Noções Básicas de Linux: Como Criar e Instalar Chaves SSH no Shell

As chaves SSH oferecem uma maneira altamente segura de fazer login em um servidor com SSH, em comparação com a mera dependência de uma senha. Enquanto uma senha corre o risco de ser finalmente quebrada, as chaves SSH são praticamente impossíveis de decifrar usando força bruta. Na verdade, gerar um par de chaves oferece aos usuários duas longas sequências de caracteres correspondentes a uma chave pública e uma chave privada. Os usuários podem, assim, colocar a chave pública em qualquer servidor e, posteriormente, desbloqueá-lo conectando-se a ele com um cliente que já possui a chave privada. Após a correspondência das duas chaves, o sistema é desbloqueado sem qualquer dependência irritante de uma senha. A segurança pode ser ainda mais inteligentemente protegida ao proteger a chave privada com uma frase de acesso.

Instalação de Chaves SSH no Linux - Um Guia Passo a Passo

Abaixo está um guia passo a passo detalhando o processo de instalação de Chaves SSH em um servidor Linux:

Passo Um: Criação do Par de Chaves RSA

O primeiro passo no processo de instalação é criar o par de chaves na máquina cliente, que geralmente será seu próprio sistema. Os usuários precisam usar o seguinte comando:

ssh-keygen -o -b 4096 -t rsa

O comando acima inicia o processo de instalação da Chave SSH para os usuários. A opção -o instrui o ssh-keygen a armazenar a chave privada no novo formato OpenSSH em vez do antigo (e mais compatível formato PEM). É altamente recomendável usar a opção -o, pois o novo formato OpenSSH tem uma resistência aumentada a ataques de força bruta. Caso a opção -o não funcione em seu servidor (ela foi introduzida em 2014) ou você precise de uma chave privada no antigo formato PEM, então use o comando ‘ssh-keygen -b 4096 -t rsa‘.

A opção -b do comando ssh-keygen é usada para definir o comprimento da chave para 4096 bits em vez do padrão de 1024 bits por razões de segurança.

Após inserir o comando principal de Geração de Chave, os usuários precisam passar pelo seguinte procedimento respondendo aos seguintes prompts:

Digite o arquivo onde deseja salvar a chave (/home/demo/.ssh/id_rsa)

Os usuários precisam pressionar ENTER para salvar o arquivo no diretório inicial do usuário.

O próximo prompt será:

Digite a frase de acesso

Se, como administrador, você desejar atribuir uma frase de acesso, poderá fazê-lo quando solicitado (conforme a pergunta acima), embora isso seja opcional, e você pode deixar o campo vazio caso não deseje atribuir uma frase de acesso.

No entanto, é pertinente notar que digitar uma frase de acesso única oferece uma série de benefícios listados abaixo:

1. A segurança de uma chave, mesmo quando altamente criptografada, depende em grande parte de sua invisibilidade para qualquer outra parte. 2. Na provável ocorrência de uma chave privada protegida por frase de acesso cair nas mãos de um usuário não autorizado, ele ficará incapaz de fazer login em suas contas aliadas até que consiga quebrar a frase de acesso. Isso invariavelmente dá à vítima (o usuário hackeado) um precioso tempo extra para evitar a tentativa de hacking. Por outro lado, atribuir uma frase de acesso à chave exige que você a digite toda vez que usar o Par de Chaves, o que torna o processo um pouco tedioso, no entanto, absolutamente seguro.

Aqui está um esboço amplo do processo de geração de chaves de ponta a ponta:

A chave pública agora pode ser rastreada pelo link ~/.ssh/id_rsa.pub

A chave privada (identificação) agora pode ser rastreada pelo link-/home/demo/.ssh/id_rsa 3

Passo Dois: Copiando a Chave Pública

Uma vez que o par de chaves distinto tenha sido gerado, o próximo passo é colocar a chave pública no servidor virtual que pretendemos usar. Os usuários poderão copiar a chave pública para o arquivo authorized_keys da nova máquina usando o comando ssh-copy-id. Abaixo está o formato prescrito (estritamente um exemplo) para digitar o nome de usuário e o endereço IP, e deve ser substituído pelos valores reais do sistema:

ssh-copy-id [email protected]

Como alternativa, os usuários podem colar as chaves usando SSH (conforme o comando dado):

cat ~/.ssh/id_rsa.pub | ssh [email protected] "cat >> ~/.ssh/authorized_keys"

Qualquer um dos comandos acima, quando usados, exibirá a seguinte mensagem em seu sistema:

A autenticidade do host ‘192.168.0.100’ não pode ser estabelecida. A impressão digital da chave RSA é b1:2d:32:67:ce:35:4d:5f:13:a8:cd:c0:c4:48:86:12. Você tem certeza de que deseja continuar conectando (sim/não)? sim Aviso: Adicionado permanentemente ‘192.168.0.100’ (RSA) à lista de hosts conhecidos. A senha de [email protected]: Agora tente fazer login na máquina, com “ssh ‘[email protected]’”, e verifique em: ~/.ssh/authorized_keys para ter certeza de que não adicionamos chaves extras que você não esperava.

Após o procedimento acima, os usuários estão prontos para fazer login em [email protected] sem serem solicitados a inserir uma senha. No entanto, se você atribuiu anteriormente uma frase de acesso à chave (conforme o Passo 2 acima), será solicitado que você insira a frase de acesso neste ponto (e a cada vez para logins subsequentes).

Passo Três (Este Passo é Opcional): Desabilitando a Senha para Facilitar o Login como Root

Depois que os usuários copiaram suas chaves SSH para o servidor e garantiram um login sem problemas apenas com as chaves SSH, eles têm a opção de restringir o login como root e permitir o mesmo apenas através de chaves SSH. Para realizar isso, os usuários precisam acessar o arquivo de configuração SSH usando o seguinte comando:

sudo nano /etc/ssh/sshd_config

Uma vez que o arquivo é acessado, os usuários precisam encontrar a linha dentro do arquivo que inclui PermitRootLogin e modificá-la para garantir uma conexão à prova de falhas usando a chave SSH. O seguinte comando ajudará você a fazer isso:

PermitRootLogin without-password

O último passo do processo é implementar as alterações usando o seguinte comando:

reload ssh

O acima completa o processo de instalação de chaves SSH no servidor Linux.

Convertendo a chave privada OpenSSH para o novo formato

A maioria das chaves OpenSSH mais antigas são armazenadas no formato PEM. Embora esse formato seja compatível com muitos aplicativos mais antigos, ele tem a desvantagem de que a senha de uma chave privada protegida por senha pode ser atacada com ataques de força bruta. Este capítulo explica como converter uma chave privada no formato PEM para uma no novo formato OpenSSH.

ssh-keygen -p -o -f /root/.ssh/id_rsa

O caminho /root/.ssh/id_rsa é o caminho do arquivo da chave privada antiga.

Conclusão

Os passos acima ajudarão você a instalar chaves SSH em qualquer servidor privado virtual de maneira completamente segura, protegida e sem complicações.