Comment configurer l’authentification par clé SSH sur un serveur Linux

SSH, ou shell sécurisé, est un protocole crypté utilisé pour administrer et communiquer avec les serveurs. Lorsque vous travaillez avec un serveur Linux, il y a de fortes chances que vous passiez le plus clair de votre temps à une session de terminal connectée à votre serveur via SSH.

Bien qu’il existe différentes manières de se connecter à un serveur SSH, dans ce guide, nous allons nous concentrer sur la configuration des clés SSH. Les clés SSH constituent un moyen simple mais extrêmement sécurisé de se connecter à votre serveur. Pour cette raison, c’est la méthode que nous recommandons à tous les utilisateurs.

Un serveur SSH peut authentifier les clients en utilisant diverses méthodes. Le plus élémentaire est l’authentification par mot de passe, facile à utiliser, mais pas la plus sûre.

Bien que les mots de passe soient envoyés au serveur de manière sécurisée, ils ne sont généralement ni complexes, ni suffisamment longs pour résister aux attaquants persistants et répétés. La puissance de traitement moderne, combinée à des scripts automatisés, permet de forcer brutalement un compte protégé par mot de passe. Bien qu’il existe d’autres méthodes pour ajouter une sécurité supplémentaire (+ fail2ban +, etc.), les clés SSH s’avèrent être une alternative fiable et sécurisée.

Les paires de clés SSH sont deux clés cryptographiquement sécurisées qui peuvent être utilisées pour authentifier un client sur un serveur SSH. Chaque paire de clés comprend une clé publique et une clé privée.

La clé privée est conservée par le client et doit être absolument secrète. Toute compromission de la clé privée permettra à l’attaquant de se connecter aux serveurs configurés avec la clé publique associée sans authentification supplémentaire. À titre de précaution supplémentaire, la clé peut être chiffrée sur le disque avec une phrase secrète.

La clé publique associée peut être partagée librement sans aucune conséquence négative. La clé publique peut être utilisée pour chiffrer des messages que * seule * la clé privée peut déchiffrer. Cette propriété est utilisée comme moyen d’authentification à l’aide de la paire de clés.

La clé publique est téléchargée sur un serveur distant auquel vous souhaitez pouvoir vous connecter avec SSH. La clé est ajoutée à un fichier spécial dans le compte d’utilisateur auquel vous vous connecterez, appelé + ~ / .ssh / allowed_keys +.

Lorsqu’un client tente de s’authentifier à l’aide de clés SSH, le serveur peut le tester pour savoir s’il est en possession de la clé privée. Si le client peut prouver qu’il possède la clé privée, une session shell est générée ou la commande demandée est exécutée.

La première étape pour configurer l’authentification de clé SSH sur votre serveur consiste à générer une paire de clés SSH sur votre ordinateur local.

Pour ce faire, nous pouvons utiliser un utilitaire spécial appelé + ssh-keygen +, inclus dans la suite d’outils OpenSSH standard. Par défaut, cela créera une paire de clés RSA 2048 bits, ce qui convient à la plupart des utilisations.

Sur votre ordinateur local, générez une paire de clés SSH en tapant:

L’utilitaire vous invitera à sélectionner un emplacement pour les clés à générer. Par défaut, les clés seront stockées dans le répertoire + ~ / .ssh + du répertoire de base de votre utilisateur. La clé privée s’appellera + id_rsa + et la clé publique associée s’appellera + id_rsa.pub +.

Habituellement, il est préférable de s’en tenir à l’emplacement par défaut à ce stade. Cela permettra à votre client SSH de trouver automatiquement vos clés SSH lors de la tentative d’authentification. Si vous souhaitez choisir un chemin non standard, saisissez-le maintenant, sinon, appuyez sur Entrée pour accepter le chemin par défaut.

Si vous aviez précédemment généré une paire de clés SSH, une invite ressemblant à ceci peut s’afficher:

Si vous choisissez d’écraser la clé sur le disque, vous ne pourrez plus vous authentifier à l’aide de la clé précédente. Faites très attention lorsque vous sélectionnez Oui, car il s’agit d’un processus destructeur qui ne peut pas être inversé.

Ensuite, vous serez invité à entrer une phrase secrète pour la clé. Il s’agit d’une phrase secrète facultative qui peut être utilisée pour chiffrer le fichier de clé privée sur le disque.

Vous vous demandez peut-être quels sont les avantages d’une clé SSH si vous devez toujours entrer une phrase secrète. Certains des avantages sont:

Étant donné que la clé privée n’est jamais exposée au réseau et est protégée par des autorisations de fichier, ce fichier ne doit jamais être accessible à personne d’autre que vous (et l’utilisateur root). La phrase secrète sert de couche de protection supplémentaire au cas où ces conditions seraient compromises.

Un mot de passe est un ajout facultatif. Si vous en entrez un, vous devrez le fournir chaque fois que vous utilisez cette clé (sauf si vous exécutez un logiciel agent SSH qui stocke la clé déchiffrée). Nous vous recommandons d’utiliser une phrase secrète, mais si vous ne souhaitez pas définir de phrase secrète, vous pouvez simplement appuyer sur ENTREE pour ignorer cette invite.

Vous disposez maintenant d’une clé publique et privée que vous pouvez utiliser pour vous authentifier. L’étape suivante consiste à placer la clé publique sur votre serveur afin que vous puissiez utiliser l’authentification par clé SSH pour vous connecter.

Si vous démarrez un nouveau serveur DigitalOcean, vous pouvez automatiquement intégrer votre clé publique SSH dans le compte racine de votre nouveau serveur.

