المصادقة بالمفتاح العام وتمرير SSH Agent

تعتمد مصادقة SSH بالمفتاح العام على ملف authorized_keys، الموجود عادةً في ~/.ssh/authorized_keys على الخادم. يحتوي كل سطر على مفتاح عام بالصيغة: algorithm base64-key comment. ويتحقق الخادم من قدرة العميل على إثبات امتلاكه للمفتاح الخاص المطابق من خلال توقيع تحدٍّ.

ينشئ الأمر ssh-keygen أزواج مفاتيح للمصادقة. ويؤدي تشغيل ssh-keygen -t ed25519 إلى إنشاء زوج مفاتيح حديث من نوع Ed25519. ويمكنك تحديد تعليق باستخدام -C للتعريف بالمفتاح، مثل بريدك الإلكتروني. وتحفظ الأداة المفتاح الخاص (id_ed25519) والمفتاح العام (id_ed25519.pub) في ~/.ssh افتراضيًا.

تتوافق مفاتيح RSA ذات 4096 بت بدرجة كبيرة مع الأنظمة القديمة، لكنها أبطأ في التوقيع. أما ECDSA باستخدام NIST P-256 فهو أسرع وينتج توقيعات أصغر، لكن بعض علماء التشفير يشككون في اختيار معلمات منحنيات NIST. ويُعد Ed25519 المستند إلى Curve25519 أفضل ممارسة حاليًا: مفاتيح وتوقيعات سريعة وصغيرة، ومن دون نقاط ضعف معروفة، ومتوفر في جميع تطبيقات SSH الحديثة.

ينبغي حماية ملف المفتاح الخاص بعبارة مرور. يشفّر ssh-keygen المفتاح الخاص باستخدام مفتاح مشتق من عبارة المرور (bcrypt للمفاتيح الحديثة)، ولذلك لا يستطيع المهاجم الذي يسرق الملف استخدامه من دون عبارة المرور. ومن دون عبارة مرور، يستطيع أي شخص لديه صلاحية الوصول إلى الملف المصادقة باسمك على أي خادم يحتفظ بالمفتاح العام المطابق.

يحتفظ البرنامج الخدمي ssh-agent بالمفاتيح الخاصة المفكوكة التشفير في الذاكرة أثناء جلسة تسجيل الدخول. وتحمل مفتاحًا باستخدام ssh-add ~/.ssh/id_ed25519، فيطلب منك عبارة المرور مرة واحدة. وبعد ذلك، تطلب اتصالات SSH اللاحقة من الوكيل توقيع التحديات من دون إعادة إدخال عبارة المرور، مما يجمع بين الأمان والسهولة.

عندما يرسل خادم SSH تحديًا للمصادقة، يفوّض عميل SSH عملية التوقيع إلى ssh-agent عبر مقبس Unix. ينفذ الوكيل التوقيع التشفيري باستخدام المفتاح الخاص المخزَّن في الذاكرة، ثم يعيد التوقيع فقط. ولا تغادر بايتات المفتاح الخاص عملية الوكيل، ولا حتى إلى عميل SSH نفسه.

تتيح إعادة توجيه الوكيل (ForwardAgent yes أو ssh -A) لجلسة SSH بعيدة استخدام وكيلك المحلي للمصادقة على خوادم لاحقة. ويفيد ذلك في المرور عبر الخوادم الوسيطة من دون نسخ المفاتيح الخاصة إليها. ولكن إذا اختُرق الخادم الوسيط، يستطيع مستخدم root فيه الوصول إلى مقبس الوكيل والمصادقة باسمك على أي خادم.

يُعد ProxyJump (ssh -J bastion target) البديل الأكثر أمانًا عن ForwardAgent للوصول عبر الخادم الوسيط. فهو ينشئ نفق TCP عبر الخادم الوسيط من دون كشف مقبس وكيلك هناك. ويتلقى الخادم الهدف اتصالًا مباشرًا من عميلك المحلي، بينما لا يمرر الخادم الوسيط سوى بايتات TCP المشفّرة، من دون أي قدرة على استخدام بيانات اعتمادك.

يدعم SSH المصادقة المستندة إلى الشهادات، حيث توقّع سلطة شهادات (CA) مفاتيح المضيفين والمستخدمين العامة. وبدلًا من توزيع المفاتيح العامة الفردية على كل خادم، تهيّئ الخوادم لتثق بسلطة الشهادات الخاصة بك. وتمنح شهادة مستخدم موقعة صلاحية الوصول إلى جميع الخوادم التي تثق بسلطة الشهادات تلك، مع إمكانية تضمين تاريخ انتهاء الصلاحية وقيود principal في الشهادة.

تتصل أداة ssh-keyscan بمضيف واحد أو أكثر وتسترد مفاتيح المضيف العامة من دون مصادقة. ويفيد ذلك في أتمتة ملء ملفات known_hosts ضمن نصوص النشر. ويمكن توجيه الناتج مباشرةً إلى ملف known_hosts: ssh-keyscan -H example.com >> ~/.ssh/known_hosts.

مصادقة المفتاح العام: يرسل العميل المفتاح العام، ويفحص الخادم ملف authorized_keys، ثم يرسل الخادم تحديًا موقّعًا باستخدام معرّف الجلسة، ويوقّعه العميل (عبر الوكيل) باستخدام المفتاح الخاص، ويتحقق الخادم من التوقيع باستخدام المفتاح العام المخزَّن. وإذا كان التوقيع صالحًا، تنجح المصادقة من دون نقل أي بيانات اعتماد سرية.

أهم النقاط: خزّن المفاتيح العامة في authorized_keys، واحمِ المفاتيح الخاصة بعبارات مرور، واستخدم ssh-agent للاحتفاظ بالمفاتيح المفكوكة التشفير في الذاكرة، وفضّل نوع المفتاح Ed25519، واستخدم ProxyJump بدلًا من ForwardAgent للوصول عبر الخادم الوسيط لتجنب كشف مقبس الوكيل، وفكّر في استخدام شهادات SSH لإدارة الوصول على نطاق واسع.