SSH Oturumlarını Güvenli Hale Getirme

Son zamanlarda çok sayıda insan bana SSH bağlantılarını ve bunları nasıl daha güvenli hale getirebileceklerini sordu ve SSH arka planda oturum açmak için hala klavye etkileşimli parola kimlik doğrulamasını kullanan çok sayıda insan beni şaşırttı. Bu makale, SSH bağlantınızı hızlandırmak ve güvenli hale getirmek için SSH anahtarlarının ve OpenSSH seçeneklerinin kullanımını açıklayacaktır.

SSH seçenekleri

Ayrıntı düzeyinizi artırmak, ssh bağlantınızı sıkıştırmak ve hızlandırmak ve SSH şifrenizi daha hızlı ve daha güvenli bir şeye dönüştürmek için OpenSSH’ye geçebileceğiniz birkaç yararlı seçenek vardır;

‘-v’ anahtarı. Bu seçenek, giden SSH bağlantıları için hata ayıklama çıktısını görmenize olanak sağlar. Birden çok kez ‘-v’ belirtilmesi ayrıntı düzeyini artırır (maksimum düzey 3).

‘-C’ anahtarı. Bu seçenek tüm SSH verilerinizi sıkıştırır. Bu seçeneği OpenSSH’ye geçirmek, yavaş ağlarda işleri önemli ölçüde hızlandırabilir, ancak yüksek hızlı ağlarda yalnızca işleri yavaşlatır.

‘-c’ anahtarı. Bu seçenek, şifreleme yönteminizi değiştirmenize izin verecektir. Varsayılan, güvenli olduğuna inanılan 3 yollu bir şifreleme yöntemi olan 3des’tir – ancak yine de çok güvenli olduğuna inanılan ve 3des’ten çok daha hızlı olan hızlı bir blok şifreleme olan blowfish de mevcuttur.

Örneğin, ‘example.com’ ana bilgisayarındaki bir ssh daemon’unda ‘foo’ kullanıcısı olarak oturum açmak istediğimi varsayalım. Maksimum ayrıntı düzeyi istiyorum, tüm verilerimi sıkıştırmak istiyorum ve SSH şifremizi blowfish olarak değiştirmek istiyorum. Komut şöyle görünecektir:

ssh -vvv -C -c blowfish -l foo example.com

(Not: Ayrıntı düzeyiniz ne kadar yüksekse, OpenSSH uzak SSH arka plan programında oturum açma sürecinden geçerken terminalinizde o kadar fazla metin alırsınız. Yalnızca bir -v belirtmek bile size gerçek bir bilgi akışı sağlayabilir. Rahat olduğunuz bir hata ayıklama düzeyi bulana kadar -v ile.)

SSH anahtarları

OpenSSH, genel / özel anahtar şifrelemesinin bir kombinasyonunu kullanan klavye etkileşimli parola kimlik doğrulamasından çok daha güvenli bir kimlik doğrulama yöntemini destekler. Biri uzak makinede sizi doğrulamak ve içeri girmenize izin vermek için bir çift anahtar oluşturulur. Diğeri uzak makinedeki anahtarla eşleşecek özel bir anahtardır.

Bir çift şifreleme anahtarı oluşturmak için, hem oturum açmayı planladığınız makinede hem de oturum açmayı düşündüğünüz makinede ssh-keygen (1) yardımcı programını kullanırsınız. Örneğin;

ssh-keygen -t rsa

-T seçeneği, oluşturulacak anahtarın türünü belirtir. Kullanılabilir seçenekler dsa ve rsa’dır.

Bu komutu UNIX makinelerinizden herhangi birine girmek size aşağıdaki gibi bir çıktı vermelidir:

$ ssh-keygen -t rsa
Genel / özel rsa anahtar çifti üretiliyor.
Anahtarın kaydedileceği dosyayı girin (/home/example/.ssh/id_rsa):
Parola girin (parola yoksa boştur):
Aynı parolayı tekrar girin:
Kimliğiniz /home/example/.ssh/id_rsa içine kaydedildi.
Genel anahtarınız /home/example/.ssh/id_rsa.pub içine kaydedildi.

Güvenliği en üst düzeye çıkarmak için bir parola belirlemeniz şiddetle tavsiye edilir. İyi parolalar 10 ila 30 karakter uzunluğundadır ve hiçbir şekilde kolayca tahmin edilemez. Bir parola girmezseniz, oturum açarken herhangi bir parola girmeden uzaktaki sisteminizde oturum açabileceksiniz.

Sonraki adım, oturum açmayı düşündüğünüz uzak makinede anahtarlarınızı yetkilendirmektir. Bunu, hedef makinenizde yetkili_keys adlı bir dosya kullanarak yapabilirsiniz. Scp (1) kullanarak ~ / .ssh / id_rsa.pub dosyanızı uzak makinenize kopyalayın

scp ~ / .ssh / id_rsa.pub ornek.com:.ssh/authorized_keys

Şimdi ssh (1) kullanarak hedef makinenize 1 hata ayıklama seviyesi ile giriş yapın
daha önce gösterildiği gibi;

ssh -v -C -c balon balığı -l foo example.com

Bunun gibi hata ayıklama mesajları göreceksiniz;

debug1: Devam edebilecek kimlik doğrulamaları: publickey, klavye etkileşimli
debug1: Sonraki kimlik doğrulama yöntemi: publickey
debug1: Genel anahtar sunuyor: /home/example/.ssh/id_rsa
debug1: Sunucu anahtarı kabul eder: pkalg ssh-dss blen 435
debug1: yapılan PEM özel anahtarını oku: rsa yazın

Daha sonra sizden anahtar parolanız istenmeli (eğer girmişseniz) ve ardından sisteme girmesine izin vermelisiniz. Genel / özel anahtarlarınızı oluştururken bir parola girmediyseniz, herhangi bir parola girmenize gerek kalmadan geçeceksiniz. Hatalarla karşılaşırsanız, her iki makinedeki ~ / .ssh dizinlerinizin izinlerini kontrol etmelisiniz.

Anahtar parolanızı herhangi bir zamanda değiştirmek isterseniz, ssh-keygen yardımcı programına -p bayrağını ileterek bunu yapabilirsiniz;

ssh-keygen -p