с публичной частью ключа (хранящейся в том же каталоге ~/.ssh
) ничего делать, конечно, не надо. разве что удалить (если очень хочется) — она легко восстанавливается из секретной части:
$ ssh-keygen -y -f секретная-часть > публичная-часть
секретную же часть можно (и, пожалуй, нужно) зашифровывать паролем:
$ ssh-keygen -p -f секретная-часть
а для того, чтобы не вводить пароль каждый раз при необходимости воспользоваться ключом, задействовать ssh-agent.
в современных версиях популярных дистрибутивов операционной системы gnu/linux программа ssh-agent обычно уже установлена и даже (по умолчанию) запущена в качестве «прокладки» между x-сервером и пользовательской x-сессией. благодаря чему в переменных окружения всех x-клиентов (в том числе и x-эмуляторов терминала) присутствуют переменные SSH_AGENT_PID
и SSH_AUTH_SOCK
, что позволяет всем заинтересованным программам связываться с процессом ssh-agent-а.
задача этого агента — держать в памяти расшифрованный секретный ключ(-и) и, при обращении к нему, зашифровывать/расшифровывать этим ключом переданную информацию. в явном виде расшифрованный ключ(-и) агент не «отдаёт».
посмотреть список хранимых (в памяти) агеном в данный момент ключей можно командой:
$ ssh-add -l
удалить все ключи из памяти можно командой:
$ ssh-add -D
конкретный ключ:
$ ssh-add -d /путь/к/секретной-части
добавить ключ (потребуется ввод пароля для расшифровки, если файл зашифрован, как предложено выше) можно так:
$ ssh-add /путь/к/секретной-части
если путь не указан, по умолчанию будут добавлены ключи, хранящиеся в файлах ~/.ssh/id_rsa
, ~/.ssh/id_dsa
, ~/.ssh/id_ecdsa
, ~/.ssh/id_ed25519
и ~/.ssh/identity
.
но ещё, пожалуй, лучше — добавлять ключ лишь на указанный промежуток времени:
$ ssh-add -t время /путь/к/секретной-части
время можно указать в виде, описанном в секции time formats в man sshd_config
. например, 600
или 600s
— на 600 секунд, 1h30m
— на полтора часа.
по истечении указанного промежутка времени данный ключ будет автоматически «забыт» ssh-agent-ом.
«привязку» к ssh-agent-у можно передать «внутрь» ssh-соединения с помощью опции -A
программы ssh, или конфигурационной опции forwardagent yes
в соответствующей «хостовой» секции файла ~/.ssh/config
(или глобально, если употребить до первой «хостовой» секции).
благодаря такой «передаче внутрь соединения» можно (с помощью одного и того же экземпляра ssh-agent-а) организовывать цепочку беспарольной аутентификации. разумеется, при условии, что на всех машинах в цепочке будет «прописана» подходящая публичная часть ключа.
подробнее смотрите в:
$ man ssh
$ man ssh-keygen
$ man ssh-agent
$ man ssh-add
$ man ssh_config