết bị hoặc tác vụ tự động hóa không còn cần truy cập.

Rủi ro thứ tư là đặc quyền quá mức.

Một khóa có quyền root có thể gây thiệt hại lớn hơn nhiều so với khóa bị giới hạn trong tác vụ hẹp.

Rủi ro thứ năm là bảo mật máy trạm yếu.

Máy chủ an toàn vẫn có thể bị xâm phạm qua khóa bị đánh cắp từ laptop quản trị viên bị nhiễm malware.

Rủi ro thứ sáu là sự nhầm lẫn của con người giữa khóa SSH, khóa ví, API key và khóa validator.

Khóa công khai SSH hữu ích nhưng phải được quản lý như thông tin xác thực có đặc quyền.

Cách đánh giá thiết lập khóa công khai SSH

Trước tiên, xác nhận mọi khóa công khai được cấp quyền đều có chủ sở hữu đã biết.

Sau đó, xác nhận mỗi khóa đều có mục đích rõ ràng.

Kiểm tra liệu mỗi khóa có còn cần thiết hay không.

Kiểm tra liệu khóa riêng tư có được bảo vệ bằng passphrase, thiết bị phần cứng hoặc trình quản lý khóa an toàn hay không.

Kiểm tra liệu khóa có quyền truy cập máy chủ nhiều hơn mức cần thiết hay không.

Kiểm tra liệu đăng nhập root có bị vô hiệu hóa hoặc kiểm soát chặt chẽ hay không.

Kiểm tra liệu đăng nhập bằng mật khẩu có bị vô hiệu hóa khi phù hợp hay không.

Kiểm tra liệu fingerprint khóa host có được xác minh và cảnh báo known_hosts có được điều tra hay không.

Kiểm tra liệu khóa cũ có được xóa sau thay đổi nhân sự, thay thiết bị hoặc thay đổi tự động hóa hay không.

Một thiết lập SSH lành mạnh là thiết lập mà quyền truy cập có thể được giải thích, kiểm tra và thu hồi nhanh chóng.

Khóa công khai SSH và phản hồi sự cố

Nếu khóa riêng tư SSH có thể đã bị xâm phạm, khóa công khai tương ứng cần được xóa khỏi mọi máy chủ và dịch vụ tin cậy khóa đó.

Người dùng nên tạo cặp khóa mới trên thiết bị sạch.

Mọi máy chủ bị ảnh hưởng cần được kiểm tra về đăng nhập trái phép, tệp bị thay đổi, người dùng mới, tệp authorized_keys bị chỉnh sửa, malware và dịch vụ không mong đợi.

Người vận hành validator và node cũng nên kiểm tra cấu hình client, quy tắc firewall, mức độ công khai RPC, cảnh báo giám sát và log dịch vụ.

Nếu máy chủ validator production bị xâm phạm, người vận hành nên cân nhắc liệu khóa ký validator, tệp bảo vệ slashing hoặc dữ liệu liên quan đến rút tiền có thể bị lộ hay không.

Khóa SSH bị xâm phạm không chỉ là vấn đề đăng nhập.

Nó có thể trở thành sự cố toàn bộ hạ tầng.

Đội ngũ nên có quy trình thu hồi khóa SSH bằng văn bản trước khi xảy ra tình huống khẩn cấp.

Danh mục khóa giúp phản hồi sự cố nhanh hơn vì đội ngũ biết nơi cần xóa khóa công khai.

Khóa bị xâm phạm được thu hồi càng nhanh thì khoảng thời gian thiệt hại tiềm ẩn càng nhỏ.

FAQ

Khóa công khai SSH là gì?

Khóa công khai SSH là phần có thể chia sẻ của cặp khóa SSH mà máy chủ dùng để xác minh người dùng sở hữu khóa riêng tư tương ứng.

Khóa công khai SSH có an toàn để chia sẻ không?

Có. Khóa công khai SSH thường an toàn để chia sẻ, nhưng khóa riêng tư tương ứng phải luôn được giữ bí mật.

Khóa công khai SSH có giống khóa công khai ví crypto không?

Không. Khóa công khai SSH được dùng để xác thực máy chủ, trong khi khóa công khai ví crypto được dùng cho chữ ký blockchain và tạo địa chỉ.

Vì sao validator crypto sử dụng khóa công khai SSH?