Vers le bas de la page de création de Droplet, il existe une option pour ajouter des clés SSH à votre serveur:

image: https: //assets.digitalocean.com/articles/ssh_key_overview/key_options.png [intégration de la clé SSH]

Si vous avez déjà ajouté un fichier de clé publique à votre compte DigitalOcean, vous le verrez ici comme une option sélectionnable (dans l’exemple ci-dessus, il existe deux clés: «clé de travail» et «clé de base»). Pour intégrer une clé existante, il suffit de cliquer dessus et elle sera mise en évidence. Vous pouvez intégrer plusieurs clés sur un seul serveur:

image: https: //assets.digitalocean.com/articles/ssh_key_overview/key_selection.png [sélection de la clé SSH]

Si vous n’avez pas encore de clé publique SSH téléchargée sur votre compte ou si vous souhaitez ajouter une nouvelle clé à votre compte, cliquez sur le bouton “+ Ajouter une clé SSH”. Cela va s’étendre à une invite:

image: https: //assets.digitalocean.com/articles/ssh_key_overview/key_prompt.png [invite de la clé SSH]

Dans la zone «Contenu de la clé SSH», collez le contenu de votre clé publique SSH. En supposant que vous ayez généré vos clés en utilisant la méthode ci-dessus, vous pouvez obtenir le contenu de votre clé publique sur votre ordinateur local en tapant:

Collez cette valeur, dans son intégralité, dans la plus grande case. Dans la zone «Commentaire (facultatif)», vous pouvez choisir une étiquette pour la clé. Ceci sera affiché comme nom de clé dans l’interface DigitalOcean:

image: https: //assets.digitalocean.com/articles/ssh_key_overview/new_key.png [nouvelle clé SSH]

Lorsque vous créez votre Droplet, les clés publiques SSH que vous avez sélectionnées seront placées dans le fichier + ~ / .ssh / registered_keys + du compte de l’utilisateur root. Cela vous permettra de vous connecter au serveur à partir de l’ordinateur avec votre clé privée.

Si vous disposez déjà d’un serveur et que vous n’avez pas incorporé de clés lors de la création, vous pouvez toujours télécharger votre clé publique et l’utiliser pour vous authentifier sur votre serveur.

La méthode que vous utilisez dépend en grande partie des outils dont vous disposez et des détails de votre configuration actuelle. Les méthodes suivantes donnent toutes le même résultat final. La méthode la plus simple et la plus automatisée est la première, et celles qui suivent nécessitent des étapes manuelles supplémentaires si vous ne pouvez pas utiliser les méthodes précédentes.

Si vous avez réussi l’une des procédures ci-dessus, vous devriez pouvoir vous connecter à l’hôte distant, sans le mot de passe du compte distant.

Le processus de base est le même:

Si vous vous connectez pour la première fois à cet hôte (si vous avez utilisé la dernière méthode ci-dessus), vous verrez peut-être quelque chose comme ceci:

Cela signifie simplement que votre ordinateur local ne reconnaît pas l’hôte distant. Tapez «oui» puis appuyez sur ENTREE pour continuer.

Si vous n’avez pas fourni de phrase secrète pour votre clé privée, vous serez immédiatement connecté. Si vous avez fourni une phrase secrète pour la clé privée lors de la création de la clé, vous devrez la saisir maintenant. Ensuite, une nouvelle session shell doit être créée pour vous avec le compte sur le système distant.

En cas de succès, continuez pour savoir comment verrouiller le serveur.

Si vous avez pu vous connecter à votre compte à l’aide de SSH sans mot de passe, vous avez correctement configuré l’authentification par clé SSH sur votre compte. Cependant, votre mécanisme d’authentification par mot de passe est toujours actif, ce qui signifie que votre serveur est toujours exposé à des attaques par force brute.

Avant de terminer les étapes décrites dans cette section, assurez-vous que l’authentification basée sur la clé SSH est configurée pour le compte root de ce serveur ou, de préférence, que l’authentification basée sur la clé SSH est configurée pour un compte sur ce serveur avec `+ sudo + `accès. Cette étape verrouille les connexions avec mot de passe. Il est donc essentiel de vous assurer que vous pourrez toujours obtenir un accès administrateur.

Une fois les conditions ci-dessus remplies, connectez-vous à votre serveur distant à l’aide de clés SSH, en tant qu’utilisateur root ou avec un compte doté des privilèges + sudo +. Ouvrez le fichier de configuration du démon SSH:

Dans le fichier, recherchez une directive appelée + PasswordAuthentication +. Cela peut être commenté. Décommentez la ligne et définissez la valeur sur «non». Cela désactivera votre capacité à vous connecter via SSH à l’aide de mots de passe de compte:

Enregistrez et fermez le fichier lorsque vous avez terminé. Pour réellement mettre en œuvre les modifications que nous venons de faire, vous devez redémarrer le service.

Sur les machines Ubuntu ou Debian, vous pouvez exécuter cette commande:

Sur les machines CentOS / Fedora, le démon s’appelle + sshd +:

Une fois cette étape terminée, vous avez transféré votre démon SSH avec succès pour ne répondre qu’aux clés SSH.

L’authentification basée sur une clé SSH doit maintenant être configurée et en cours d’exécution sur votre serveur, ce qui vous permet de vous connecter sans fournir de mot de passe pour votre compte. De là, vous pouvez vous diriger vers de nombreuses directions. Si vous souhaitez en savoir plus sur l’utilisation de SSH, consultez notre https://www.digitalocean.com/community/tutorials/ssh-essentials-working-with-ssh-servers-clients-and-keys [ Guide sur les bases de SSH].