Uwierzytelnianie SSH za pomocą kluczy

Witamy! W tej lekcji poznają Państwo uwierzytelnianie SSH za pomocą kluczy. Ta metoda jest znacznie bezpieczniejsza i wygodniejsza niż używanie tradycyjnych haseł podczas logowania do serwera.

Klucze SSH działają jak cyfrowe powitanie, potwierdzając Państwa tożsamość bez konieczności wpisywania hasła za każdym razem.

Uwierzytelnianie za pomocą kluczy SSH opiera się na parze kluczy kryptograficznych:

• Klucz prywatny: pozostaje na lokalnym komputerze i musi być utrzymywany w tajemnicy. Można myśleć o nim jak o unikatowym kluczu do cyfrowego zamka.
• Klucz publiczny: jest umieszczany na serwerze, do którego chcą się Państwo uzyskać dostęp. Przypomina specjalny zamek, który można otworzyć wyłącznie za pomocą klucza prywatnego.

Podczas próby połączenia serwer wysyła wyzwanie do klienta, a klient używa klucza prywatnego, aby potwierdzić swoją tożsamość.

Własną parę kluczy SSH można wygenerować za pomocą polecenia ssh-keygen na lokalnym komputerze. Domyślnie tworzy ono parę kluczy RSA.

Po wyświetleniu monitu można wybrać hasło zabezpieczające klucz prywatny. Zapewnia to dodatkową warstwę bezpieczeństwa, ponieważ przed użyciem klucza trzeba podać to hasło.

W celu zapewnienia większego bezpieczeństwa zaleca się używanie nowszych typów kluczy, takich jak ED25519. Można również określić niestandardową nazwę pliku kluczy.

• -t ed25519: określa algorytm ED25519.
• -f ~/.ssh/my_server_key: tworzy pliki o nazwach my_server_key i my_server_key.pub.

Klucz prywatny należy zawsze zabezpieczać silnym hasłem!

Po wygenerowaniu klucze są zazwyczaj przechowywane w katalogu ~/.ssh/ na lokalnym komputerze. Znajdą tam Państwo dwa pliki:

• id_ed25519 (lub id_rsa): to Państwa klucz prywatny. Należy go bezwzględnie zabezpieczyć i nigdy nikomu nie udostępniać.
• id_ed25519.pub (lub id_rsa.pub): to Państwa klucz publiczny. Ten plik należy skopiować na serwer.

Uprawnienia tych plików są również bardzo ważne dla bezpieczeństwa!

Najłatwiejszym sposobem umieszczenia klucza publicznego na serwerze jest użycie polecenia ssh-copy-id. Bezpiecznie kopiuje ono klucz publiczny do pliku ~/.ssh/authorized_keys na serwerze.

Przy pierwszym uruchomieniu tego polecenia dla nowego serwera trzeba podać hasło. Później logowanie za pomocą hasła często nie jest już potrzebne.

Jeśli polecenie ssh-copy-id jest niedostępne lub preferują Państwo metodę ręczną, można samodzielnie skopiować klucz publiczny na serwer.

Najpierw należy upewnić się, że katalog ~/.ssh istnieje na serwerze i ma odpowiednie uprawnienia (700). Następnie należy dopisać klucz publiczny do pliku ~/.ssh/authorized_keys (uprawnienia 600).

Po umieszczeniu klucza publicznego na serwerze można połączyć się za pomocą SSH. Jeśli użyto domyślnej nazwy klucza (np. id_rsa lub id_ed25519), SSH znajdzie go automatycznie.

Jeśli użyto niestandardowej nazwy klucza (np. my_server_key), należy wskazać ją za pomocą flagi -i.

W celu zwiększenia bezpieczeństwa zdecydowanie zaleca się wyłączenie uwierzytelniania za pomocą hasła na serwerze, gdy logowanie za pomocą klucza już działa.

Proszę edytować plik konfiguracyjny demona SSH (/etc/ssh/sshd_config) na serwerze, zmienić PasswordAuthentication yes na no, a następnie ponownie uruchomić usługę SSH (np. za pomocą sudo systemctl restart sshd lub sudo service ssh restart).

Dowiedzieli się już Państwo, jak działa uwierzytelnianie SSH za pomocą kluczy, jak generować klucze i jak je wdrażać. Sprawdźmy Państwa wiedzę!

Świetna praca! Opanowali już Państwo uwierzytelnianie SSH za pomocą kluczy. Dowiedzieli się Państwo:

• jaka jest różnica między kluczem publicznym a prywatnym;
• jak generować pary kluczy za pomocą ssh-keygen;
• jak wdrażać klucz publiczny na serwerze za pomocą ssh-copy-id lub ręcznie;
• jak bezpiecznie się łączyć bez używania haseł;
• dlaczego i jak wyłączyć uwierzytelnianie za pomocą hasła na serwerze.

Klucze SSH są podstawowym narzędziem bezpiecznego i wydajnego zarządzania serwerami. Proszę ćwiczyć dalej!