OpenSSH - История изменений

Editor: доработка раздела про ssh-keygen и создание раздела про вопросы безопасности

2024-03-01T22:05:55Z

доработка раздела про ssh-keygen и создание раздела про вопросы безопасности

@@ Строка 52: / Строка 52: @@
 Здесь при помощи параметра -t указан тип ключа, при помощи параметра -C указан комментарий, который будет добавлен в открытый ключ.
-После запуска приложение запросит имя файла для сохранения секретного ключа, это будет файл .ssh/id_ed25519 в домашнем каталоге пользователя (т..е полный путь может выглядеть примерно так: /home/user/.ssh/id_ed25519), обычно нет необходимости его менять (если только уже не существует другой ключ, находящийся в том файле). Далее будет запрошен пароль и, далее, подтверждение пароля. Пароль будет невозможно сбросить, если вы его забудете, при этом хорошим тоном является установка стойкого к подбору пароля достаточной длины.
+После запуска приложение запросит имя файла для сохранения секретного ключа. В данном примере это будет файл .ssh/id_ed25519 в домашнем каталоге пользователя (т..е полный путь может выглядеть примерно так: /home/user/.ssh/id_ed25519), обычно нет необходимости его менять (если только уже не существует другой ключ, находящийся в том файле). Далее будет запрошен пароль и, далее, подтверждение пароля. Пароль будет невозможно сбросить, если вы его забудете, при этом хорошим тоном является установка стойкого к подбору пароля достаточной длины. Рядом с файлом секретного ключа будет создан файл с публичным ключом, отличающийся от него расширением .pub.
-Также эта утилита позволяет посмотреть отпечаток ключа сервера. Когда вы впервые подключаетесь к серверу SSH, то клиентское приложение показывает вам отпечаток ключа сервера, и вам следует сравнить его с реальным отпечатком ключа сервера, во избежание атаки типа [[MITM]]. Администратор сервера может посмотреть отпечаток ключа командой вида:
+Содержимое файла публичного ключа нужно добавить в файл authorized_keys в подкаталоге .ssh домашнего каталога пользователя, от имени которого вы должны входить в систему. Этот файл содержит строки вида:
    ssh-keygen -l -f /etc/ssh/ssh_host_ed25519_key.pub
@@ Строка 102: / Строка 106: @@
 === sftp ===
 Утилита sftp предназначена для копирования файлов между системами по защищённому протоколу. Работа с нею осуществляется иначе, чем с утилитой scp — пользователь подключается к удалённому серверу, может просматривать содержимое его каталогов и вводить команды для копирования файлов на сервер или с него.

Editor: уточнены данные про scp и добавлено очень краткое описание работы с sftp

2024-02-24T15:23:43Z

уточнены данные про scp и добавлено очень краткое описание работы с sftp

← Предыдущая версия		Версия от 18:23, 24 февраля 2024
Строка 98:		Строка 98:
	В данном примере копируется каталог directory со всем его содержимым (за что отвечает ключ -r, означающий рекурсивное копирование).		В данном примере копируется каталог directory со всем его содержимым (за что отвечает ключ -r, означающий рекурсивное копирование).

	Обратите внимание, что результат копирования будет разный в зависимости от того, существует последний элемент пути назначения или нет. Допустим, ~~во втором~~ примере, в каталоге directory находится файл file.txt. И, если бы на сервере в каталоге /home/user не было бы каталога tmp, то он был бы создан, а содержимое directory было бы скопировано в него, то есть, на сервере появился бы файл /home/user/tmp/file.txt. А если бы каталог tmp там существовал, то внутрь него был бы скопирован каталог directory вместе со всем содержимым, то есть, появился бы файл /home/user/tmp/directory/file.txt.		Обратите внимание, что результат копирования будет разный в зависимости от того, существует последний элемент пути назначения или нет. Допустим, в последнем примере в каталоге directory находится файл file.txt. И, если бы на сервере в каталоге /home/user не было бы каталога tmp, то он был бы создан, а содержимое directory было бы скопировано в него, то есть, на сервере появился бы файл /home/user/tmp/file.txt, или это можно сформулировать так, что каталог directory был бы скопирован на сервер под новым именем tmp. А если бы каталог tmp там уже существовал, то внутрь него был бы скопирован каталог directory вместе со всем содержимым, то есть, появился бы файл /home/user/tmp/directory/file.txt.

