第 23 章 安全网络

流程

1. 生成一个 ECDSA 密钥对：

   $ ssh-keygen -t ecdsa
   Generating public/private ecdsa key pair.
   Enter file in which to save the key (/home/<username>/.ssh/id_ecdsa):
   Enter passphrase (empty for no passphrase): <password>
   Enter same passphrase again: <password>
   Your identification has been saved in /home/<username>/.ssh/id_ecdsa.
   Your public key has been saved in /home/<username>/.ssh/id_ecdsa.pub.
   The key fingerprint is:
   SHA256:Q/x+qms4j7PCQ0qFd09iZEFHA+SqwBKRNaU72oZfaCI <username>@<localhost.example.com>
   The key's randomart image is:
   +---[ECDSA 256]---+
   |.oo..o=++        |
   |.. o .oo .       |
   |. .. o. o        |
   |....o.+...       |
   |o.oo.o +S .      |
   |.=.+.   .o       |
   |E.*+.  .  . .    |
   |.=..+ +..  o     |
   |  .  oo*+o.      |
   +----[SHA256]-----+

   您还可以使用没有任何参数的 ssh-keygen 命令生成一个 RSA 密钥对，或通过输入 ssh-keygen -t ed25519 命令生成一个 Ed25519 密钥对。请注意，Ed25519 算法不符合 FIPS-140，OpenSSH 在 FIPS 模式下无法使用 Ed25519 密钥。

2. 将公钥复制到远程机器上：

   $ ssh-copy-id <username>@<ssh-server-example.com>
   /usr/bin/ssh-copy-id: INFO: attempting to log in with the new key(s), to filter out any that are already installed
   <username>@<ssh-server-example.com>'s password:
   …
   Number of key(s) added: 1
   
   Now try logging into the machine, with: "ssh '<username>@<ssh-server-example.com>'" and check to make sure that only the key(s) you wanted were added.

   将 <username>@<ssh-server-example.com> 替换为您的凭证。

   如果您没有在会话中使用 ssh-agent 程序，上一个命令会复制最新修改的 ~/.ssh/id*.pub 公钥。要指定另一个公钥文件，或在 ssh-agent 内存中缓存的密钥优先选择文件中的密钥，使用带有 -i 选项的 ssh-copy-id 命令。

流程

1. 在文本编辑器中打开 /etc/ssh/sshd_config 配置，例如：

   # vi /etc/ssh/sshd_config

2. 将 PasswordAuthentication 选项改为 no:

   PasswordAuthentication no

3. 在不是新默认安装的系统上，检查是否设置了 PubkeyAuthentication 参数，或是否设置为 yes。

4. 将 ChallengeResponseAuthentication 指令设置为 no。

   请注意，相应的条目在配置文件中已被注释掉，默认值为 yes。

5. 要在 NFS 挂载的主目录中使用基于密钥的验证，启用 use_nfs_home_dirs SELinux 布尔值：

   # setsebool -P use_nfs_home_dirs 1

6. 如果您要进行远程连接，而不使用控制台或带外访问，在禁用密码验证前测试基于密钥的登录过程。

7. 重新载入 sshd 守护进程以应用更改：

   # systemctl reload sshd

流程

1. 将在您的会话中自动启动 ssh-agent 的命令添加到 ~/.bashrc 文件中：

   1. 在您选择的文本编辑器中打开 ~/.bashrc，例如：

      $ vi ~/.bashrc

   2. 在文件中添加以下行：

      eval $(ssh-agent)

   3. 保存更改，退出编辑器。

2. 在 ~/.ssh/config 文件中添加以下行：

   AddKeysToAgent yes

   使用此选项并在会话中启动了 ssh-agent ，代理仅在您第一次连接到主机时提示输入密码。

流程

1. 列出所有由 OpenSC PKCS #11 模块提供的密钥，包括其 PKCS #11 URIs，并将输出保存到 key.pub 文件：

   $ ssh-keygen -D pkcs11: > keys.pub

2. 将公钥传送到远程服务器。使用ssh-copy-id 命令和上一步中创建的 keys.pub 文件：

   $ ssh-copy-id -f -i keys.pub <username@ssh-server-example.com>

3. 使用 ECDSA 密钥连接到 <ssh-server-example.com>。您可以只使用 URI 的子集，它唯一引用您的密钥，例如：

   $ ssh -i "pkcs11:id=%01?module-path=/usr/lib64/pkcs11/opensc-pkcs11.so" <ssh-server-example.com>
   Enter PIN for 'SSH key':
   [ssh-server-example.com] $

   因为 OpenSSH 使用 p11-kit-proxy 包装器，且 OpenSC PKCS #11 模块已注册到 p11-kit 工具，因此您可以简化上一个命令：

   $ ssh -i "pkcs11:id=%01" <ssh-server-example.com>
   Enter PIN for 'SSH key':
   [ssh-server-example.com] $

   如果您跳过 PKCS #11 URI 的 id= 部分，则 OpenSSH 会加载代理模块中可用的所有密钥。这可减少输入所需的数量：

   $ ssh -i pkcs11: <ssh-server-example.com>
   Enter PIN for 'SSH key':
   [ssh-server-example.com] $

4. 可选：您可以使用 ~/.ssh/config 文件中的同一 URI 字符串使配置持久：

   $ cat ~/.ssh/config
   IdentityFile "pkcs11:id=%01?module-path=/usr/lib64/pkcs11/opensc-pkcs11.so"
   $ ssh <ssh-server-example.com>
   Enter PIN for 'SSH key':
   [ssh-server-example.com] $

   ssh 客户端工具现在自动使用此 URI 和智能卡中的密钥。