Bases de Linux : Comment créer et installer des clés SSH dans le shell

Les clés SSH offrent une méthode de connexion hautement sécurisée à un serveur via SSH, contrairement à une simple dépendance à un mot de passe. Alors qu’un mot de passe risque d’être finalement craqué, les clés SSH sont plutôt impossibles à déchiffrer par force brute. En fait, la génération d’une paire de clés offre aux utilisateurs deux longues chaînes de caractères correspondant à une clé publique ainsi qu’à une clé privée. Les utilisateurs peuvent donc placer la clé publique sur n’importe quel serveur et, par la suite, déverrouiller celui-ci en se connectant avec un client qui possède déjà la clé privée. Une fois les deux clés appariées, le système se déverrouille sans dépendance agaçante à un mot de passe. La sécurité peut être encore intelligemment renforcée en protégeant la clé privée avec une phrase de passe.

Installation des clés SSH sur Linux - Un guide étape par étape

Ci-dessous se trouve un guide étape par étape détaillant le processus d’installation des clés SSH sur un serveur Linux :

Étape Un : Création de la paire de clés RSA

La première étape du processus d’installation consiste à créer la paire de clés sur la machine cliente, qui est souvent votre propre système. Les utilisateurs doivent utiliser la commande suivante :

ssh-keygen -o -b 4096 -t rsa

La commande ci-dessus lance le processus d’installation de la clé SSH pour les utilisateurs. L’option -o indique à ssh-keygen de stocker la clé privée dans le nouveau format OpenSSH au lieu de l’ancien format PEM (plus compatible). Il est fortement recommandé d’utiliser l’option -o car le nouveau format OpenSSH a une résistance accrue aux attaques par force brute. Si l’option -o ne fonctionne pas sur votre serveur (elle a été introduite en 2014) ou si vous avez besoin d’une clé privée dans l’ancien format PEM, utilisez alors la commande ‘ssh-keygen -b 4096 -t rsa‘.

L’option -b de la commande ssh-keygen est utilisée pour définir la longueur de la clé à 4096 bits au lieu des 1024 bits par défaut pour des raisons de sécurité.

Après avoir entré la commande principale Gen Key, les utilisateurs doivent passer par le processus suivant en répondant aux invites suivantes :

Entrez le fichier où vous souhaitez enregistrer la clé (/home/demo/.ssh/id_rsa)

Les utilisateurs doivent appuyer sur ENTRER afin d’enregistrer le fichier dans le répertoire personnel de l’utilisateur.

L’invite suivante sera la suivante :

Entrez la phrase de passe

Si, en tant qu’administrateur, vous souhaitez attribuer la phrase de passe, vous pouvez le faire lorsque vous y êtes invité (comme indiqué ci-dessus), bien que cela soit optionnel, et vous pouvez laisser le champ vide si vous ne souhaitez pas attribuer de phrase de passe.

Cependant, il est pertinent de noter qu’entrer une phrase de passe unique offre une multitude d’avantages énumérés ci-dessous :

1. La sécurité d’une clé, même lorsqu’elle est hautement cryptée, dépend en grande partie de son invisibilité à toute autre partie. 2. Dans le cas probable où une clé privée sécurisée par une phrase de passe tomberait entre les mains d’un utilisateur non autorisé, celui-ci ne pourra pas se connecter à ses comptes associés tant qu’il ne pourra pas craquer la phrase de passe. Cela donne invariablement à la victime (l’utilisateur piraté) un temps précieux pour éviter la tentative de piratage. En revanche, attribuer une phrase de passe à la clé nécessite de la saisir chaque fois que vous utilisez la paire de clés, ce qui rend le processus un peu fastidieux, mais néanmoins absolument infaillible.

Voici un aperçu général du processus de génération de clés de bout en bout :

La clé publique peut maintenant être retrouvée à l’adresse ~/.ssh/id_rsa.pub.

La clé privée (identification) peut maintenant être retrouvée à l’adresse /home/demo/.ssh/id_rsa.

Étape Deux : Copier la clé publique

Une fois la paire de clés distincte générée, l’étape suivante consiste à placer la clé publique sur le serveur virtuel que nous souhaitons utiliser. Les utilisateurs pourront copier la clé publique dans le fichier authorized_keys de la nouvelle machine en utilisant la commande ssh-copy-id. Voici le format prescrit (strictement un exemple) pour entrer le nom d’utilisateur et l’adresse IP, et doit être remplacé par des valeurs réelles du système :

ssh-copy-id [email protected]

En alternative, les utilisateurs peuvent coller les clés en utilisant SSH (selon la commande donnée) :

cat ~/.ssh/id_rsa.pub | ssh [email protected] "cat >> ~/.ssh/authorized_keys"

Chacune des commandes ci-dessus, lorsqu’elle est utilisée, affichera le message suivant sur votre système :

L’authenticité de l’hôte ‘192.168.0.100’ ne peut pas être établie. L’empreinte de la clé RSA est b1:2d:32:67:ce:35:4d:5f:13:a8:cd:c0:c4:48:86:12. Êtes-vous sûr de vouloir continuer à vous connecter (oui/non) ? oui Avertissement : ‘192.168.0.100’ (RSA) a été ajouté de façon permanente à la liste des hôtes connus. Mot de passe de [email protected] : Maintenant, essayez de vous connecter à la machine, avec “ssh ‘[email protected]’”, et vérifiez dans : ~/.ssh/authorized_keys pour vous assurer que nous n’avons pas ajouté de clés supplémentaires que vous ne vous attendiez pas.

Après le processus ci-dessus, les utilisateurs sont prêts à se connecter à [email protected] sans être invités à entrer un mot de passe. Cependant, si vous avez précédemment attribué une phrase de passe à la clé (comme indiqué à l’étape 2 ci-dessus), vous serez invité à entrer la phrase de passe à ce moment (et chaque fois pour les connexions suivantes).

Étape Trois (Cette étape est optionnelle) : Désactiver le mot de passe pour faciliter la connexion root

Après que les utilisateurs ont copié leurs clés SSH sur leur serveur et ont assuré une connexion sans faille uniquement avec les clés SSH, ils ont la possibilité de restreindre la connexion root et de permettre celle-ci uniquement via les clés SSH. Pour ce faire, les utilisateurs doivent accéder au fichier de configuration SSH en utilisant la commande suivante :

sudo nano /etc/ssh/sshd_config

Une fois le fichier ouvert, les utilisateurs doivent trouver la ligne dans le fichier qui inclut PermitRootLogin, et la modifier pour assurer une connexion infaillible en utilisant la clé SSH. La commande suivante vous aidera à le faire :

PermitRootLogin without-password

La dernière étape du processus consiste à appliquer les modifications en utilisant la commande suivante :

reload ssh

Cela complète le processus d’installation des clés SSH sur le serveur Linux.

Conversion de la clé privée OpenSSH au nouveau format

La plupart des anciennes clés OpenSSH sont stockées au format PEM. Bien que ce format soit compatible avec de nombreuses anciennes applications, il a l’inconvénient que le mot de passe d’une clé privée protégée par un mot de passe peut être attaqué par des attaques par force brute. Ce chapitre explique comment convertir une clé privée au format PEM en une clé au nouveau format OpenSSH.

ssh-keygen -p -o -f /root/.ssh/id_rsa

Le chemin /root/.ssh/id_rsa est le chemin du fichier de clé privée ancien.

Conclusion

Les étapes ci-dessus vous aideront à installer des clés SSH sur n’importe quel serveur privé virtuel de manière totalement sûre, sécurisée et sans tracas.