	=== sftp ===		=== sftp ===
			Утилита sftp предназначена для копирования файлов между системами по защищённому протоколу. Работа с нею осуществляется иначе, чем с утилитой scp — пользователь подключается к удалённому серверу, может просматривать содержимое его каталогов и вводить команды для копирования файлов на сервер или с него.

Editor: добавлено краткое описание работы с scp

2024-02-24T15:11:41Z

добавлено краткое описание работы с scp

← Предыдущая версия		Версия от 18:11, 24 февраля 2024
Строка 86:		Строка 86:

	Команда запросит пароль к заданному ключу. После чего ключ можно будет использовать без ввода пароля (до завершения процесса ssh-agent или удаления из него информации о ключе).		Команда запросит пароль к заданному ключу. После чего ключ можно будет использовать без ввода пароля (до завершения процесса ssh-agent или удаления из него информации о ключе).

			=== scp ===
			Утилита scp служит для копирования файлов по защищённому протоколу SCP между системами. Пример использования:

			scp -p file.txt user@example.com:/home/user/tmp

			В данном примере копируется файл file.txt на сервер example.com, в каталог /home/user/tmp, подключаясь к серверу под именем пользователя user. Ключ -p означает, что у скопированных файлов время модификации и доступа будут совпадать с исходными (иначе они будут соответствовать времени копирования).

			scp -pr directory user@example.com:/home/user/tmp

			В данном примере копируется каталог directory со всем его содержимым (за что отвечает ключ -r, означающий рекурсивное копирование).

			Обратите внимание, что результат копирования будет разный в зависимости от того, существует последний элемент пути назначения или нет. Допустим, во втором примере, в каталоге directory находится файл file.txt. И, если бы на сервере в каталоге /home/user не было бы каталога tmp, то он был бы создан, а содержимое directory было бы скопировано в него, то есть, на сервере появился бы файл /home/user/tmp/file.txt. А если бы каталог tmp там существовал, то внутрь него был бы скопирован каталог directory вместе со всем содержимым, то есть, появился бы файл /home/user/tmp/directory/file.txt.

			=== sftp ===

Editor: /* ssh-agent */

2024-02-24T14:38:34Z

ssh-agent

← Предыдущая версия		Версия от 17:38, 24 февраля 2024
Строка 72:		Строка 72:
	eval $(ssh-agent -s)		eval $(ssh-agent -s)

	Смысл этой конструкции в следующем. При вызове ssh-agent -s программа запускает фоновый процесс для работы с ключами, информация для подключения к нему выводится в ~~формате команд~~ оболочки ~~(установка значений~~ нескольких переменных ~~и т.д.)~~, например:		Смысл этой конструкции в следующем. При вызове ssh-agent -s программа запускает фоновый процесс для работы с ключами, информация для подключения к нему выводится в виде текста, содержащего команды оболочки, устанавливающие должным образом значения нескольких переменных, например:

	SSH_AUTH_SOCK=/tmp/ssh-43fFGNj1mMxC/agent.284145; export SSH_AUTH_SOCK;		SSH_AUTH_SOCK=/tmp/ssh-43fFGNj1mMxC/agent.284145; export SSH_AUTH_SOCK;

Editor: /* ssh */

2024-02-24T11:38:02Z

ssh

← Предыдущая версия		Версия от 14:38, 24 февраля 2024
Строка 21:		Строка 21:

	=== ssh ===		=== ssh ===
	Программа ssh является клиентом для подключения к SSH-серверу~~. Это наиболее часто используемая программа из набора приложений OpenSSH~~. Кроме предоставления доступа к командной оболочке удалённого сервера она также позволяет создавать защищённые туннели.		Программа ssh является клиентом для подключения к SSH-серверу. Кроме предоставления доступа к командной оболочке удалённого сервера она также позволяет создавать защищённые туннели.

