Il sito memorizzato WinSCP contiene solo un percorso per il file della chiave privata e non più.

Quindi è improbabile che possa causare qualsiasi vulnerabilità, tranne forse rendendo il file più facile da trovare sulla tua macchina. Tuttavia, ciò è irrilevante se non si prendono in considerazione le minacce che richiedono l'accesso fisico al proprio computer.

Esistono vulnerabilità o un vettore di attacco noti specifici per WinSCP che possono perdere chiavi private dalle mie sessioni salvate?

Nel tuo caso, le chiavi private sono memorizzate sul disco locale, l'unico impatto del salvataggio della sessione è che rende più veloce l'accesso. Se il malware cercava le chiavi, normalmente scansionerebbe anche l'intero disco, alla ricerca di file che assomigliano a chiavi, quindi è improbabile che abbia un impatto se le tue chiavi verranno rubate.

Potrebbero esserci attacchi di 0 giorni che consentono di estrarre le chiavi dalla memoria, ma queste saranno rare, il che ruberebbe le chiavi dal disco sarebbe più probabile.

La chiave privata non ha una passphrase.

Potresti voler aggiungere una password, non solo per gli utenti che ottengono l'accesso fisico, ma anche per rendere più difficile il malware a rubare la tua chiave mentre è archiviata su disco.

Livelli più elevati di sicurezza

Se si desidera impedire che le chiavi vengano rubate dal disco, le si archivia in una smart card, in modo che non possano essere estratte, utilizzate solo quando viene immesso il PIN (e probabilmente anche la presenza dell'utente è selezionata).

Non sono a conoscenza di alcun specifico WinSCP. Generalmente, l'uso di coppie di chiavi pubbliche / private è incoraggiato dall'uso delle password. I motivi sono spesso simili a incoraggiare i gestori di password a ricordare le password:

• Tutte le tue password dovrebbero essere uniche e non simili. (L'aggiunta del nome del servizio a una password soddisfa tecnicamente l'unicità, ma non è sicura neanche perché l'autore dell'attacco potrebbe facilmente intuire altre password dopo averne appreso uno.)
• Tutte le tue password dovrebbero essere forti.
• È probabile che tu abbia molti account. Ricordare una password univoca e strong per ognuna di esse sarebbe fantastico in teoria, ma solo poche persone hanno una memoria così buona. Pertanto, l'utilizzo di un gestore di password con una singola password principale complessa potrebbe essere migliore nella pratica.

Per quanto riguarda gli accessi locali: anche se non si accerta che nessuna persona non autorizzata acceda al computer, si consideri il processo di smaltimento del proprio archivio (HDD / SSD). Soprattutto quando si rompe, potrebbe essere problematico eseguire la cancellazione sicura, ma potrebbe essere possibile per l'attaccante estrarre alcuni dati. Per questo motivo, ti consiglio di crittografare i tuoi segreti, inclusa la crittografia dello swap.