ssh config 是否安全？

[patx]

比如我在.ssh 目录下配置了 config 文件，

里面包含了服务器主机名、用户名和私钥文件路径。

如果我本地项目引入了恶意的依赖包，

运行时读取了 config 文件内容、私钥文件，并被黑客利用，

那么我服务器登录信息不是泄漏了？

[lxk11153]

感觉这有点类似你加入一个 wifi 一样，如果 wifi 是黑 wifi，那你不就啥都被看到了吗？既然我选择连接这个 wifi 就代表我选择尽量相信它或者产生风险我也许能接受。

[codehz]

不仅如此，恶意软件包还能修改你的 shell 配置直接获得 root 权限（例如在 bashrc 里 alias sudo，替换成恶意的版本）

[Oysmart]

config 都泄露了，何来安全？

[litmxs]

生成密钥的时候设置密码。

[sky96111]

私钥非 root 不可读，ssh config 可以被读虽然不安全，倒也不至于直接被登陆

[guog]

权限 400

[timothyye]

密钥可以设置密码

[jiangzm]

那你就不要用.ssh/config 文件，怕这怕那的。


我猜是你自己想做这个事，一般公开的依赖包不会做这么低级的事。

[indev]

@timothyye 说得对，麻烦但是安全

[shunf4]

用 Deno 吧，少年

[toaruScar]

可以考虑用 ssh 证书登陆。把签名了的密钥的有效期设成 1 天，然后每天重新签发私钥就行了。

[patx]

@shunf4 我看了 deno 的特性，才问这个问题的 XD

[patx]

@jiangzm 依赖包只是一个例子，用户安装的任何软件都能读.ssh 目录吧

[whitegerry]

config 放其他位置，改个名字一样用嘛，ssh -F path/trojan linux

[alphatoad]

私钥加密码，用你的发行版的密码管理器管理，可以无感

[yanqiyu]

当然，用户自己凭本事安装的程序系统只能信任了。所以要保证软件来源可控。
真要被恶意程序感染，恶意程序还能偷走 chrome 的保存的密码，这才叫灾难（

[ClericPy]

没有绝对的安全, 跳板机, LDAP 登录, 动态口令, 各种东西都敌不过一行代码漏洞

[expy]

直接行恶意程序，当前账户有权限的文件都暴露了。

[codehz]

@sky96111 #5 是非当前用户不可读（不然 ssh 怎么读到的私钥），所以如果开发机上用同一个用户跑恶意程序还是能被偷走的

[dorentus]

私钥加密码，或者放硬件模块中（比如 yubikey ）