SSH暗号鍵について、異なるデバイスで秘密鍵を同一で使うか

Question

あるウェブサービスにアクセスするためにSSH暗号鍵を使用します。

アクセスするクライアントデバイスは、デスクトップのMac１台と、Macbook１台です。
自己所有で他人物のシェアではありません。

デスクトップMacで暗号鍵を作成し使用しています。
もう１台のMacbookからもアクセスしたいとき、MacbookでデスクトップMacと異なる暗号鍵ペアを作成し、使い分けたほうが良いのでしょうか。
それともデスクトップMacの秘密鍵をMacbookへコピーし同一の秘密鍵を利用したほうが良いでしょうか。

この質問は、複数デバイスをある程度柔軟に使用するようなとき、暗号鍵というものはそれぞれデバイスごとに作成し使用したほうが良いのか、端末に関わらずユーザーごとに暗号鍵があれば良いので統一したほうが良いのかということを、定石としてお聞きできれば嬉しいです。
もちろんウェブサービス側で、１つのユーザーにつき複数の公開鍵を登録できないときは、選択の余地がありません。
SSH暗号鍵が必要なウェブサービスがいくつもある場合も想定でお願いします。

定石について、また本質的な考え方について、ご教示お願いいたします。

Answer 1

伝統的には、「秘密鍵は作成したデバイスから持ち出さない」ですが、これはコピー時の漏洩リスクを防ぐためだと思うので、手元にある2台のデバイス間のコピーであればリスクの無い方法でのコピーも可能でしょうから、コピーするメリットがあるなら、コピーしても良いのではと思います。

特に、デバイス自体の紛失リスクが、コピー時の漏洩リスクを上回るのであれば、「秘密鍵は作成したデバイスから持ち出さない」にメリットないですね。

Comments

[SmokeyBlues]

みなさまよりコメントいただいて、同一鍵を使うときのデバイス間のコピーの方法を考えていました。ネットワーク化されていれば、.ssh/以下にコピーできますが、普通はUSBメモリなどにコピー後移動などします。そうするとUSBメモリから削除したとはいえ、データ復旧レベルでファイル救出できてしまいます。データ削除レベルの厳格度みたいなことを考える必要が出てきます。他のデータも保存している場合は一部のファイルのみ厳格な削除や、USBメモリハード丸ごと初期化がそもそもできません。
であるからやはりデバイスごとに鍵ペアを作ったほうが良いと思えるようになってきました。

様々なウェブサービスのSSH管理画面をみてみました。
複数の公開鍵とそれがなにかをメモする機能がだいたいあるんですね。
１つのアカウントに複数の公開鍵の登録ができる仕様になっている。
この機能の意図は、デバイスごとに鍵ペアを作成し利用できるニーズに対応するものでしょう。
よっていまのところデバイスごとに鍵ペアを作ることがベストであると感じています。

Answer 2

その秘密鍵の紛失（あるいは盗難）の可能性しだいじゃないでしょうか？

秘密鍵自体にはパスフレーズが設定されているでしょうから、盗難にあったとしても直ちに不正アクセスを受けるということはないかも知れません。
幾ばくかの時間の間に対応する公開鍵を登録しているサービスで公開鍵の削除などで無効化することで被害を避けられるかも知れません。
と、なると公開鍵を削除する可能性も考慮すると持ち運ぶ端末に入れる公開鍵は別にしておいた方が無難かも知れません。

Comments

[SmokeyBlues]

秘密鍵を保存しているクライアントマシンごと盗難や紛失しても、パスフレーズの設定があるから直ちに不正アクセスはないだろうとのこと、なるほどです。そのペアを無効にして、あらたにペアを作り直し、使用している全てのウェブサービスに登録し直すこととするのか、１つのウェブサービスに限定しておくかですね。なるほどです。

Answer 3

どちらでもない選択肢ですが、自分は「ハードウェアトークンに秘密鍵を格納して、どのデバイスでも同じハードウェアトークンを接続する（もちろん同じ秘密鍵）」というように運用しています。

Comments

[SmokeyBlues]

ハードウェアトークンについて詳しくないのでざっと検索してみましたが、複数クライアントデバイスで使う、さらに異なる単一のハードウェアに秘密鍵を保管し使うということですね。セキュリティの観点でクライアントデバイスとは別のハードウェアトークンを使うが、主旨は共通の秘密鍵を使うということですね。なるほどです。