Se un malware riuscisse a prendersi il controllo del tuo filesystem, quanto tempo ci metterebbe a fare copia-inutile della tua cartella ~/.ssh? Probabilmente meno di quanto ci metti tu a decidere quale distro Linux installare sul prossimo server.
Siamo onesti: lasciare le chiavi private lì, protette solo dai permessi del file system, è un po’ come lasciare le chiavi di casa attaccate alla porta con un bigliettino con scritto «Prego, entri pure». Specialmente con la scusa dei finti test di colloquio — quel trucchetto subdolo dove ti chiedono di clonare un repo che in realtà contiene script pronti a spulciare il tuo ambiente locale — la paranoia non è solo giustificata, è necessaria.
La buona notizia è che se hai un Mac recente, hai già in mano un piccolo forziere digitale: il Secure Enclave.
L’idea è geniale nella sua semplicità. Invece di avere la chiave privata come un semplice file di testo (che può essere letto, copiato o rubato), la generi dentro un subsystem isolato dal processore principale. La chiave non esce mai da lì. Quando devi autenticarti via SSH, il Mac invia una richiesta al Secure Enclave, il chip firma la sfida e ti chiede un tocco sul Touch ID. Il risultato? Anche se un attaccante avesse il controllo totale del tuo sistema operativo, non potrebbe estrarre la chiave. È fisicamente impossibile.
Il setup nativo di macOS (tramite il comando sc_auth) è una soluzione potente, ma c’è un ‘però’. L’autore del post originale su Hacker News ha ammesso che l’approccio nativo è, beh, piuttosto brutto da gestire a livello di workflow. È una soluzione che funziona, ma che ti costringe a mal digerire interfacce poco intuitive e processi un po’ macchinosi.
Se volete evitare mal di testa, la strada alternativa è usare software come ‘Secretive’, che sfrutta lo stesso Secure Enclave ma con un’esperienza utente decisamente più civile. Oppure, se siete i soliti puristi dell’hardware, la vecchia e gloriosa YubiKey rimane il gold standard. Ma se non volete portarvi dietro un altro dongle attaccato al laptop mentre siete in treno, la soluzione integrata nel chip è un upgrade che merita un posto nel vostro toolkit.
In definitiva, passare alle chiavi basate su hardware (o quasi) è quel tipo di manutenzione ‘noiosa’ che però ti permette di dormire sonni tranquilli quando lanci un comando su un server critico. Meno fuffa, più sicurezza.