Différences
Ci-dessous, les différences entre deux révisions de la page.
Les deux révisions précédentesRévision précédenteProchaine révision | Révision précédenteProchaine révisionLes deux révisions suivantes | ||
fr:ssh [2018/03/22 10:08] – [Paramétrer sshd_config] merlin8282 | fr:ssh [2018/10/07 14:53] – [RSA ou ECDSA ?] Refonte partielle en incluant Ed25519 Tycho Brahe | ||
---|---|---|---|
Ligne 14: | Ligne 14: | ||
==== Générer une clé ==== | ==== Générer une clé ==== | ||
Ouvrez une console et générez une paire de clefs : | Ouvrez une console et générez une paire de clefs : | ||
- | ssh-keygen -t rsa -b 4096 | + | ssh-keygen -t ed25519 |
Ou | Ou | ||
- | ssh-keygen -t ecdsa -b 521 | + | ssh-keygen |
Vous devriez avoir le texte suivant qui s' | Vous devriez avoir le texte suivant qui s' | ||
- | < | + | < |
- | Enter file in which to save the key (/ | + | Enter file in which to save the key (/ |
Enter passphrase (empty for no passphrase): | Enter passphrase (empty for no passphrase): | ||
Enter same passphrase again: | Enter same passphrase again: | ||
- | Your identification has been saved in / | + | Your identification has been saved in / |
- | Your public key has been saved in / | + | Your public key has been saved in / |
+ | The key fingerprint is: | ||
+ | SHA256: | ||
+ | The key's randomart image is: | ||
+ | +--[ED25519 256]--+ | ||
+ | | =o | | ||
+ | | | ||
+ | | . o.. | | ||
+ | | . ..*. | | ||
+ | | . S . .o+o.| | ||
+ | | + o oo =oB| | ||
+ | | . + o .E.BO| | ||
+ | | . o ...%+=| | ||
+ | | . .*=B+| | ||
+ | +----[SHA256]-----+</ | ||
Si vous n' | Si vous n' | ||
Ligne 30: | Ligne 44: | ||
- | Une clef publique/ | + | Une clef publique/ |
- | L' | + | L' |
+ | L' | ||
+ | ssh-keygen -p -o -f chemin/ | ||
+ | === RSA, ECDSA ou Ed25519 ? === | ||
+ | Il existe différents protocoles pour générer une clé, en suivant la syntaxe '' | ||
+ | * DSA n'est plus accepté partout car considéré comme insuffisamment sûr. | ||
+ | * RSA est la référence par défaut, acceptée sur tous les serveurs. Cependant, afin de rester sûr il est nécessaire de générer des clés très grandes et sa conception fait que nous atteignons actuellement une limite de taille, [[https:// | ||
+ | * ECDSA est une variante de DSA qui, contrairement à ce dernier, repose sur l' | ||
+ | * Ed25519, aussi appelé EDDSA, est, tout comme ECDSA, une variante de DSA utilisant les courbes elliptiques. La différence avec ECDSA est l' | ||
- | + | Actuellement (octobre 2018) les seules clés considérées comme fiables sont les clés Ed25519, ECDSA ou RSA d'une taille au moins égale | |
- | + | ||
- | + | ||
- | === RSA ou ECDSA ? === | + | |
- | Il existe différents protocoles pour générer | + | |
- | + | ||
- | * DSA n'est plus accepté partout, c'est vraiment ancien. | + | |
- | * ECDSA est théoriquement accepté partout à présent et son empreinte est moins longue, donc plus rapide | + | |
- | * Enfin, RSA est la référence, | + | |
- | + | ||
- | Y' | + | |
- | + | ||
==== Le fichier / | ==== Le fichier / | ||
Ce fichier permet de personnaliser ses accès à ssh de façon extrêmement pratique. | Ce fichier permet de personnaliser ses accès à ssh de façon extrêmement pratique. | ||
Ligne 91: | Ligne 101: | ||
<WRAP center round tip 90%> | <WRAP center round tip 90%> | ||
- | Cela n'a généralement aucun intérêt : la même clé peut vous permettre de vous connectez sur tous les serveurs que vous souhaitez. Les clés asymétriques ne sont pas comme les mots de passe ; la sécurité n' | + | Cela n'a généralement aucun intérêt : la même clé peut vous permettre de vous connectez sur tous les serveurs que vous souhaitez. Les clés asymétriques ne sont pas comme les mots de passe ; la sécurité n' |
Cependant, c'est parfois une manipulation nécessaire. Par exemple, il fut un temps où Bitbucket ne supportait pas ECDSA, il fallait donc une clé RSA pour ce service et quelques autres serveurs en retard. | Cependant, c'est parfois une manipulation nécessaire. Par exemple, il fut un temps où Bitbucket ne supportait pas ECDSA, il fallait donc une clé RSA pour ce service et quelques autres serveurs en retard. | ||
Ligne 99: | Ligne 109: | ||
Imaginons qu'on ait généré deux clefs RSA comme indiqué au-dessus. Il suffit d' | Imaginons qu'on ait généré deux clefs RSA comme indiqué au-dessus. Il suffit d' | ||
- | * cle1 pour aller sur le serveur 1 | + | * cle1 pour aller sur le serveur 1 |
* cle2 pour aller sur le serveur 2 | * cle2 pour aller sur le serveur 2 | ||
Ligne 201: | Ligne 211: | ||
* l' | * l' | ||
</ | </ | ||
+ | |||
+ | S'il y a plusieurs administratrices sur une même machine, les bonnes pratiques recommandent de les mettre dans un même groupe (historiquement " | ||
+ | |||
+ | <WRAP center round tip 60%> | ||
+ | Astuce : si vous avez plusieurs machines où les mêmes sysadmins ont les mêmes privilèges, | ||
+ | </ | ||
+ | |||
==== Paramétrer sshd_config ==== | ==== Paramétrer sshd_config ==== | ||
Ligne 207: | Ligne 224: | ||
<WRAP center round important 60%> | <WRAP center round important 60%> | ||
- | Cette partie a été mise à jour le 6 février 2018. La sécurité étant un domaine en perpétuelle évolution, tenez-vous au courant | + | Cette partie a été mise à jour le 6 février 2018. La sécurité étant un domaine en perpétuelle évolution, tenez-vous au courant, n' |
</ | </ | ||
Ligne 237: | Ligne 253: | ||
# UsePrivilegeSeparation yes | # UsePrivilegeSeparation yes | ||
- | La première option, si elle est supportée par votre version de SSH, permet de bien séparer les privilèges et est à privilégier. Si vous avez une version SSH un peu plus ancienne, la seconde reste très acceptable. | + | La première option, si elle est supportée par votre version de SSH, permet de bien séparer les privilèges et est à privilégier. Si vous avez une version SSH un peu plus ancienne |
AllowUsers Pseudo1 Moi Toiaussi | AllowUsers Pseudo1 Moi Toiaussi | ||
- | | + | |
- | '' | + | '' |
- | L' | + | L' |
À noter que vous pouvez aussi spécifier l' | À noter que vous pouvez aussi spécifier l' | ||
Ligne 255: | Ligne 271: | ||
PermitEmptyPasswords no | PermitEmptyPasswords no | ||
- | |||
- | |||
Cela interdit de se connecter sans mot de passe. C'est sans doute superflu vu que de toute façon on oblige à se connecter avec sa clé SSH, mais dans le doute, on le renseigne. | Cela interdit de se connecter sans mot de passe. C'est sans doute superflu vu que de toute façon on oblige à se connecter avec sa clé SSH, mais dans le doute, on le renseigne. | ||
MaxAuthTries 6 | MaxAuthTries 6 | ||
- | |||
- | |||
Spécifie le nombre de tentatives d' | Spécifie le nombre de tentatives d' | ||
LoginGraceTime 30 | LoginGraceTime 30 | ||
- | |||
Temps en secondes pour saisir son mot de passe. En fait, 30 secondes, c'est plutôt long, même avec une passphrase un peu conséquente. D' | Temps en secondes pour saisir son mot de passe. En fait, 30 secondes, c'est plutôt long, même avec une passphrase un peu conséquente. D' | ||
Ligne 277: | Ligne 288: | ||
Protocol 2 | Protocol 2 | ||
- | SSh a évolué et nous utilisons à présent la 2e version du protocole. Pour des raisons de compatibilité, | + | SSh a évolué et nous utilisons à présent la seconde |
< | < | ||
MACs hmac-sha2-512-etm@openssh.com, | MACs hmac-sha2-512-etm@openssh.com, | ||
</ | </ | ||
- | Ajoutez ces lignes pour préciser les algorithmes acceptés et leur ordre de préférences | + | Ajoutez ces lignes pour préciser les algorithmes acceptés et leur ordre de préférence |
AllowTcpForwarding no | AllowTcpForwarding no | ||
Ligne 288: | Ligne 299: | ||
X11Forwarding no | X11Forwarding no | ||
- | '' | + | '' |
PrintLastLog yes | PrintLastLog yes | ||
- | Cette option permet surtout de faire un contrôle " | + | Cette option permet surtout de faire un contrôle " |
PrintMotd no | PrintMotd no | ||
Ligne 297: | Ligne 308: | ||
AcceptEnv LANG LC_* | AcceptEnv LANG LC_* | ||
- | Là, de ce que je comprends, cela permet à l' | + | Là, de ce que je comprends, cela permet à l' |
Subsystem sftp / | Subsystem sftp / | ||
Ligne 309: | Ligne 320: | ||
- | === Exemple de fichier | + | === Exemple de fichier |
Ligne 334: | Ligne 345: | ||
LoginGraceTime 30 | LoginGraceTime 30 | ||
- | AllowsGroups | + | AllowGroups |
AllowTcpForwarding no | AllowTcpForwarding no | ||
Ligne 349: | Ligne 360: | ||
- | N' | + | N' |
service ssh restart | service ssh restart | ||
Ligne 358: | Ligne 369: | ||
* [[https:// | * [[https:// | ||
- | {{tag> | + | {{tag> |