	Обычный пример использования программы ssh		Обычный пример использования программы ssh:

	ssh user@example.com		ssh user@example.com
Строка 31:		Строка 31:
	При первом подключении приложение сообщит информацию об отпечатке ключа сервера и предложит подтвердить подключение (если вы заботитесь о безопасности, у вас должен быть отпечаток ключа сервера, его можно получить от администратора, также, к примеру, многие хостинг-провайдеры, предоставляющие доступ по ssh, публикуют информацию об отпечатках используемых ключей на своих сайтах).		При первом подключении приложение сообщит информацию об отпечатке ключа сервера и предложит подтвердить подключение (если вы заботитесь о безопасности, у вас должен быть отпечаток ключа сервера, его можно получить от администратора, также, к примеру, многие хостинг-провайдеры, предоставляющие доступ по ssh, публикуют информацию об отпечатках используемых ключей на своих сайтах).

	~~Если у вас есть несколько ключей~~, то ssh ~~может автоматически осуществить несколько попыток подключения с разными ключами~~, ~~до того~~, ~~как будет найден нужный~~. ~~Иногда это создаёт проблему~~, поскольку сервер может блокировать соединение при нескольких попытках соединения с неправильным паролем или ключом. ~~Для пользователя это выглядит так~~, ~~что соединение просто~~ не ~~устанавливается~~, ~~и он видит ошибку: «Too many authentication failures»~~. ~~Решить проблему можно указав нужный~~ ключ при помощи опции -i~~, к примеру~~:		Далее приложение ssh попытается осуществить аутентификацию. Обычный порядок действий такой: сначала будет осуществлена попытка использовать ключи, которые предоставит ssh-agent и ключи, находящиеся по стандартным именам (например, ~/.ssh/id_ed25519, ~/.ssh/id_rsa), в случае, если ни один ключ не будет принят сервером, то будет выдан запрос на ввод пароля.

			Вы можете указать ключ, который ssh должен использовать, при помощи опции -i:

	ssh -i ~/.ssh/id_ed25519 user@example.com		ssh -i ~/.ssh/id_ed25519 user@example.com

	~~Так~~ же ~~случаются~~ ситуации, когда вам нужно ~~подключиться к серверу~~ при помощи пароля, а не ~~ключа~~, ~~при этом ssh пытается использовать ваши ключи~~, и вы ~~также~~ получаете ~~ошибку~~ «Too many authentication failures». Чтобы указать ssh, что при данном подключении не нужно использовать ключи, что ~~нужна~~ только ~~парольная аутентификация~~, можно использовать следующий вариант:		Это может быть полезно в том случае, если ключ находится по нестандартному пути, а также в ситуации, когда настройки сервера требуют прерывать соединение при нескольких неудачных попытках соединения, и ssh, перебирая ключи, не успевает дойти до правильного. В таких ситуациях выводится сообщение «Too many authentication failures», и решить проблему можно указав нужный ключ при помощи опции -i.

			Такая же ошибка может возникнуть в ситуации, когда у вас нет ключа, подходящего для сервера, вам нужно зайти туда при помощи пароля, но ssh, перебирая имеющиеся ключи, просто не даёт дойти до парольной аутентификации, поскольку сервер отключается раньше, и вы получаете сообщение об ошибке «Too many authentication failures». Чтобы указать ssh, что при данном подключении не нужно использовать ключи, что требуется использовать только аутентификацию по паролю, можно использовать следующий вариант:

	ssh -o PreferredAuthentications=password user@example.com		ssh -o PreferredAuthentications=password user@example.com

Editor: /* ssh */

2024-02-23T19:16:08Z

ssh

@@ Строка 22: / Строка 22: @@
 === ssh ===
 Программа ssh является клиентом для подключения к SSH-серверу. Это наиболее часто используемая программа из набора приложений OpenSSH. Кроме предоставления доступа к командной оболочке удалённого сервера она также позволяет создавать защищённые туннели.
 === ssh-keygen ===

