Configurando un acceso SSH más seguro
La autenticación con clave pública para conectarse a un servidor remoto usando el protocolo SSH funciona con dos claves: una pública y otra privada. Para entender el funcionamiento se suele recurrir a la metáfora del candado y la llave. La clave pública funciona como un candado y la privada como la llave. El candado se colocará en el servidor remoto al que se quiere acceder; cuando se intenta acceder se comprobará que la máquina que intenta conectar tiene la llave, la clave privada.
Para configurar el acceso SSH con clave pública hay que:
- Generar el par de claves pública/privada.
- Copiar la clave pública al servidor.
- Deshabilitar el acceso al servidor con contraseña.
Cómo generar el par de claves pública/privada
Para generar las claves se puede usar ssh-keygen en la máquina local desde la que se quiere conectar con el servidor:
1 | ssh–keygen –b 4096 |
ssh-keygen pide la ruta y el nombre del archivo que alojará las claves pública y privada. Se puede guardar donde se quiera, pero la carpeta debe tener permisos 700 y el archivo con la clave privada 600. De lo contrario la conexión no se establecerá. La clave privada se puede proteger a su vez con una contraseña. De esta manera, si cae en manos no deseadas, lo tendrá un poco más difícil para usarla.
1 2 3 4 5 6 7 | user@localmachine$ ssh–keygen –b 4096 Generating public/private rsa key pair. Enter file in which to save the key (/home/user/.ssh/id_rsa): Enter passphrase (empty for no passphrase): Enter same passphrase again: Your identification has been saved in /home/user/.ssh/id_rsa. Your public key has been saved in /home/user/.ssh/id_rsa.pub. |
ssh-keygen generará dos archivos:
- id_rsa es la clave privada, la que permanecerá en la máquina local.
- id_rsa.pub es la clave pública, la que se tiene que copiar al servidor remoto al que se quiere acceder.
Copiar la clave pública al servidor
Una vez generado el par de claves en la máquina local hay que copiar la clave pública al servidor remoto:
1 | user@localmachine$ scp ~/.ssh/id_rsa.pub user@remotemachine:/home/user/uploaded_key.pub |
La clave pública hay que incluirla en el archivo /home/user/.ssh/authorized_keys. Si la carpeta .ssh no existe, la creamos antes de copiar, así como el archivo authorized_keys:
1 2 3 4 | user@remotemachine$ mkdir .ssh user@remotemachine$ chmod 700 .ssh user@remotemachine$ touch .ssh/authorized_keys user@remotemachine$ chmod 600 .ssh/authorized_keys |
Por último copiamos la clave y borramos el archivo copiado al servidor:
1 2 | user@remotemachine$ echo `cat ~/uploaded_key.pub` >> ~/.ssh/authorized_keys user@remotemachine$ rm /home/user/uploaded_key.pub |
Deshabilitar el acceso al servidor con contraseña
Una vez habilitado el acceso SSH mendiante clave pública, se puede deshabilitar el acceso con contraseña. Esto aumentará la seguridad, pero implica que si se pierde la clave privada se perderá el acceso al servidor: hay que guardar cuidadosamente la clave privada.
La configuración del servidor SSH se puede encontrar en el archivo /etc/ssh/sshd_config. Para deshabilitar el acceso SSH con contraseña hay que añadir la siguiente línea, editando el archivo como root:
1 | PasswordAuthentication no |
Para aumentar la seguridad se pueden hacer dos ajustes adicionales en el archivo /etc/ssh/sshd_config:
Desactivar el acceso ssh para el usuario root:
1 | PermitRootLogin no |
Dar acceso SSH solo a los usuarios que lo necesiten, y no a todos:
1 | AllowUsers usuario1 usuario2 |
Una vez realizados los cambios, hay que reiniciar el servidor SSH, siempre como root:
1 | service sshd restart |
Acceder al servidor con clave pública
Para conectarse al servidor con clave pública en vez de contraseña:
1 | user@localmachine$ ssh user@remotemachine |
Podemos especificar la clave privada a usar con la opción -i:
1 | user@localmachine$ ssh –i id_rsa user@remotemachine |
