Seminar Nitrokey für SSH, Git und privilegierte Administration

Privilegierte Zugänge profitieren besonders von hardwaregebundenen Schlüsseln. Für SSH und Git stehen jedoch unterschiedliche Verfahren mit verschiedenen Anforderungen an Client, Agent, Server und Wiederherstellung zur Verfügung.

Das Seminar vergleicht FIDO2-basierte SSH-Schlüssel und OpenPGP-Authentisierung, richtet Testzugänge ein und entwickelt ein belastbares Konzept für Ersatzgerät und Notfallkonto.

Inhaltsübersicht

1. Einordnung und Zielsetzung
2. Zielgruppe und Voraussetzungen
3. Lernziele
4. Seminarinhalte
5. Praxisübungen
6. Methodik

Einordnung und Zielsetzung

Privilegierte Zugänge profitieren besonders von hardwaregebundenen Schlüsseln. Für SSH und Git stehen jedoch unterschiedliche Verfahren mit verschiedenen Anforderungen an Client, Agent, Server und Wiederherstellung zur Verfügung. Das Seminar vergleicht FIDO2-basierte SSH-Schlüssel und OpenPGP-Authentisierung, richtet Testzugänge ein und entwickelt ein belastbares Konzept für Ersatzgerät und Notfallkonto.

Zielgruppe und Voraussetzungen

Zielgruppe: Linux- und Unix-Administration, DevSecOps, Plattformbetrieb, Softwareentwicklung und privilegierter Support.

Voraussetzungen: Sichere Linux-Kommandozeile, SSH-Grundlagen, Git-Basiswissen und Verständnis asymmetrischer Schlüssel.

Lernziele

• FIDO2- und OpenPGP-Verfahren für SSH auswählen.
• Hardwaregebundene Schlüssel sicher erzeugen und einsetzen.
• Server- und Clientkonfiguration restriktiv gestalten.
• Git-Commits oder Tags mit Nitrokey signieren.
• Notfallzugänge und Schlüsselwechsel testen.

Seminarinhalte

1. Architektur und Verfahrensauswahl

Das passende Verfahren wird aus Plattform und Betriebsmodell abgeleitet.

1. Schritt 1: Client-, Server- und Git-Plattformen sowie unterstützte Versionen erfassen.
2. Schritt 2: FIDO2-Schlüsselhandle, auffindbare Schlüssel und OpenPGP-Agent vergleichen.
3. Schritt 3: Touch-, PIN- und Portabilitätsanforderungen festlegen.
4. Schritt 4: Primär- und Notfallverfahren getrennt dokumentieren.

2. FIDO2-basierte SSH-Schlüssel

Der private Schlüssel bleibt im Authenticator gebunden.

1. Schritt 1: Nitrokey vorbereiten und FIDO2-PIN prüfen.
2. Schritt 2: SSH-Schlüssel mit geeigneter FIDO2-Variante und eindeutigem Kommentar erzeugen.
3. Schritt 3: Öffentlichen Schlüssel auf einem Testserver mit begrenzten Rechten hinterlegen.
4. Schritt 4: Anmeldung, Touch-Anforderung und Verhalten ohne Nitrokey testen.
5. Schritt 5: Portabilität oder lokales Schlüsselhandle in das Backupkonzept aufnehmen.

3. OpenPGP und Agent-Integration

Alternativ wird der Authentisierungsschlüssel der OpenPGP-Karte genutzt.

1. Schritt 1: OpenPGP-Schlüsselrollen und vorhandene Authentisierungs-Subkeys prüfen.
2. Schritt 2: GPG-Agent für SSH-Unterstützung in einer Testumgebung konfigurieren.
3. Schritt 3: Agent-Socket und Sitzungskontext kontrolliert bereitstellen.
4. Schritt 4: Serverzugang testen und parallele Agentenfehler diagnostizieren.

4. Git-Signaturen und Freigaben

Signaturen werden in den Entwicklungsprozess eingebettet.

1. Schritt 1: Signaturschlüssel und zulässige Identitäten festlegen.
2. Schritt 2: Git für Commit- oder Tag-Signaturen konfigurieren.
3. Schritt 3: Signatur lokal und in der Zielplattform verifizieren.
4. Schritt 4: Freigaberegeln für signierte Änderungen und Schlüsselwechsel definieren.

5. Notfallzugang und Rotation

Produktiver Betrieb benötigt einen kontrollierten Ersatzweg.

1. Schritt 1: Zweiten Nitrokey oder versiegeltes Notfallkonto vorbereiten.
2. Schritt 2: Verlustfall mit Entfernung des alten Schlüssels durchspielen.
3. Schritt 3: Neue Schlüssel verteilen und verwaiste Berechtigungen suchen.
4. Schritt 4: Rotation, Offboarding und regelmäßige Zugriffsprüfung dokumentieren.

Praxisübungen

• FIDO2-SSH-Zugang mit Touch und PIN.
• OpenPGP-Agent als alternative SSH-Identität.
• Git-Signaturprüfung und simulierter Schlüsselwechsel.

Methodik

Die Übungen finden gegen isolierte Testserver und lokale Git-Repositories statt. Jede erfolgreiche Anmeldung wird mit einer Prüfung des Ausfall- und Ersatzwegs ergänzt.