Editor: подробнее описана работа ssh-agent, изменено форматирование

2024-02-23T18:53:28Z

подробнее описана работа ssh-agent, изменено форматирование

← Предыдущая версия		Версия от 21:53, 23 февраля 2024
Строка 4:		Строка 4:
	Как правило, OpenSSH устанавливается при установке системы. В случае его отсутствия он может быть установлен следующей командой (на примере Debian GNU/Linux, установка и клиентской и серверной части):		Как правило, OpenSSH устанавливается при установке системы. В случае его отсутствия он может быть установлен следующей командой (на примере Debian GNU/Linux, установка и клиентской и серверной части):

	apt install openssh-client openssh-server		apt install openssh-client openssh-server

	== Приложения, входящие в состав OpenSSH ==		== Приложения, входящие в состав OpenSSH ==
Строка 26:		Строка 26:
	Программа ssh-keygen предназначена для генерирования криптографических пар ключей, используемых для аутентификации вместо паролей. Пример генерации криптографической пары ключей:		Программа ssh-keygen предназначена для генерирования криптографических пар ключей, используемых для аутентификации вместо паролей. Пример генерации криптографической пары ключей:

	ssh-keygen -t ed25519 -C 'My personal key'		ssh-keygen -t ed25519 -C 'My personal key'

	Здесь при помощи параметра -t указан тип ключа, при помощи параметра -C указан комментарий, который будет добавлен в открытый ключ.		Здесь при помощи параметра -t указан тип ключа, при помощи параметра -C указан комментарий, который будет добавлен в открытый ключ.
Строка 34:		Строка 34:
	Также эта утилита позволяет посмотреть отпечаток ключа сервера. Когда вы впервые подключаетесь к серверу SSH, то клиентское приложение показывает вам отпечаток ключа сервера, и вам следует сравнить его с реальным отпечатком ключа сервера, во избежание атаки типа [[MITM]]. Администратор сервера может посмотреть отпечаток ключа командой вида:		Также эта утилита позволяет посмотреть отпечаток ключа сервера. Когда вы впервые подключаетесь к серверу SSH, то клиентское приложение показывает вам отпечаток ключа сервера, и вам следует сравнить его с реальным отпечатком ключа сервера, во избежание атаки типа [[MITM]]. Администратор сервера может посмотреть отпечаток ключа командой вида:

	ssh-keygen -l -f /etc/ssh/ssh_host_ed25519_key.pub		ssh-keygen -l -f /etc/ssh/ssh_host_ed25519_key.pub

	В этой команде первый ключ -l означает просмотр отпечатка, после ключа -f идёт путь к открытому ключу, они по умолчанию имеют имена вида /etc/ssh/ssh_host_TYPE_key.pub, где вместо TYPE стоит тип ключа (rsa, ed25519 и т.д.).		В этой команде первый ключ -l означает просмотр отпечатка, после ключа -f идёт путь к открытому ключу, они по умолчанию имеют имена вида /etc/ssh/ssh_host_TYPE_key.pub, где вместо TYPE стоит тип ключа (rsa, ed25519 и т.д.).
Строка 40:		Строка 40:
	Иногда клиентское приложение выводит отпечаток ключа не в том виде, в котором вы его ожидаете увидеть. Например, отпечаток вы ожидаете увидеть как непрерывную строку алфавитно-цифровых символов, а клиент SSH показывает строку байт в шестнадцатеричном виде, разделённых двоеточиями. В таких случаях нужно выбрать формат, в котором программа выдаст информацию об отпечатке ключа, это делается при помощи ключа -E. Вот например как выглядит команда получения информации о ключе RSA, с выводом отпечатка ключа, полученного по алгоритму MD5:		Иногда клиентское приложение выводит отпечаток ключа не в том виде, в котором вы его ожидаете увидеть. Например, отпечаток вы ожидаете увидеть как непрерывную строку алфавитно-цифровых символов, а клиент SSH показывает строку байт в шестнадцатеричном виде, разделённых двоеточиями. В таких случаях нужно выбрать формат, в котором программа выдаст информацию об отпечатке ключа, это делается при помощи ключа -E. Вот например как выглядит команда получения информации о ключе RSA, с выводом отпечатка ключа, полученного по алгоритму MD5:

	ssh-keygen -l -f /etc/ssh/ssh_host_rsa_key.pub -E md5		ssh-keygen -l -f /etc/ssh/ssh_host_rsa_key.pub -E md5

