Аутентификация по ключам SSH

Добро пожаловать! В этом уроке Вы узнаете об аутентификации по ключам SSH. Этот способ гораздо безопаснее и удобнее традиционного ввода пароля при входе на сервер.

Ключи SSH подобны цифровому рукопожатию: они подтверждают Вашу личность без необходимости каждый раз вводить пароль.

Аутентификация по ключу SSH основана на паре криптографических ключей:

• Закрытый ключ: этот ключ хранится на Вашем локальном компьютере и должен оставаться секретным. Представьте его как уникальный ключ от Вашего цифрового замка.
• Открытый ключ: этот ключ размещается на сервере, к которому Вы хотите получить доступ. Это специальный замок, открыть который можно только с помощью Вашего закрытого ключа.

При попытке подключения сервер проверяет Ваш клиент, а клиент использует закрытый ключ, чтобы подтвердить свою подлинность.

Вы можете создать собственную пару ключей SSH с помощью команды ssh-keygen на локальном компьютере. По умолчанию создаётся пара ключей RSA.

Когда появится запрос, Вы можете выбрать парольную фразу для защиты закрытого ключа. Это обеспечивает дополнительный уровень безопасности: перед использованием ключа потребуется ввести парольную фразу.

Для повышения безопасности рекомендуется использовать более новые типы ключей, например ED25519. Вы также можете указать собственное имя файла для ключей.

• -t ed25519: задаёт алгоритм ED25519.
• -f ~/.ssh/my_server_key: создаёт файлы с именами my_server_key и my_server_key.pub.

Всегда используйте надёжную парольную фразу для закрытого ключа!

После создания ключи обычно хранятся в каталоге ~/.ssh/ на локальном компьютере. Там Вы найдёте два файла:

• id_ed25519 (или id_rsa): это Ваш закрытый ключ. Храните его в полной безопасности и никогда никому не передавайте.
• id_ed25519.pub (или id_rsa.pub): это Ваш открытый ключ. Именно этот файл нужно скопировать на сервер.

Права доступа к этим файлам также очень важны для безопасности!

Самый простой способ поместить открытый ключ на сервер — использовать команду ssh-copy-id. Она безопасно копирует Ваш открытый ключ в файл ~/.ssh/authorized_keys на сервере.

При первом выполнении этой команды для нового сервера Вам потребуется ввести пароль. После этого вход по паролю часто больше не требуется.

Если команда ssh-copy-id недоступна или Вы предпочитаете ручной способ, Вы можете самостоятельно скопировать открытый ключ на сервер.

Сначала убедитесь, что каталог ~/.ssh существует на сервере и имеет правильные права доступа (700). Затем добавьте открытый ключ в конец файла ~/.ssh/authorized_keys (права доступа — 600).

После размещения открытого ключа на сервере Вы можете подключаться по SSH. Если Вы использовали имя ключа по умолчанию, например id_rsa или id_ed25519, SSH найдёт его автоматически.

Если Вы использовали собственное имя ключа, например my_server_key, его нужно указать с помощью флага -i.

Для повышения безопасности настоятельно рекомендуется отключить аутентификацию по паролю на сервере после того, как вход по ключу начнёт работать.

Отредактируйте файл конфигурации службы SSH (/etc/ssh/sshd_config) на сервере, замените PasswordAuthentication yes на no, а затем перезапустите службу SSH (например, с помощью sudo systemctl restart sshd или sudo service ssh restart).

Вы узнали, как работает аутентификация по ключам SSH, как создавать ключи и размещать их на сервере. Проверьте свои знания!

Отличная работа! Вы освоили аутентификацию по ключам SSH. Вы узнали:

• разницу между открытыми и закрытыми ключами;
• как создавать пары ключей с помощью ssh-keygen;
• как размещать открытый ключ на сервере с помощью ssh-copy-id или вручную;
• как безопасно подключаться без паролей;
• зачем и как отключать аутентификацию по паролю на сервере.

Ключи SSH — важнейший инструмент для безопасного и эффективного управления серверами. Продолжайте практиковаться!