Validator crypto sử dụng khóa công khai SSH để truy cập an toàn máy chủ từ xa chạy phần mềm validator, node, giám sát và bảo trì.

authorized_keys là gì?

authorized_keys là tệp phía máy chủ liệt kê các khóa công khai SSH được phép đăng nhập vào một tài khoản người dùng cụ thể.

Điều gì xảy ra nếu khóa riêng tư SSH của tôi bị đánh cắp?

Nếu khóa riêng tư SSH của bạn bị đánh cắp, kẻ tấn công có thể đăng nhập vào máy chủ nơi khóa công khai tương ứng được cấp quyền, đặc biệt khi khóa riêng tư không có passphrase mạnh hoặc bảo vệ phần cứng.

Tôi có nên dùng một khóa SSH cho tất cả máy chủ crypto không?

Không. Sử dụng khóa SSH riêng cho các vai trò, thiết bị và môi trường khác nhau giúp giảm thiệt hại nếu một khóa bị xâm phạm.

Khóa công khai SSH có kiểm soát tiền crypto của tôi không?

Không. Khóa công khai SSH không trực tiếp kiểm soát tiền crypto, nhưng có thể kiểm soát quyền truy cập vào máy chủ hỗ trợ hạ tầng crypto.

Tôi có thể xóa khóa công khai SSH không?

Có. Việc xóa khóa công khai SSH khỏi authorized_keys hoặc tài khoản dịch vụ sẽ thu hồi quyền truy cập của khóa riêng tư tương ứng trên hệ thống đó.

Loại khóa SSH nào tốt nhất?

Loại khóa tốt nhất phụ thuộc vào môi trường, nhưng OpenSSH hiện đại thường hỗ trợ Ed25519 và tùy chọn security-key, trong khi nhu cầu tương thích có thể yêu cầu các loại khóa được hỗ trợ khác.

Kết luận

Khóa công khai SSH là thông tin xác thực có thể chia sẻ dùng để cấp quyền truy cập máy chủ cho người sở hữu khóa riêng tư tương ứng.

Trong crypto, khóa công khai SSH quan trọng vì validator, full node, hạ tầng đào, máy chủ đám mây, pipeline triển khai và hệ thống nhà phát triển thường phụ thuộc vào quyền truy cập SSH.

Khóa công khai SSH không phải khóa công khai ví, địa chỉ blockchain, cụm từ khôi phục, khóa ký validator hoặc thông tin xác thực rút tiền.

Nó thuộc về kiểm soát truy cập hạ tầng thay vì quyền sở hữu tài sản trực tiếp on-chain.

Tuy nhiên, quản lý khóa SSH kém vẫn có thể tạo ra rủi ro crypto nghiêm trọng vì việc xâm phạm máy chủ có thể làm gián đoạn validator, làm lộ cấu hình node, thay đổi triển khai hoặc làm suy yếu hệ thống giám sát.

Thực hành tốt với khóa công khai SSH bao gồm bảo vệ khóa riêng tư, dùng passphrase hoặc khóa có nền tảng phần cứng, giới hạn quyền root, vô hiệu hóa đăng nhập bằng mật khẩu khi an toàn, duy trì danh mục khóa, xoay vòng khóa và xóa quyền truy cập cũ.

Đội ngũ cũng nên tách biệt khóa con người, khóa tự động hóa, khóa validator, khóa ví và API key.

Khóa công khai có thể được chia sẻ để thiết lập quyền truy cập, nhưng khóa riêng tư không bao giờ được chia sẻ hoặc tải lên.

Đối với người mới, khóa công khai SSH nên được hiểu là danh tính công khai để đăng nhập máy chủ.

Đối với người vận hành crypto nâng cao, đây là thông tin xác thực hạ tầng có đặc quyền, phải được quản lý thông qua chính sách, giám sát, đặc quyền tối thiểu và phản hồi sự cố.

Trong ngữ cảnh bảng thuật ngữ crypto, SSH Public Key nghĩa là phần công khai của cặp khóa xác thực SSH được dùng để cấp quyền truy cập từ xa an toàn vào các hệ thống có thể vận hành hoặc hỗ trợ hạ tầng blockchain.

Điểm chính là khóa công khai SSH cải thiện bảo mật hạ tầng crypto khi được quản lý tốt, nhưng có thể trở thành con đường truy cập nguy hiểm khi khóa riêng tư bị đánh cắp, khóa công khai cũ bị lãng quên hoặc quyền quá rộng.