Настройка вашего сервера Linux для использования аутентификации по ключам SSH

SSH на сервере Linux

SSH, также известный как secure shell, представляет собой протокол, который можно использовать для подключения и связи с сервером. Вы можете подключиться к своему серверу Linux для сеанса терминала с использованием этого зашифрованного протокола. Если вы используете сервер OpenSSH, существует в основном два различных способа прохождения процесса аутентификации. Первый — это стандартная аутентификация по паролю. Здесь вы просто используете свои имя пользователя и пароль для получения доступа к своей учетной записи. Другой способ — настроить сервер Linux для аутентификации на основе ключей SSH.

В этом руководстве мы сосредоточимся на том, как настроить сервер Linux для использования ключей SSH в качестве основного средства аутентификации. Мы также обсудим, почему ключи SSH часто предпочитают обычному механизму защиты паролем.

Что такое ключи SSH?

Ключи SSH аналогичны учетным данным, которые вы используете для входа в свою учетную запись на сервере. Вместо ввода имени пользователя и пароля вы используете пару ключей SSH, которая также является учетными данными для доступа. Хотя ключи являются криптографическими, вы должны относиться к ним как к учетным данным для аутентификации, поскольку именно этой цели они и служат.

Типичный ключ SSH состоит из двух частей: авторизованного ключа и ключа идентификации. Авторизованный ключ — это публичный ключ, который работает в сочетании с вашим приватным ключом идентификации для предоставления доступа к учетной записи. Публичный ключ находится на удаленном сервере, на который вы хотите войти по SSH, и хранится в файле ~/.ssh/authorized_keys, связанном с вашей учетной записью пользователя. Ключи идентификации служат для подтверждения вашей личности как надлежащего пользователя, чтобы гарантировать, что только авторизованный персонал может получить доступ к данной учетной записи. В совокупности эти ключи называются пользовательскими ключами, поскольку они аутентифицируют личность пользователя. Как только сервер сможет проверить оба ключа, инициируется сеанс оболочки для выполнения ваших команд.

У вас также есть ключи хоста и сеансовые ключи. Протокол аутентифицирует локальный компьютер, систему или сервер с помощью ключа хоста. Сеансовые ключи помогают шифровать поток данных по соединению. Это делает ваш сеанс и соответствующую деятельность гораздо более безопасными и защищенными.

Преимущества ключей SSH перед защитой паролем

Основная причина, по которой аутентификация на основе ключей SSH предпочтительнее защиты паролем, заключается в том, что последняя может сделать вас уязвимыми для кибератак. Большинство людей не используют чрезвычайно сложные пароли, чтобы иметь возможность запомнить их при входе в систему. В результате это создает уязвимость. Многие злоумышленники используют метод подбора, чтобы взломать относительно простой пароль и проникнуть в учетную запись. В наши дни это стало особенно легко благодаря автоматизации и передовым технологиям хакинга.

Ключи SSH, с другой стороны, предлагают гораздо более безопасный способ получения доступа к вашей учетной записи. Как мы упоминали ранее, этот метод использует публичный и приватный ключи для аутентификации личности клиента. Хотя вы можете поделиться публичным ключом с кем угодно, приватный ключ необходимо держать в секрете. При совместном использовании публичный ключ расшифровывает приватный для подтверждения вашей личности. Кроме того, вы можете усилить защиту, добавив кодовую фразу поверх пары ключей. Мы подробнее поговорим о кодовой фразе далее в руководстве. Однако даже без кодовой фразы ваш приватный ключ SSH хранится в чрезвычайной безопасности на вашем локальном компьютере. Сеть никогда не сможет получить прямой доступ к ключу, который находится в защищенной директории и наделен ограниченными правами доступа.

Генерация ключей SSH

Чтобы сгенерировать пару ключей SSH, вам нужно обратиться к набору инструментов OpenSSH и найти ssh-keygen. Это специальная утилита, которая позволяет сгенерировать пару ключей SSH размером около 2048 бит. Начните с запуска этой команды:

При этом появится следующее сообщение:

В результате будет создан закрытый ключ с именем id_rsa и открытый ключ с именем id_rsa.pub. На этом этапе вы можете выбрать, где сохранить ключ. Мы рекомендуем оставить расположение по умолчанию, нажав Enter. Использование расположения по умолчанию гарантирует, что сервер автоматически найдет и проверит ключи при каждом входе в систему. Расположение по умолчанию — это каталог ~/.ssh в домашнем каталоге. Если вы предпочитаете выбрать другое место, введите путь к нему.

