SSH står för Secure Shell eller Secure Socket Shell. Det är ett kryptografiskt nätverksprotokoll som tillåter användare och systemadministratörer att komma åt datorer över ett oskyddat nätverk som internet. Det används för att logga in på en fjärrserver, köra kommandon och överföra data från en maskin till en annan.
Var använder vi SSH?
SSH används för att ersätta oskyddade fjärrinloggningsprotokoll som Telnet, rlogin, rsh och andra, såväl som osäkra filöverföringsprotokoll som FTP. Nätverksadministratörer använder dess skyddsfunktioner i stor utsträckning. Vi kan använda SSH-protokollet i olika scenarier, till exempel:
- Möjliggör säker åtkomst för användare och automatiserade processer
- Utföra interaktiva och automatiserade filöverföringar
- Utfärda fjärrkommandon
- Hantera nätverksinfrastruktur och andra verksamhetskritiska systemkomponenter
Hur fungerar SSH?
SSH-protokollet fungerar på en klient-server-arkitektur, så en SSH-klient upprättar en säker anslutning till en SSH-server. SSH-klienten driver anslutningsprocessen och använder Public Key Infrastructure (PKI) för att verifiera SSH-serverns äkthet. När SSH-protokollet är konfigurerat använder det stark symmetrisk kryptering och hashalgoritmer för att säkerställa konfidentialiteten och integriteten hos den data som utbyts.
Vilka är de olika typerna av autentisering?
Nyckelbaserad autentisering
Den vanligaste formen av SSH-distribution är autentisering med offentlig nyckel. Den är att föredra framför enkla lösenord på grund av förbättrad säkerhet. Nyckelbaserad autentisering ger oöverträffad kryptografisk styrka, vilket är ännu mer än vad som erbjuds av mycket långa lösenord. SSH ökar säkerheten avsevärt genom autentisering med offentlig nyckel, vilket eliminerar användarnas behov av att komma ihåg komplexa lösenord.
Förutom säkerhet förbättrar autentisering med publik nyckel användbarheten. Detta gör det möjligt för användaren att implementera enkel inloggning (SSO) på alla SSH-servrar hen ansluter till. Nyckelbaserad autentisering möjliggör också automatiserade lösenordsfria inloggningar, en viktig funktion i de många säkra automatiserade processer som körs i företagsnätverk världen över.
Denna typ av autentisering genererar ett nyckelpar (offentlig och privat nyckel).
- Den publika nyckeln kopieras till SSH-servern och läggs som standard till i filen ~/.ssh/authorized_keys. Alla som har en kopia av den publika nyckeln kan kryptera data som bara kan läsas av de som har motsvarande privata nyckel.
- Den privata nyckeln finns (endast) kvar hos användaren. Endast en användare vars privata nyckel motsvarar serverns publika nyckel kan autentiseras. Privata nycklar bör förvaras och hanteras varsamt, och kopior av privata nycklar bör inte distribueras.
Nackdelar med nyckelbaserad autentisering
- Dålig SSH-nyckelhantering kan utgöra en stor risk för organisationer.
- Missbruk av SSH-nycklar kan leda till åtkomst till konfidentiell eller privilegierad information.
- Eftersom nycklar är permanent betrodda ökar det risken för en attack.
Certifikatbaserad autentisering
Denna typ av autentisering kräver inte godkännande och distribution av nyckel. Istället för att distribuera publika nycklar över statiska filer kan vi använda certifikat för att binda publika nycklar till namn. Ett certifikat innehåller data såsom en publik nyckel, ett namn och ytterligare data såsom utgångsdatum och behörigheter. Dessa data signeras av en certifieringsmyndighet (CA).
För att aktivera certifikatautentisering, konfigurera klienter och värdar för att verifiera certifikat med din CA:s offentliga nyckel (dvs. betrodda certifikat utfärdade av din CA).
På varje värd, redigera /etc/ssh/sshd_config och ange CA:s publika nyckel för att verifiera användarcertifikat, värdens privata nyckel och värdens certifikat.
På varje klient lägger du till en rad i ~/.ssh/known_hosts som anger CA:s publika nyckel för att verifiera värdcertifikat.
Fördelar med certifikatbaserade autentiseringar
- Den är enkel att använda som ett förtroende vid första användningen (TOFU); varningar visas inte eftersom certifikatautentisering använder certifikat för att kommunicera bindningar med publika nyckelringar, vilket gör att klienter kan autentisera sig hela tiden.
- Det effektiviserar verksamheten genom att eliminera processen för godkännande och distribution av nyckel. Det minskar också driftskostnaderna för att övervaka och underhålla befintlig infrastruktur för att lägga till, ta bort, synkronisera och granska statiska publika nyckelfiler.
- Det främjar god säkerhetshygien jämfört med nyckelbaserad autentisering. Risken att en komprometterad privat nyckel förblir obemärkt under en längre tid är ganska stor; certifikat, å andra sidan, löper ut, vilket innebär att vid stöld, missbruk etc. kommer den att löpa ut automatiskt, vilket gör den felsäker.
Slutsats
Certifikatbaserad autentisering har många fördelar, såsom förbättrad användbarhet, förstärkt säkerhet, effektivisering av verksamheten etc. Om det implementeras kommer det att hjälpa organisationer att minska komplexiteten i godkännande och distribution av nyckelord, risker relaterade till felaktig nyckelhantering och mycket mer.
