La suite OpenSSH permette di utilizzare oltre alla classica combinazione username/password anche una modalità di login passwordless che utilizza un meccanismo di chiavi pubbliche. L’autenticazione con chiavi pubbliche consente di accrescere la sicurezza di un server inibendo la possibilità di utilizzare le password e prevenendo in questo modo tutti i rischi derivanti dai ben noti bruteforce. Configurare un server per l’autenticazione con chiavi pubbliche è molto semplice.
Configurazione lato server
Apriamo il file di configurazione del demone SSH per modificare alcune impostazioni fondamentali :
# vim /etc/ssh/sshd_config
Se già presenti decommentiamo le direttive che seguono o inseriamo le righe necessarie per attivare il metodo di autenticazione desiderato :
RSAAuthentication yes
PubkeyAuthentication yes
AuthorizedKeysFile %h/.ssh/authorized_keys
Salviamo il file e riavviamo il demone SSH :
# service sshd reload
Configurazione lato client
Spostiamoci ora sul client, che può essere un secondo server oppure un semplice pc desktop dotato di una distribuzione Linux. Generiamo la coppia di chiavi (pubblica e privata) che ci serviranno per l’autenticazione al server :
# ssh-keygen -t rsa
Possibilmente ci verrà richiesta una password a protezione della chiave privata, che è buona norma impostare, avendo cura di scegliere una parola chiave difficilmente prevedibile e non inclusa in nessun dizionario. Dopo la generazione delle chiavi, entrambe verranno salvate nella home directory dell’utente utilizzato per la creazione delle stesse. Troveremo le due chiavi nella directory /home/user/.ssh/
Adesso è arrivato il momento di copiare la nostra chiave pubblica sul server al quale vogliamo autenticarci. Utilizzeremo il tool ssh-copy-id :
# ssh-copy-id -i /home/user/.ssh/id_rsa.pub user@server.remote.com
Ovviamente l’hostname server.remote.com dovrà essere sostituito dall’ip o dall’hostname effettivo del server a cui vogliamo collegarci.
Per motivi di sicurezza l’amministratore del server avrà potuto modificare la porta di accesso SSH spostandola su una porta non comune come 31500, 31600 o 31700. Per copiare la chiave pubblica su un server di destinazione che ha una porta d’accesso SSH diversa dalla 22 sarà sufficiente utilizzare il quoting :
# ssh-copy-id '-p 31500 -i /home/user/.ssh/id_rsa.pub user@server.remote.com'
Dopo aver copiato la chiave pubblica sul server potremo verificare l’accesso utilizzando il seguente comando :
# ssh user@server.remote.com
Nel caso di porta d’accesso differente dalla 22 il comando sarà :
# ssh -oPort=31500 user@server.remote.com
Buona autenticazione!
Post simili:
