Genel Anahtar Kimlik Doğrulaması ve Aracı Yönlendirme

SSH açık anahtarla kimlik doğrulaması, genellikle sunucuda ~/.ssh/authorized_keys konumunda bulunan authorized_keys dosyasına dayanır. Her satır şu biçimde bir açık anahtar içerir: algorithm base64-key comment. Sunucu, istemcinin bir sınamayı imzalayarak karşılık gelen özel anahtara sahip olduğunu kanıtlayıp kanıtlayamadığını denetler.

ssh-keygen komutu, kimlik doğrulaması için anahtar çiftleri oluşturur. ssh-keygen -t ed25519 komutunun çalıştırılması, modern bir Ed25519 anahtar çifti oluşturur. Tanımlama amacıyla -C seçeneğiyle e-posta adresiniz gibi bir açıklama belirtebilirsiniz. Araç, özel anahtarı (id_ed25519) ve açık anahtarı (id_ed25519.pub) varsayılan olarak ~/.ssh içine kaydeder.

RSA 4096 bitlik anahtarlar eski sistemlerle yüksek uyumluluk sağlar, ancak imzalama işlemi daha yavaştır. NIST P-256 kullanan ECDSA daha hızlıdır ve daha küçük imzalar üretir, ancak bazı kriptografi uzmanları NIST eğrisi parametrelerinin seçimini sorgular. Curve25519 tabanlı Ed25519 güncel en iyi uygulamadır: hızlıdır, anahtarları ve imzaları küçüktür, bilinen bir zayıflığı yoktur ve tüm modern SSH uygulamalarında kullanılabilir.

Özel anahtar dosyası bir parolayla korunmalıdır. ssh-keygen, özel anahtarı paroladan türetilen bir anahtar kullanarak şifreler; modern anahtarlar için bcrypt kullanılır. Böylece dosyayı ele geçiren bir saldırgan, parola olmadan bu anahtarı kullanamaz. Parola olmadan dosyaya erişebilen herkes, karşılık gelen açık anahtarı bulunduran herhangi bir sunucuda sizin adınıza kimlik doğrulaması yapabilir.

ssh-agent arka plan hizmeti, oturum açma süresince şifresi çözülmüş özel anahtarları bellekte tutar. ssh-add ~/.ssh/id_ed25519 komutuyla bir anahtar yüklersiniz ve sizden parola bir kez istenir. Sonraki SSH bağlantıları, parolayı yeniden girmenize gerek kalmadan sınamaları imzalaması için aracının yardımını ister; böylece güvenlik ile kullanım kolaylığını bir araya getirir.

Bir SSH sunucusu kimlik doğrulama sınaması gönderdiğinde SSH istemcisi, imzalama işlemini bir Unix soketi üzerinden ssh-agent aracısına devreder. Aracı, bellekte saklanan özel anahtarı kullanarak kriptografik imzalama işlemini gerçekleştirir ve yalnızca imzayı geri gönderir. Özel anahtarın baytları, SSH istemcisinin kendisine bile aracının sürecinden dışarı çıkmaz.

Ajan yönlendirme (ForwardAgent yes veya ssh -A), uzak bir SSH oturumunun sonraki kimlik doğrulamalarında yerel aracınızı kullanmasına olanak tanır. Özel anahtarları ara sunucuya kopyalamadan ara sunucular üzerinden geçiş yapmak için yararlıdır. Ancak ara sunucu ele geçirilirse, oradaki kök kullanıcı aracınızın soketine erişebilir ve herhangi bir sunucuda sizin adınıza kimlik doğrulaması yapabilir.

ProxyJump (ssh -J bastion target), ara sunucu erişimi için ForwardAgent yerine kullanılabilecek daha güvenli seçenektir. Ara sunucu üzerinden bir TCP tüneli oluşturur ve aracınızın soketini orada açığa çıkarmaz. Hedef sunucu, yerel istemcinizden doğrudan bağlantı alır; ara sunucu ise kimlik bilgilerinizi kullanma olanağı olmadan yalnızca şifrelenmiş TCP baytlarını iletir.

SSH, bir Sertifika Yetkilisinin (CA) sunucu ve kullanıcı açık anahtarlarını imzaladığı sertifika tabanlı kimlik doğrulamayı destekler. Her sunucuya tek tek açık anahtarlar dağıtmak yerine sunucuları CA'nıza güvenecek şekilde yapılandırırsınız. İmzalı bir kullanıcı sertifikası, isteğe bağlı geçerlilik süresi ve kimlik kısıtlamaları sertifikaya gömülmüş olarak, bu CA'ya güvenen tüm sunuculara erişim sağlar.

ssh-keyscan aracı, bir veya daha fazla ana bilgisayara bağlanır ve kimlik doğrulaması yapmadan bu ana bilgisayarların açık anahtarlarını alır. Bu özellik, dağıtım betiklerinde known_hosts dosyalarının otomatik olarak doldurulması için yararlıdır. Çıktı doğrudan bir known_hosts dosyasına yönlendirilebilir: ssh-keyscan -H example.com >> ~/.ssh/known_hosts.

Açık anahtarla kimlik doğrulama şu şekilde gerçekleşir: istemci açık anahtarı gönderir, sunucu authorized_keys dosyasını denetler, sunucu oturum ID'siyle imzalanmış bir sınama gönderir, istemci aracıyı kullanarak bu sınamayı özel anahtarla imzalar ve sunucu imzayı saklanan açık anahtarı kullanarak doğrular. İmza geçerliyse kimlik doğrulaması, gizli herhangi bir kimlik bilgisini göndermeden başarılı olur.

Temel noktalar: açık anahtarları authorized_keys dosyasında saklayın, özel anahtarları parolalarla koruyun, şifresi çözülmüş anahtarları bellekte tutmak için ssh-agent kullanın, Ed25519 anahtar türünü tercih edin, aracının soketini açığa çıkarmamak için ara sunucu erişiminde ForwardAgent yerine ProxyJump kullanın ve ölçeklenebilir erişim yönetimi için SSH sertifikalarını değerlendirin.