еще можно покопаться в .bash_history пользователя, возможно получится понять от какого сервера ключ