Подключение с использованием ключей SSH

В этой статье Вы узнаете, как использование ключей SSH поможет Вам защититься от хакеров и в целом повысить безопасность Ваших данных. Кроме того, у ключей SSH есть множество интересных особенностей. Ниже мы расскажем о том, как правильно их применять и настраивать.

Содержание:

1. Использование ключей SSH
2. Создание пары RSA-ключей
3. Установка ключевой фразы
4. Копирование ключа
5. Отключение доступа по паролю для пользователя root
6. Бонус для пользователей Windows
7. Выводы
   

Использование ключей SSH

Использование ключей SSH более безопасно, чем применение традиционного доступа с помощью логина и пароля. Обычный пароль можно подобрать при помощи атаки грубой силы, а ключи SSH подобрать практически невозможно.

Начнем с теории. Ключи SSH представляют собой учетные данные, обеспечивающие доступ по протоколу Secure Shell (SSH). Этот протокол предоставляет зашифрованную безопасную связь между системами, которые находятся в открытой сети. Чаще всего протокол SSH используют для дистанционного доступа к ОС, передачи данных и управления сетью.

Для установки безопасной связи протокол SSH использует ключи. В процессе генерации пары ключей Вы получаете две длинные строки символов: открытый и закрытый ключи. Если говорить упрощенно, открытый ключ представляет собой некий замок, на который можно запереть данные, тогда как закрытый ключ его открывает. Например, Вы можете разместить открытый ключ на сервере, а потом подключиться к нему и залогиниться в системе с помощью закрытого ключа. Таким образом Вам не придется вводить пароль для доступа к системе.

Для генерирования ключей SSH используются криптографические алгоритмы с открытым ключом (чаще всего — RSA и DSA). Интересно, что помощью закрытого ключа можно получить открытый, но не наоборот.

Важно: Вы можете повысить безопасность закрытого ключа, использовав ключевую фразу.

Создание пары RSA-ключей

Итак, приступим. Сперва создаем пару ключей на клиентской машине. Желательно, чтобы это был Ваш компьютер. Для генерации ключей вводим команду:

ssh-keygen -t rsa

В более новых системах можно использовать следующую команду:

ssh-keygen -t ed25519

Когда Вы введете команду для генерации пары ключей, система задаст Вам несколько вопросов. Для начала необходимо ввести имя файла, в который Вы хотите сохранить ключи:

Enter file in which to save the key (/home/demo/.ssh/id_rsa):

Установка ключевой фразы

Подумайте, хотите ли Вы использовать ключевую фразу. Её использование даёт преимущество — существенно повышает безопасность ключа, независимо от метода шифрования. Задать ключевую фразу можно так:

Enter passphrase (empty for no passphrase):

Также, ключевая фраза защитит Ваш закрытый ключ, если он попадёт к неавторизированному пользователю. Такой пользователь не сможет получить доступ к системе, пока не введёт правильную ключевую фразу. Как результат — для взлома системы понадобится намного больше времени.

Но есть и один недостаток использования ключевой фразы: ее необходимо вводить каждый раз при входе в систему.

В нашем примере открытый ключ хранится по адресу /home/demo/.ssh/id_rsa.pub. Закрытый ключ хранится по адресу /home/demo/.ssh/id_rsa.

Копирование ключа

Когда ключи сгенерированы, пора разместить открытый ключ на сервере, при подключении к которому мы хотим его использовать. Вы можете скопировать открытый ключ на новый компьютер, используя команду ssh-copy-id:

ssh-copy-id user@12.34.56.78

Важно: не забудьте изменить имя пользователя и пароль на Ваши.

Пример вывода:

The authenticity of host '12.34.56.78 (12.34.56.78)' can't be established.
RSA key fingerprint is b1:2d:33:67:ce:35:4d:5f:f3:a8:cd:c0:c4:48:86:12.
Are you sure you want to continue connecting (yes/no)? yes
Warning: Permanently added '12.34.56.78' (RSA) to the list of known hosts.
user@12.34.56.78's password:
Now try logging into the machine, with "ssh 'user@12.34.56.78'", and check in:

~/.ssh/authorized_keys

to make sure we haven't added extra keys that you weren't expecting.

Таким образом, теперь Вы можете залогиниться, используя команду ssh [email protected]. При этом система не будет запрашивать у Вас пароль. Однако, если Вы установили ключевую фразу, то нужно будет ее ввести (помним, что ее необходимо будет вводить каждый раз при входе в систему).

Если у Вас новый дистрибутив Linux, и ключи RSA не принимает система, то можно включить поддержку, добавив следующие опции в файл конфигурации /etc/ssh/sshd_config

HostKeyAlgorithms +ssh-rsa
PubkeyAcceptedKeyTypes +ssh-rsa

После этого необходимо перезапустить службу OpenSSH:

sudo systemctl restart sshd

Отключение доступа по паролю для пользователя root

Когда Вы уже скопировали Ваши ключи на сервер и убедились, что можете с их помощью залогиниться в системе, можно пойти дальше и отключить доступ по паролю для пользователя root.

Для того чтобы сделать это, откройте файл конфигурации SSH-сервера при помощи команды:

sudo nano /etc/ssh/sshd_config

Найдите в этом файле строчку PermitRootLogin и приведите ее к следующему виду, чтобы пользователь root мог логиниться по ключу:

PermitRootLogin without-password

Сохраните изменения и перезапустите службу SSH для того, чтобы изменения вступили в силу при помощи команды:

reload ssh

Бонус для пользователей Windows

Чтобы подключаться к серверу с компьютеров под управлением Windows, используйте PuTTy. В программе нужно зайти в раздел Connection -> SSH -> Auth и выбрать Ваш закрытый ключ, как показано на скриншоте.

Выводы

Таким образом Вы познакомились с ключами SSH и научились с их помощью защищать Ваши данные. Надеемся, что Вы смогли получить новый полезный навык, а значит теперь не станете жертвой хакеров.

Спасибо за время, уделенное на прочтение статьи!

Если возникли вопросы, задавайте их в комментариях.

Подписывайтесь на обновления нашего блога и оставайтесь в курсе новостей мира инфокоммуникаций!

Чтобы знать больше и выделяться знаниями среди толпы IT-шников, записывайтесь на курсы Cisco, курсы по кибербезопасности, полный курс по кибербезопасности, курсы DevNet / DevOps (программируемые системы) от Академии Cisco, курсы Linux от Linux Professional Institute на платформе SEDICOMM University (Университет СЭДИКОММ).