Перезапись старых SSH-ключей

Важно отметить, что в системе одновременно может быть только одна пара SSH-ключей. Это означает, что если вы ранее создавали и сохраняли пару ключей в системе, вы увидите следующее сообщение:

Чтобы продолжить создание и сохранение новой пары SSH-ключей, необходимо удалить существующую. Помните: если вы перезапишете ключ, уже сохраненный на диске, вы больше не сможете использовать его для аутентификации. Это необратимый процесс, поэтому убедитесь, что вы абсолютно уверены в том, что хотите перезаписать старую пару ключей.

Установка парольной фразы

После того как вы настроите ключи в каталоге, вам будет предложено ввести парольную фразу:

Парольная фраза необязательна — вы можете пропустить этот шаг. Однако она обеспечивает дополнительный уровень безопасности для вашего закрытого ключа, шифруя его на диске. Если вы решите использовать парольную фразу, вам придется вводить ее правильно каждый раз при попытке входа в систему с использованием этой пары SSH-ключей:

Наконец, теперь у вас должны быть SSH-ключи, которые вы можете использовать для аутентификации клиента.

Добавление вашего SSH-ключа в учетную запись сервера

Прежде чем использовать ключи для аутентификации, вам необходимо добавить открытый ключ на удаленный сервер Linux. Далее мы покажем, как это сделать при создании сервера CloudSigma. Сначала вам нужно найти свой открытый SSH-ключ, чтобы скопировать и вставить его. Если вы использовали описанный выше метод для генерации пары SSH-ключей, вы можете найти открытый ключ, введя следующее:

В результате открытый SSH-ключ отобразится следующим образом:

Скопируйте это значение, чтобы использовать его позже. При создании сервера в CloudSigma у вас есть возможность добавить SSH-ключ после выбора размера сервера и образа ОС:

Нажмите «Добавить» (Add) и вставьте скопированное значение, чтобы внедрить SSH-ключ в ваш сервер. В результате при каждой загрузке сервера в него уже будет встроен этот SSH-ключ.

Копирование публичного ключа на существующий сервер

Хотя описанный выше метод работает при создании нового сервера, можно ли внедрить SSH-ключ в уже существующий сервер? Ответ — да, и есть несколько способов сделать это в зависимости от того, какие инструменты есть в вашем распоряжении.

Использование SSH-Copy-ID

Это самый простой и легкий способ скопировать публичный ключ. Все, что вам нужно, — это утилита ssh-copy-id, которую вы найдете в стандартном пакете OpenSSH. Но прежде чем использовать этот метод, убедитесь, что на вашем сервере активирована аутентификация по паролю. Чтобы скопировать ключ, примените синтаксис ssh-copy-id, а затем укажите удаленный хост, к которому вы хотите подключиться. Вам также нужно будет указать учетную запись, к которой вы подключаетесь. У вас должен быть доступ к учетной записи по паролю, чтобы ваш ключ был скопирован в нужное место. Команда должна выглядеть следующим образом:

Это может привести к появлению на вашем экране сообщения следующего вида:

Обычно это происходит при первом подключении к конкретному удаленному хосту. Это просто означает, что компьютер не смог распознать хост. Все, что вам нужно сделать, это ввести «yes» и нажать Enter. Как только вы это сделаете, утилита просканирует учетную запись на наличие вашего публичного ключа. Обнаружив его, она попросит вас ввести пароль от вашей учетной записи:

Затем вы можете ввести свой пароль. После подключения к вашей учетной записи утилита скопирует содержимое ключа ~/.ssh/id_rsa.pub и вставит его в файл authorized_keys в каталоге ~/.ssh вашей удаленной учетной записи. После этого вы увидите следующее сообщение:

Это означает, что вы успешно скопировали свой публичный ключ на существующий удаленный сервер.

Использование SSH

Это довольно традиционный способ копирования публичного ключа на сервер. Его предпочтительно использовать, если у вас нет доступа к утилите ssh-copy-id. Опять же, вам необходим доступ к вашей учетной записи по паролю. По сути, вы выводите содержимое публичного ключа на своем компьютере и передаете его на удаленный сервер через установленное между ними SSH-соединение. Команда для этой цели должна выглядеть следующим образом:

Как видите, мы указали, что ключ должен быть помещен в файл authorized_keys в директории ~/.ssh на сервере. Использование символа >> также гарантирует, что мы добавляем ключи, а не перезаписываем их. После запуска команды вы можете увидеть следующее сообщение:

Как и в случае с предыдущим сообщением, это означает, что компьютер не распознал удаленный хост. Введите «yes» и нажмите Enter, чтобы продолжить. Теперь вам нужно будет ввести пароль учетной записи:

После проверки пароля ключ будет скопирован в файл в вашей учетной записи пользователя, как указано.

Вручную

Если у вас нет доступа по паролю к вашей учетной записи на удаленном сервере, вы можете скопировать публичный ключ вручную. Цель состоит в том, чтобы перенести значение из файла id_rsa.pub в файл ~/.ssh/authorized_keys на вашем удаленном устройстве. Как мы уже знаем, мы можем просмотреть значение ключа id_rsa.pub с помощью следующей команды:

Содержимое вашего публичного ключа SSH будет выглядеть следующим образом:

Затем вам необходимо получить доступ к своей учетной записи на удаленном хосте любым доступным способом. После входа в систему убедитесь, что директория ~/.ssh существует. Если нет, вы можете запустить следующую команду для ее создания:

Теперь вы можете использовать эту команду, чтобы добавить содержимое файла id_rsa.pub в файл authorized_keys в директории ~/.ssh на удаленном сервере:

Вместо ввода «public_key_string» в этой команде вам нужно будет ввести содержимое ключа, которое вы получили ранее при выполнении команды cat ~/.ssh/id_rsa.pub.

Аутентификация с помощью SSH-ключа

Теперь вы можете легко войти в свою учетную запись, используя только SSH-ключи. Это означает, что вам больше не нужен пароль для доступа к учетной записи сервера. Вы будете использовать учетные данные, которые обычно используете для входа:

Это может привести к появлению следующего сообщения:

Не беспокойтесь, если увидите это сообщение. Оно просто означает, что локальная система не может распознать удаленный хост. Обычно это происходит при самом первом подключении к хосту. Все, что вам нужно сделать, это ввести «yes» и нажать Enter. Возвращаясь к некоторым предыдущим шагам: если вы использовали парольную фразу, именно здесь вам придется ее ввести. Если нет, вы войдете в свою учетную запись сразу после аутентификации SSH-ключей. Это приведет к открытию нового сеанса оболочки через вашу текущую учетную запись на локальном компьютере.

Как отключить аутентификацию по паролю на вашем сервере?

Теперь, когда вы знаете, как настроить SSH-ключи, вам необходимо отключить аутентификацию по паролю. Даже если вы можете использовать SSH-ключи для аутентификации, вы все равно уязвимы для атак методом подбора (брутфорса), если процесс аутентификации по паролю активен. Прежде чем отключать механизм аутентификации по паролю, убедитесь, что аутентификация на основе SSH-ключей настроена для учетной записи root на сервере или что настроенная учетная запись имеет доступ sudo. Это необходимо подтвердить, чтобы гарантировать сохранение административного доступа к учетной записи даже при отключенных паролях. Теперь вы можете использовать этот SSH-ключ для входа в свою учетную запись на сервере. Следующий шаг — открыть конфигурационный файл демона SSH:

Здесь вам нужно найти следующую директиву:

Вам нужно раскомментировать эту строку и изменить значение на «no» следующим образом:

Это отключит аутентификацию по паролю. Просто сохраните файл и закройте его по завершении. Наконец, вам нужно перезагрузить устройство, чтобы применить изменения. Если вы используете устройство на базе Ubuntu или Debian, вы также можете использовать следующую команду для отключения входа по паролю:

Чтобы убедиться, что ваш демон (sshd) разрешает только аутентификацию на основе SSH на сервере под управлением CentOS или Fedora, используйте команду:

Заключение

После выполнения всех этих шагов на вашем сервере должна быть настроена и запущена аутентификация на основе SSH-ключей. Теперь вы можете быть уверены, что ваши серверы в безопасности и защищены!

Приятной работы!