SSH raktų kūrimas ir naudojimas

2 modulis: SSH ir raktai · Skaitymo laikas: 10 min.

Mokymosi tikslas: Po šios pamokos galėsite sukurti raktų porą, įkelti viešąjį raktą į serverį, prisijungti be slaptažodžio ir laikyti privatųjį raktą taip, kad pamestas nešiojamasis kompiuteris netaptų nelaime.

Pagrindinės sąvokos: raktų pora, viešasis raktas, privatusis raktas, ed25519, RSA, slaptafrazė (passphrase), ssh-agent, ssh-copy-id, authorized_keys, teisės 700 ir 600, atskiras raktas kiekvienam įrenginiui, FIDO2 raktas

Kodėl raktai geresni už slaptažodžius

Pamokoje 1.3 prisijungėte slaptažodžiu. Tai veikia, tačiau internete esantį serverį nuo pat pirmos minutės lanko programos, kurios spėlioja slaptažodžius. Pažvelkite į naujo serverio žurnalą:

root@web1:~# journalctl -u ssh --since "1 hour ago" | grep -c "Failed password"
214

Šimtai bandymų per valandą yra įprastas dalykas. Stiprus slaptažodis juos sustabdo, tačiau taip palikote silpną vietą, kurios Jums nereikia. Naudojant SSH raktą spėlioti beprasmiška: nėra nieko, ką būtų galima rasti žodžių sąraše.

Raktą sudaro dvi viena kitai priklausančios dalys, vadinamos raktų pora:

• Privatusis raktas lieka Jūsų kompiuteryje. Kas turi šį failą (ir žino slaptafrazę), tas gali prisijungti. Niekam jo neatskleiskite, net savo paslaugų teikėjui ar pagalbos tarnybai.
• Viešąjį raktą perduodate serveriui. Jį gali matyti bet kas: juo prisijungti negalima, juo galima tik patikrinti.

Jungiantis serveris nesiunčia slaptažodžio ryšio linija. Jūsų kompiuteris parašu įrodo, kad turi privatųjį raktą, o serveris tą parašą patikrina viešuoju raktu. Net jei kas nors stebi tinklą, jis nepamatys nieko, ką vėliau galėtų panaudoti pakartotinai.

Rakto sukūrimas

Raktą kuriate savo kompiuteryje, ne serveryje. Windows 10 ir 11, macOS ir Linux sistemose ssh-keygen jau yra įdiegta. Atidarykite PowerShell arba Terminal:

anna@laptop:~$ ssh-keygen -t ed25519 -C "anna@laptop 2026"
Generating public/private ed25519 key pair.
Enter file in which to save the key (/home/anna/.ssh/id_ed25519):
Enter passphrase for "/home/anna/.ssh/id_ed25519" (empty for no passphrase):
Enter same passphrase again:
Your identification has been saved in /home/anna/.ssh/id_ed25519
Your public key has been saved in /home/anna/.ssh/id_ed25519.pub
The key fingerprint is:
SHA256:q3J8vX0bT2kPz9mWc1nR4sLh7uYdE5aF6gBiC0oN2xQ anna@laptop 2026

Kas čia vyksta?

• -t ed25519 parenka tipą. Ed25519 yra trumpas, greitas ir saugus, be to, nuo OpenSSH 9.5 tai numatytasis tipas, jei nieko nenurodote. Jei turite aptarnauti seną sistemą, kuri nepažįsta ed25519, naudokite RSA su ne mažiau kaip 3072 bitais: ssh-keygen -t rsa -b 4096. Senesni tipai, pavyzdžiui, DSA, iš OpenSSH pašalinti; jų nenaudokite.
• -C yra tik komentaras. Įrašykite tai, iš ko vėliau matysite, kuriam įrenginiui raktas priklauso. Tai labai praverčia, kai raktą reikia atšaukti.
• Slaptafrazė užšifruoja privatųjį raktą Jūsų diske. Jei pavogtų Jūsų nešiojamąjį kompiuterį, vagis turėtų tik užšifruotą failą. Be slaptafrazės jis iš karto gautų prieigą prie visų Jūsų serverių.

Dabar turite du failus:

Windows sistemoje jie yra C:\Users\anna\.ssh\. Viešasis raktas yra viena eilutė, prasidedanti ssh-ed25519:

anna@laptop:~$ cat ~/.ssh/id_ed25519.pub
ssh-ed25519 AAAAC3NzaC1lZDI1NTE5AAAAIHk2... anna@laptop 2026

Viešojo rakto įkėlimas į serverį

Serveris ieško viešųjų raktų naudotojo, kuriuo jungiatės, faile ~/.ssh/authorized_keys. Kiekviena eilutė yra vienas raktas. Raktą ten įkelti galima trimis būdais:

1. Diegimo metu. Daugelis paslaugų teikėjų, kuriant ar iš naujo diegiant VPS, siūlo laukelį viešajam raktui. WebOké VPS lange šis laukelis vadinasi „SSH raktas“; pas kitus teikėjus tai veikia panašiai. Tai geriausias būdas: tada slaptažodžio prisijungimo niekada nereikia įjungti.

2. Naudojant ssh-copy-id (macOS ir Linux), kol prisijungimas slaptažodžiu dar veikia:

anna@laptop:~$ ssh-copy-id anna@192.0.2.10
/usr/bin/ssh-copy-id: INFO: 1 key(s) remain to be installed
anna@192.0.2.10's password:
Number of key(s) added: 1

3. Rankiniu būdu, pavyzdžiui, iš Windows arba per paslaugų teikėjo konsolę. Įklijuokite eilutę iš savo .pub failo į authorized_keys ir nustatykite teisingas teises:

anna@web1:~$ mkdir -p ~/.ssh
anna@web1:~$ nano ~/.ssh/authorized_keys
anna@web1:~$ chmod 700 ~/.ssh
anna@web1:~$ chmod 600 ~/.ssh/authorized_keys

Šios teisės nėra smulkmena. SSH serveris jas tikrina (nustatymas StrictModes pagal numatytuosius nustatymus įjungtas): jei kiti gali rašyti į Jūsų .ssh aplanką arba namų aplanką, serveris Jūsų raktų nepaisys. Tuomet vėl tiesiog pamatysite slaptažodžio užklausą be aiškaus klaidos pranešimo. Kaip skaityti teises, sužinosite pamokoje 3.1.

Po to išbandykite naujame lange:

anna@laptop:~$ ssh anna@192.0.2.10
Enter passphrase for key '/home/anna/.ssh/id_ed25519':
anna@web1:~$

Dabar užklausa ateina iš Jūsų kompiuterio (Jūsų rakto slaptafrazė), o ne iš serverio.

ssh-agent: atrakinti vieną kartą

Kiekvieną kartą įvedinėti slaptafrazę nepatogu. ssh-agent laiko atrakintą raktą atmintyje, kol esate prisijungę prie savo kompiuterio:

anna@laptop:~$ ssh-add ~/.ssh/id_ed25519
Enter passphrase for /home/anna/.ssh/id_ed25519:
Identity added: /home/anna/.ssh/id_ed25519 (anna@laptop 2026)
anna@laptop:~$ ssh-add -l
256 SHA256:q3J8vX0bT2kPz9mWc1nR4sLh7uYdE5aF6gBiC0oN2xQ anna@laptop 2026 (ED25519)

macOS sistemoje agentas susiejamas su raktine (Keychain), o Windows sistemoje tai paslauga „OpenSSH Authentication Agent“ (vieną kartą įjunkite ją lange „Paslaugos“). Taip gaunate patogumą be slaptažodžio, o diske vis tiek lieka užšifruotas raktas.

Būkite atsargūs su agento persiuntimu (agent forwarding, ssh -A): jį naudojant serveris, prie kurio jungiatės, gali naudotis Jūsų agentu. Kas tame serveryje turi root teises, tas tada gali jungtis toliau Jūsų raktu. Naudokite jį tik serveriuose, kuriais visiškai pasitikite, arba naudokite ProxyJump (pamoka 2.3).

Atskiras raktas kiekvienam įrenginiui ir žinojimas, kur kuris yra

Dažna klaida: vieną privatųjį raktą nukopijuoti į nešiojamąjį kompiuterį, stalinį kompiuterį ir telefoną. Pametus vieną įrenginį, raktą tenka keisti visur ir iš naujo konfigūruoti visus įrenginius. Geriau:

• kiekviename įrenginyje sukurkite atskirą raktą su aiškiu komentaru (-C "anna@telefoon");
• visus viešuosius raktus įrašykite į authorized_keys, po vieną eilutėje;
• pametę įrenginį, pašalinkite tik tą vieną eilutę.