	=== ssh-agent и ssh-add ===		=== ssh-agent и ssh-add ===
Строка 48:		Строка 48:
	Утилита ssh-agent служит для сохранения открытого ключа в расшифрованном виде между подключениями. Данное приложение запускается не совсем обычным образом (в примере предполагается использование командной оболочки bash):		Утилита ssh-agent служит для сохранения открытого ключа в расшифрованном виде между подключениями. Данное приложение запускается не совсем обычным образом (в примере предполагается использование командной оболочки bash):

	eval $(ssh-agent -s)		eval $(ssh-agent -s)

	Смысл этой конструкции в следующем. При вызове ssh-agent -s программа запускает фоновый процесс для работы с ключами, информация для подключения к нему выводится в формате команд оболочки (установка значений нескольких переменных и т.д.), а при помощи конструкции eval $(...) ~~тот~~ код выполняется в контексте текущей командной оболочки. Конечным результатом является установка в текущем сеансе переменных SSH_AGENT_PID и SSH_AUTH_SOCK, содержащих данные для подключения к ssh-agent. Эти данные будут нужны утилите ssh-add.		Смысл этой конструкции в следующем. При вызове ssh-agent -s программа запускает фоновый процесс для работы с ключами, информация для подключения к нему выводится в формате команд оболочки (установка значений нескольких переменных и т.д.), например:

			SSH_AUTH_SOCK=/tmp/ssh-43fFGNj1mMxC/agent.284145; export SSH_AUTH_SOCK;
			SSH_AGENT_PID=284146; export SSH_AGENT_PID;
			echo Agent pid 284146;

			А при помощи конструкции eval $(...) полученный код выполняется в контексте текущей командной оболочки. Конечным результатом является установка в текущем сеансе переменных SSH_AGENT_PID и SSH_AUTH_SOCK, содержащих данные для подключения к ssh-agent. Эти данные будут нужны утилите ssh-add.

	==== ssh-add ====		==== ssh-add ====
	Утилита ssh-add добавляет данные заданного ключа в фоновый процесс ssh-agent (который должен быть запущен ранее). Утилита обычно используется в таком формате:		Утилита ssh-add добавляет данные заданного ключа в фоновый процесс ssh-agent (который должен быть запущен ранее). Утилита обычно используется в таком формате:

	ssh-add ~/.ssh/id_ed25519		ssh-add ~/.ssh/id_ed25519

	Команда запросит пароль к заданному ключу. После чего ключ можно будет использовать без ввода пароля (до завершения процесса ssh-agent или удаления из него информации о ключе).		Команда запросит пароль к заданному ключу. После чего ключ можно будет использовать без ввода пароля (до завершения процесса ssh-agent или удаления из него информации о ключе).

Editor: /* ssh-agent и ssh-add */

2024-02-23T18:42:20Z

ssh-agent и ssh-add

← Предыдущая версия		Версия от 21:42, 23 февраля 2024
Строка 43:		Строка 43:

