Einrichten von public keys mit ssh - Versionsgeschichte

Gehrke: /* Weiter Hinweise */ => Weitere Hinweise

2014-01-31T06:31:26Z

‎Weiter Hinweise: => Weitere Hinweise

TomcatMJ: /* Public Schlüssel auf dem Server installieren */ Dieser Satz kein Verb? ;) Sinngemäß korrigiert..

2013-12-08T22:02:07Z

‎Public Schlüssel auf dem Server installieren: Dieser Satz kein Verb? ;) Sinngemäß korrigiert..

Robi: Struktur und li

2013-12-08T20:00:20Z

Struktur und li

Robi: Verweis auf Uraltbug entfernt

2013-12-08T19:45:53Z

Verweis auf Uraltbug entfernt

Gehrke: /* Schlüsselpaar erzeugen */ Hinweis auf Risiko des Diebstahls ohne Passphrase -> ssh-agent

2013-11-27T06:45:01Z

‎Schlüsselpaar erzeugen: Hinweis auf Risiko des Diebstahls ohne Passphrase -> ssh-agent

Gehrke: interne Struktur der Seite

2013-11-27T06:08:18Z

interne Struktur der Seite

Gehrke: /* Sicherheitsinfo */ interne Verlinkung

2013-11-26T13:27:23Z

‎Sicherheitsinfo: interne Verlinkung

Gehrke: Category:Netzwerk

2013-11-26T13:18:19Z

Category:Netzwerk

Gehrke: /* Sicherheitsinfo */ interne Verlinkung

2013-11-25T21:08:16Z

‎Sicherheitsinfo: interne Verlinkung

OnkelchenTobi: /* Sicherheitsinfo */

2008-05-14T21:37:58Z

‎Sicherheitsinfo

@@ Zeile 141: / Zeile 141: @@
-= Weiter Hinweise =
+= Weitere Hinweise =
 * Gut wäre noch, wenn wir ganz verbieten, dass man sich als root am Server anmelden kann. Als User angemeldet können wir immer noch zum User Root wechseln um Verwaltungsaufgaben zu erledigen. [[Kontrolliertes Ausfuehren von Befehlen als root]]
 <pre>
@@ Zeile 154: / Zeile 154: @@
 ssh -i id_dsa_netz1 server
 </pre>
 = Links =

@@ Zeile 72: / Zeile 72: @@
 == Public Schlüssel auf dem Server installieren ==
-* Der Öffentliche Schlüssel muss auf den Zielrechner kopiert werden, dazu kann man das script [http://linux.die.net/man/1/ssh-copy-id ssh-copy-id]
+* Der Öffentliche Schlüssel muss auf den Zielrechner kopiert werden, dazu kann man das script [http://linux.die.net/man/1/ssh-copy-id ssh-copy-id] benutzen oder man erledigt dieses zu Fuß, dazu am besten erstmal in das Home-Verzeichnis von hans
 <pre>
 hans@clientrechner:~> cd .ssh
@@ Zeile 99: / Zeile 98: @@
 hans@server:~> rm id_rsa.pub
 </pre>
 == den ssh-Deamon konfigurieren ==

@@ Zeile 1: / Zeile 1: @@
 = ssh-Verbindungen über asymmetrische Schlüssel abzusichern =
@@ Zeile 9: / Zeile 11: @@
 Mit welchen Methoden man sich am anderem Rechner letztlich ausweisen muss, um Zugriff zu erhalten, bestimmen die Einstellungen des [[ssh]]-Daemons am Server, die natürlich dort nur von root gemacht werden können. Ihm obliegt es, bestimmte Authentifizierungsverfahren zu erlauben oder zu sperren.
 ==Publickey-Authentifizierung==
 Hierbei wird ein Schlüsselpaar erzeugt. Wird mit einem dieser Schlüssel verschlüsselt, dann kann nur der andere Schlüssel das wieder entschlüsseln.
 Einer der beiden Schlüssel bleibt geheim, den anderen Schlüssel können alle haben, mit denen man kommunizieren will, er ist öffentlich. Wenn jetzt jemand mit dem öffentlichen Schlüssel die Nachricht entschlüsseln kann, dann muss der Versender der Nachricht der Inhaber des geheimen Schlüssels sein.
@@ Zeile 19: / Zeile 25: @@
 * '''clientrechner''' ist dabei der Name der Workstation des Users und '''server''' der Name des Rechners, an dem er sich mittels ssh anmelden möchte.
 == Schlüsselpaar erzeugen ==
 hans ist auf dem clientrechner in seinem homeverzeichnis
@@ Zeile 46: / Zeile 56: @@
 Einen Kompromiss zwischen den konkurrierenden Anforderungen in puncto Sicherheit einerseits und Useability andererseits bietet das Programm [[ssh-agent]]. Um abgesicherte Schlüssel zu verwenden und trotzdem nicht immer wieder zur Eingabe der Passphrase gezwungen zu sein, werden die Credentials hier einmalig abgefragt und für eine bestimmte Zeit im Arbeitsspeicher gehalten, so dass sämtliche folgenden Zugriffe als password-los erscheinen.
@@ Zeile 59: / Zeile 66: @@
 '''id_rsa''' enthält den privaten Schlüssel und sollte auf keinen Fall weitergegeben werden. ''Dieser Schlüssel indentifiziert uns eindeutig als '''hans@clientrechner'''''<br/>
 '''id_rsa.pub''' dagegen soll auf den Zielrechner kopiert werden.
 == Public Schlüssel auf dem Server installieren ==
 * Der Öffentliche Schlüssel muss auf den Zielrechner kopiert werden, am besten erstmal in das Home-Verzeichnis von hans
 <pre>
 hans@clientrechner:~> cd .ssh
@@ Zeile 87: / Zeile 99: @@
 hans@server:~> rm id_rsa.pub
 </pre>
 == den ssh-Deamon konfigurieren ==
@@ Zeile 122: / Zeile 137: @@
 Hans muss jetzt nur auf seinen privaten Schlüssel aufpassen. Sowohl Verzeichnis ~/.ssh als auch der private Schlüssel sollten immer für andere nicht lesbar sein. Wer noch sicherer gehen will, vergibt bei der Erzeugung des Schlüssels eine Passphrase. Die muss er dann aber beim Verbindungsaufbau immer angeben.
 = Authentifizierung mit PuTTY =

← Nächstältere Version		Version vom 8. Dezember 2013, 19:45 Uhr
Zeile 1:		Zeile 1:
−	~~= Sicherheitsinfo =~~
−
−	Vorweg eine kleine Sicherheitsinfo. [[OpenSSL]] hatte in [[Debian]] und seinen Derivaten einen schweren Sicherheitsfehler. Betroffen sind OpenSSL 0.9.8c-1 und neueren Versionen seit 17. September 2006. Alle Schluessel am besten neu generieren lassen nachdem die neue OpenSSL Version ''ohne Fehler'' eingespielt wurde.
−
−	* http://www.pro-linux.de/news/2008/12676.html
−	* http://www.pro-linux.de/security/8434
−
	= ssh-Verbindungen über asymmetrische Schlüssel abzusichern =		= ssh-Verbindungen über asymmetrische Schlüssel abzusichern =

@@ Zeile 40: / Zeile 40: @@
 Enter passphrase (empty for no passphrase):
 </pre>
-Hier kann man eine Passphrase eingeben, muss es aber nicht, wir geben nur Enter ein
+Hier kann man eine Passphrase eingeben, muss es aber nicht, wir geben nur Enter für eine leere Passphrase ein und bestätigen anschließend nochmal:
 <pre>
 Enter same passphrase again:
 Your identification has been saved in /home/hans/.ssh/id_rsa.
 Your public key has been saved in /home/hans/.ssh/id_rsa.pub.
@@ Zeile 52: / Zeile 49: @@
 hans@clientrechner:~>
 </pre>
 Im  Verzeichnis /home/hans/.ssh liegen jetzt zwei Dateien:
 <pre>
@@ Zeile 60: / Zeile 66: @@
 '''id_rsa''' enthält den privaten Schlüssel und sollte auf keinen Fall weitergegeben werden. ''Dieser Schlüssel indentifiziert uns eindeutig als '''hans@clientrechner'''''<br/>
 '''id_rsa.pub''' dagegen soll auf den Zielrechner kopiert werden.
 == Public Schlüssel auf dem Server installieren ==

@@ Zeile 6: / Zeile 6: @@
 * http://www.pro-linux.de/security/8434
-== ssh-Verbindungen über asymmetrische Schlüssel abzusichern ==
+= ssh-Verbindungen über asymmetrische Schlüssel abzusichern =
-'''Methoden die den Zugriff von OpenSSH zu steuern'''
+==Methoden die den Zugriff von OpenSSH zu steuern==
-OpenSSH kann auf verschiedene Weise vor unbefugtem Zugriffen abgesichert werden. Die Passwortabfrage, die per Voreinstellung aktiv ist, ist nur eine Möglichkeit, und nicht einmal die Sicherste. ''(Es sind  auch einige Methoden noch implementiert die traditionell von früheren Tools her stammen, diese sollte man aber möglichst nicht mehr verwenden.)'' <br/>
+[[OpenSSH]] kann auf verschiedene Weise vor unbefugtem Zugriffen abgesichert werden. Die Passwortabfrage, die per Voreinstellung aktiv ist, ist nur eine Möglichkeit, und nicht einmal die Sicherste. ''(Es sind  auch einige Methoden noch implementiert die traditionell von früheren Tools her stammen, diese sollte man aber möglichst nicht mehr verwenden.)''
-Da bei jedem Verbindungsaufbau die Hostschlüssel überprüft werden, gibt es die Möglichkeit bestimmte Rechner als vertrauenswürdig zu erklären, und Zugriffe von anderen Rechnern abzuweisen. Eine sehr sicher Methode, ist die Identifikation über asymmetrische Schlüssel, die publickey-Authentifizierung. Natürlich können alle Verfahren miteinander kombiniert werden, oder gleichberechtigt nebeneinander Zugriffe erlauben.
 Mit welchen Methoden man sich am anderem Rechner letztlich ausweisen muss, um Zugriff zu erhalten, bestimmen die Einstellungen des [[ssh]]-Daemons am Server, die natürlich dort nur von root gemacht werden können. Ihm obliegt es, bestimmte Authentifizierungsverfahren zu erlauben oder zu sperren.
 ==Publickey-Authentifizierung==
 Hierbei wird ein Schlüsselpaar erzeugt. Wird mit einem dieser Schlüssel verschlüsselt, dann kann nur der andere Schlüssel das wieder entschlüsseln.
 Einer der beiden Schlüssel bleibt geheim, den anderen Schlüssel können alle haben, mit denen man kommunizieren will, er ist öffentlich. Wenn jetzt jemand mit dem öffentlichen Schlüssel die Nachricht entschlüsseln kann, dann muss der Versender der Nachricht der Inhaber des geheimen Schlüssels sein.
@@ Zeile 26: / Zeile 26: @@
 * '''clientrechner''' ist dabei der Name der Workstation des Users und '''server''' der Name des Rechners, an dem er sich mittels ssh anmelden möchte.
-=== Schlüsselpaar erzeugen ===
+== Schlüsselpaar erzeugen ==
 hans ist auf dem clientrechner in seinem homeverzeichnis
@@ Zeile 62: / Zeile 62: @@
-=== Public Schlüssel auf dem Server installieren ===
+== Public Schlüssel auf dem Server installieren ==
 * Der Öffentliche Schlüssel muss auf den Zielrechner kopiert werden, am besten erstmal in das Home-Verzeichnis von hans
 <pre>
@@ Zeile 90: / Zeile 90: @@
 </pre>
-=== den ssh-Deamon konfigurieren ===
+== den ssh-Deamon konfigurieren ==
 Nun müssen wir noch den ssh-Server-Daemon konfigurieren. Das kann aber jetzt nur root auf diesem Server machen.
@@ Zeile 127: / Zeile 127: @@
-== Authentifizierung mit PuTTY ==
+= Authentifizierung mit PuTTY =
 Diese Art der Authentifizierung lässt sich auch mit PuTTY verwenden.
@@ Zeile 134: / Zeile 134: @@
-== Weiter Hinweise ==
+= Weiter Hinweise =
 * Gut wäre noch, wenn wir ganz verbieten, dass man sich als root am Server anmelden kann. Als User angemeldet können wir immer noch zum User Root wechseln um Verwaltungsaufgaben zu erledigen. [[Kontrolliertes Ausfuehren von Befehlen als root]]
 <pre>
@@ Zeile 150: / Zeile 150: @@
-== Links ==
+= Links =
 * [http://www.jfranken.de/homepages/johannes/vortraege/ssh1.de.html ssh-Vortragsscript von Johannes Franken]
 * http://www.employees.org/~satch/ssh/faq/ssh-faq.html
 * http://www.openssh.org/de/index.html
 [[Category:Security]] [[Category:Netzwerk]]

@@ Zeile 1: / Zeile 1: @@
 = Sicherheitsinfo =
-Vorweg eine kleine Sicherheitsinfo. [[OpenSSL]] hatte in Debian und seinen Derivaten einen schweren Sicherheitsfehler. Betroffen sind OpenSSL 0.9.8c-1 und neueren Versionen seit 17. September 2006. Alle Schluessel am besten neu generieren lassen nachdem die neue OpenSSL Version ''ohne Fehler'' eingespielt wurde.
+Vorweg eine kleine Sicherheitsinfo. [[OpenSSL]] hatte in [[Debian]] und seinen Derivaten einen schweren Sicherheitsfehler. Betroffen sind OpenSSL 0.9.8c-1 und neueren Versionen seit 17. September 2006. Alle Schluessel am besten neu generieren lassen nachdem die neue OpenSSL Version ''ohne Fehler'' eingespielt wurde.
 * http://www.pro-linux.de/news/2008/12676.html

← Nächstältere Version		Version vom 26. November 2013, 13:18 Uhr
Zeile 158:		Zeile 158:


−	[[Category:Security]]	+	[[Category:Security]] [[Category:Netzwerk]]