Reguliariai peržiūrėkite, kurie raktai turi prieigą:

anna@web1:~$ ssh-keygen -lf ~/.ssh/authorized_keys
256 SHA256:q3J8vX0bT2kPz9mWc1nR4sLh7uYdE5aF6gBiC0oN2xQ anna@laptop 2026 (ED25519)
256 SHA256:Zt5oP1yW8eQ3rK6sV0bN9mD2xA4cH7jL1uI5fG8tE3w anna@telefoon (ED25519)

Jei pamatysite rakto, kurio neatpažįstate, tai pavojaus signalas (pamoka 10.3). Įsilaužėliai mėgsta įrašyti savo raktą į authorized_keys, kad vėliau galėtų sugrįžti.

Galima naudoti ir aparatinį raktą (FIDO2, pavyzdžiui, YubiKey). Naudojant ssh-keygen -t ed25519-sk, slaptoji dalis saugoma pačiame rakte ir kiekvieną kartą jį reikia paliesti. Pavogtas failas tada bevertis. Tai puikus kitas žingsnis, tačiau pradžiai jo nereikia.

Pametėte privatųjį raktą?

Jei pametate vienintelį privatųjį raktą, o prisijungimas slaptažodžiu išjungtas, per SSH nebeprisijungsite. Todėl:

• serveryje visada turėkite bent du raktus (pavyzdžiui, nešiojamojo ir stalinio kompiuterio);
• žinokite, kaip veikia Jūsų paslaugų teikėjo konsolė (pamoka 1.2). Ten prisijungiate taip, lyg prie serverio būtų prijungta klaviatūra, ir tai veikia net be SSH. WebOké VPS lange tai vadinasi „Konsolė“; kiti teikėjai tai vadina VNC konsole, žiniatinklio konsole arba avarine konsole.

AlmaLinux ir Rocky Linux sistemose

Viskas šioje pamokoje veikia taip pat. Viena papildoma klastis: kai įjungta SELinux, ~/.ssh turi turėti teisingą saugumo žymą. Jei aplanką sukūrėte rankiniu būdu arba nukopijavote ir Jūsų raktas ignoruojamas, tai ištaisys restorecon -Rv ~/.ssh.

Santrauka

• Raktų porą sudaro privatusis raktas (lieka pas Jus) ir viešasis raktas (keliauja į serverį, į ~/.ssh/authorized_keys).
• Raktus kurkite su ssh-keygen -t ed25519 savo kompiuteryje, su slaptafraze; patogumui naudokite ssh-agent.
• Teisės svarbios: ~/.ssh turi būti 700, o authorized_keys 600, kitaip serveris Jūsų rakto nepaisys.
• Atskiras raktas kiekvienam įrenginiui su aiškiu komentaru, kad galėtumėte atšaukti vieną iš jų.
• Pasirūpinkite antru raktu ir žinokite paslaugų teikėjo konsolę kaip avarinį įėjimą.

Testas (quiz)

Užduotis

Užduotis O2.1: Rakto sukūrimas ir naudojimas. Savo kompiuteryje sukurkite ed25519 raktą su slaptafraze ir aiškiu komentaru, įkelkite jį į serverį (per paslaugų teikėjo laukelį, ssh-copy-id arba rankiniu būdu), patikrinkite teises ir naujame lange prisijunkite raktu. Po to įveskite savo rakto kontrolinį kodą (iš ssh-keygen -lf ~/.ssh/id_ed25519.pub) ir atsakykite į klausimus, kur laikomas Jūsų privatusis raktas ir ką darysite jį pametę. Programa tikrina tik, ar kontrolinio kodo forma teisinga; visa kita atliekate patys.

Skaitykite daugiau

Šiuose straipsniuose aprašyti veiksmai taikomi WebOké VPS langui ir valdymo skydeliams; pas kitus paslaugų teikėjus tai veikia panašiai.

• Prisijungimas prie Jūsų VPS per SSH (ir SSH rakto sukūrimas)
• DirectAdmin vadovas 15.2: SSH raktai ir prisijungimas per SSH
• Nebeturite prieigos prie savo VPS: ką daryti?
• ssh-keygen vadovas: https://man.openbsd.org/ssh-keygen
• OpenSSH 9.5 leidimo pastabos (ed25519 numatytasis): https://www.openssh.org/txt/release-9.5