openSSH läßt sich doch auch zusammen mit einer Cryptocard verwenden
(zur Authentifizierung) - der private Schlüssel liegt auf dieser
Karte und auch das verschlüsselen der Phrase wird auf der Karte
erledigt.

Da das OS (COS) der Karte und der Algoritmus nicht im Sourcecode
vorliegt, geschweige das man es selber compilieren und flashen
kann, könnte die Authentifizierung z.B. durch nichtzufällige
Zufallszahlen oder gar verstecken von Schlüsselteilen aufweichen.
D.h. auch ohne zugriff auf die Karte würde eine openSSH Verbindung
für Dritte (Insider) angreifbar.

Frage1 - gibt es Literatur zu diesem Problem? Könnte man durch
Analysen solche Schwächen auschließen/aufdecken?

Frage2 - gibt es kombinierte Authentifizierungen die z.B.
eine Cryptokarte und einen lokal gespeicherten Schlüssel (oder
OneTimePassword) kombiniert?

Wer hat Literaturtipps hierzu?

Gruß rob