Die Grundlagen
Der SSH-Server hat mehrere Möglichkeiten, einen Client zu authentifizieren, der sich mit ihm verbindet. Die beliebteste Methode ist die passwortbasierte Authentifizierung, da sie die einfachste, aber nicht so sichere ist. Passwörter werden mit sicheren Mechanismen ausgetauscht, sind aber aufgrund der Benutzerfreundlichkeit im Allgemeinen nicht komplex oder lang. Dies ermöglicht es dem Angreifer, das Passwort durch Brute-Force- oder Wörterbuchangriffe zu knacken. In solchen Szenarien können die SSH-Schlüssel ein sicheres und zuverlässiges Mittel zur Authentifizierung für Clients bieten.
Der SSH-Server verwendet ein Kryptografieschema mit öffentlichem Schlüssel, um Benutzer zu authentifizieren. Bei diesem Schema wird zur Authentifizierung ein Schlüsselpaar generiert, ein öffentlicher Schlüssel und ein privater Schlüssel. Wie der Name schon sagt, wird ein privater Schlüssel vom Client geheim gehalten, da seine Kompromittierung dazu führen kann, dass sich jemand ohne zusätzliche Authentifizierung beim Server anmeldet.
Der entsprechende öffentliche Schlüssel zum geheimen privaten Schlüssel des Clients wird nicht geheim gehalten und auf Systeme kopiert, an denen sich der Benutzer anmeldet. Der private Schlüssel wird verwendet, um die mit dem zugehörigen öffentlichen Schlüssel des Clients verschlüsselte Nachricht zu entschlüsseln. Mit dem Schlüsselpaar können wir auch die passwortlose Authentifizierung aktivieren. Der vertrauenswürdige öffentliche Schlüssel des Clients wird in einer speziellen Datei mit dem Namen "authorized_keys" im Home-Verzeichnis des Benutzerkontos gespeichert.
Wenn ein Client versucht, den SSH-Server mithilfe von Schlüsseln zu authentifizieren, wird eine Abfrage mit dem im Server gespeicherten öffentlichen Schlüssel des Clients ausgegeben. Nach erfolgreicher Entschlüsselung der Herausforderung mit dem privaten Schlüssel des Clients erhält der Benutzer Zugriff auf die Shell des Servers.
Authentifizierung nur mit öffentlichem Schlüssel für ssh konfigurieren
1. Bearbeiten Sie als Root die Konfigurationsdatei des sshd-Daemons (/etc/ssh/sshd_config ).
2. Ändern Sie die Parameter PermitRootLogin und PubkeyAuthentication so, dass sie die folgenden Werte haben:
PermitRootLogin without-password PubkeyAuthentication yes
Erlauben Sie nur die schlüsselbasierte SSH-Anmeldung im Root-Konto, indem Sie den PermitRootLogin-Wert der Direktive auf ohne Passwort setzen wie oben gezeigt.
3. Überprüfen Sie, ob die Syntax der Konfigurationsdatei sshd_config korrekt ist, bevor Sie sshd deamon neu starten.
# sshd -t
Der obige Befehl sollte nichts zurückgeben. Das bedeutet, dass die Konfigurationsdatei syntaktisch korrekt ist und Sie sicher sind, den sshd-Daemon ohne Probleme neu zu starten.
4. Starten Sie den sshd-Daemon neu:
# service sshd restart
oder
# systemctl restart sshd