Le chiavi autorizzate SSH sono chiavi pubbliche elencate nel file ~/.ssh/authorized_keys di un utente. Quando viene presentata una chiave privata corrispondente, SSH può consentire l’accesso senza password. È un metodo comune e sicuro per gestire gli accessi, se le chiavi sono protette e l’elenco viene mantenuto aggiornato.
Gli aggressori che hanno accesso a un account possono aggiungere al file la propria chiave pubblica, creando un modo per rientrare senza riutilizzare una password rubata. I responsabili della difesa dovrebbero controllare i file delle chiavi autorizzate per individuare voci sconosciute, verificare la proprietà e i permessi dei file e rimuovere le chiavi che non sono più necessarie. Modifiche inattese possono indicare persistenza, ma dovrebbero essere esaminate insieme ai log di accesso e ad altre attività dell’host.