	=== ssh-agent и ssh-add ===		=== ssh-agent и ssh-add ===
	~~Если вы используете аутентификацию~~ по ключу, ~~то вам может потребоваться~~ каждый раз ~~вводить пароль от ключа при подключении~~ к ~~удалённому хосту~~. Это не очень удобно, при этом убирать пароль не рекомендуется из соображений безопасности. ~~Для упрощения работы~~ можно ~~использовать пару~~ утилит: ssh-agent и ssh-add, ~~первая из них служит для хранения информации~~ о ~~расшифрованных~~ ключах, ~~а вторая — добавляет в неё информацию~~ о ~~ключах~~.		При аутентификации по ключу используется криптографическая пара ключей, открытый ключ известен серверу, а закрытый находится на стороне пользователя, подключающегося к серверу. Закрытый ключ, в целях безопасности, рекомендуется защищать паролем, но это означает, что, без использования дополнительных средств, пользователю придётся вводить пароль каждый раз, когда он будет подключаться к серверу. Это не очень удобно, при этом убирать пароль не рекомендуется из соображений безопасности. При работе в Linux в графическом интерфейсе пароль может потребоваться вводить только один раз (до выхода пользователя из системы), то есть, задача обычно решается автоматически, без дополнительной настройки системы. При работе из консоли соответствующий результат можно получить при помощи пары утилит: ssh-agent и ssh-add. Сначала запускается ssh-agent, этот процесс будет хранить информацию о ключах, и, далее, при помощи ssh-add туда передаётся информация о ключе (на этом этапе нужно будет ввести пароль от него), и, далее, ssh сможет многократно использовать этот ключ без дополнительного запроса пароля.

	==== ssh-agent ====		==== ssh-agent ====
Строка 50:		Строка 50:
	eval $(ssh-agent -s)		eval $(ssh-agent -s)

	Смысл этой конструкции в следующем. При вызове ssh-agent -s программа запускает фоновый процесс для работы с ключами, информация для подключения к нему выводится в формате команд оболочки (установка значений нескольких переменных и т.д.), а при помощи конструкции eval $(...) тот код выполняется в контексте текущей командной оболочки. Конечным результатом является установка переменных SSH_AGENT_PID и SSH_AUTH_SOCK, содержащих данные для подключения к ssh-agent. Эти данные будут нужны утилите ssh-add.		Смысл этой конструкции в следующем. При вызове ssh-agent -s программа запускает фоновый процесс для работы с ключами, информация для подключения к нему выводится в формате команд оболочки (установка значений нескольких переменных и т.д.), а при помощи конструкции eval $(...) тот код выполняется в контексте текущей командной оболочки. Конечным результатом является установка в текущем сеансе переменных SSH_AGENT_PID и SSH_AUTH_SOCK, содержащих данные для подключения к ssh-agent. Эти данные будут нужны утилите ssh-add.

	==== ssh-add ====		==== ssh-add ====

Editor: подробнее описана работа с ssh-agent и ssh-add

2024-02-18T21:53:01Z

подробнее описана работа с ssh-agent и ssh-add

@@ Строка 12: / Строка 12: @@
 * ssh — клиент
 * ssh-keygen — утилита для генерирования ключей и управления ими
-* ssh-agent — приложение для хранения ключей в памяти
+* ssh-agent — приложение для хранения расшифрованных ключей в памяти
 * scp — утилита для безопасного копирования файлов, аналогичная утилите копирования cp
 * sftp — утилита для безопасной передачи файлов, аналогичная ftp-клиенту
@@ Строка 40: / Строка 41: @@
 ssh-keygen -l -f /etc/ssh/ssh_host_rsa_key.pub -E md5

Editor: подробнее описана работа с ssh-keygen

2024-02-18T21:20:04Z

подробнее описана работа с ssh-keygen

@@ Строка 11: / Строка 11: @@
 * sshd — сервер
 * ssh — клиент
-* ssj-keygen — утилита для генерирования ключей и управления ими
+* ssh-keygen — утилита для генерирования ключей и управления ими
 * ssh-agent — приложение для хранения ключей в памяти
 * scp — утилита для безопасного копирования файлов, аналогичная утилите копирования cp
@@ Строка 23: / Строка 23: @@
 === ssh-keygen ===
-Программа ssh-keygen предназначена для генерирования криптографических пар ключей, используемых для аутентификации вместо паролей.
+Программа ssh-keygen предназначена для генерирования криптографических пар ключей, используемых для аутентификации вместо паролей. Пример генерации криптографической пары ключей: