SSH-Keys sichern durch Verschlüsselung

03 Jan SSH-Keys sichern durch Verschlüsselung

Ich habe ja letztes Jahr schon mal darüber geschrieben, wie man einen OS X Server dazu bringt, dass eine entfernte Anmeldung mittels ssh nicht mehr mit (der nicht so sicheren) Name/Kennwort-Kombination, sondern nur mit ssh-Keys möglich ist.

Der wichtige SSH-Key ist normalerweise ~/.ssh/id_rsa – das ist der private Key. Den public Key (id_rsa.pub) brauchen wir nicht zu schützen, den darf jeder kennen, aber unser private Key ist heikel. Der darf nicht in falsche Hände geraten, denn der private Key wird ja beim Key-based login verwendet. Wenn jemand anderes Zugriff auf diesen Key hat, könnte dieser jemand über ssh ohne Kennwortabfrage auf alle ssh-Server zugreifen, auf die wir zuvor den public-Key kopiert haben, um key-based login zu ermöglichen.

Der Schutz des private Keys ist also extrem wichtig. Wenn man beim Erstellen aber keine Passphrase angegeben hat, liegt er einfach so unverschlüsselt rum. Und das ist nicht gut. Wenn wir ihn verschlüsseln wollen, geht das ganz einfach mit dem Kommando:

ssh-keygen -p

Daraufhin werden wir gefragt, welches keyfile wir mit einer Passphrase schützen wollen (Default ist wieder ~/.ssh/id_rsa). Danach geben wir zweimal das gewünschte Kennwort ein. Wenn alles klappt wie gewünscht, haben wir einen verschlüsselten ssh Key. Zur Überprüfung kann man mittels

cat ~/.ssh/id_rsa

sich den Key anzeigen lassen. Er sollte in etwa so beginnen:

-----BEGIN RSA PRIVATE KEY-----
Proc-Type: 4,ENCRYPTED

Tja, jetzt haben wir also einen verschlüsselten Key, was die Situation sicherer macht, aber natürlich fragt uns dann das System immer wenn wir ihn benutzen wollen, nach der Passphrase. Glücklicherweise müssen wir das nur einmal eintippen und können die Passphrase im Schlüsselbund sichern. Wenn der Schlüsselbund offen ist, kann ab dann der ssh-agent die Passphrase zum verschlüsselten ssh-Key automatisch vom Schlüsselbund bekommen. Damit haben wir sowohl den gleichen Komfort wie mit dem unverschlüsselten ssh-Key, d.h. ein login ist möglich, ohne dass ein Kennwort eingetippt werden muss und gleichzeitig haben wir die Sicherheit verbessert, weil wenn jemand den private Key unberechtigt kopiert, kann er damit nichts anfangen, da dieser verschlüsselt ist. Und der Login-Schlüselbund ist genau der richtige Ort, um Single-Sign-On Informationen zu sichern.

Single-Sign-On ist auch gleich ein Hinweis, dass es in manchen Situationen noch eine weitere Methode geben kann, die sogar noch besser ist, allerdings auch ein bischen komplizierter: SSH-Login mittels Kerberos. Aber das gibt dann einen eigenen Blogpost. Irgendwann.