Différences
Ci-dessous, les différences entre deux révisions de la page.
Les deux révisions précédentesRévision précédenteProchaine révision | Révision précédenteProchaine révisionLes deux révisions suivantes | ||
fr:ssh [2018/03/22 11:01] – [Paramétrer sshd_config] /* ortho */ merlin8282 | fr:ssh [2018/10/13 09:35] – [Générer une clé] zatalyz | ||
---|---|---|---|
Ligne 14: | Ligne 14: | ||
==== Générer une clé ==== | ==== Générer une clé ==== | ||
Ouvrez une console et générez une paire de clefs : | Ouvrez une console et générez une paire de clefs : | ||
- | ssh-keygen -t rsa -b 4096 | + | ssh-keygen -t ed25519 |
Ou | Ou | ||
- | ssh-keygen -t ecdsa -b 521 | + | ssh-keygen |
Vous devriez avoir le texte suivant qui s' | Vous devriez avoir le texte suivant qui s' | ||
- | < | + | < |
- | Enter file in which to save the key (/ | + | Enter file in which to save the key (/ |
Enter passphrase (empty for no passphrase): | Enter passphrase (empty for no passphrase): | ||
Enter same passphrase again: | Enter same passphrase again: | ||
- | Your identification has been saved in / | + | Your identification has been saved in / |
- | Your public key has been saved in / | + | Your public key has been saved in / |
+ | The key fingerprint is: | ||
+ | SHA256: | ||
+ | The key's randomart image is: | ||
+ | +--[ED25519 256]--+ | ||
+ | | =o | | ||
+ | | | ||
+ | | . o.. | | ||
+ | | . ..*. | | ||
+ | | . S . .o+o.| | ||
+ | | + o oo =oB| | ||
+ | | . + o .E.BO| | ||
+ | | . o ...%+=| | ||
+ | | . .*=B+| | ||
+ | +----[SHA256]-----+</ | ||
Si vous n' | Si vous n' | ||
- | Pour la " | + | Pour la " |
- | Une clef publique/ | + | Une clef publique/ |
- | L' | + | L' |
+ | L' | ||
+ | ssh-keygen -p -o -f chemin/ | ||
+ | === RSA, ECDSA ou Ed25519 ? === | ||
+ | Il existe différents protocoles pour générer une clé, en suivant la syntaxe '' | ||
+ | * DSA n'est plus accepté partout car considéré comme insuffisamment sûr. | ||
+ | * RSA est la référence par défaut, acceptée sur tous les serveurs. Cependant, afin de rester sûr il est nécessaire de générer des clés très grandes et sa conception fait que nous atteignons actuellement une limite de taille, [[https:// | ||
+ | * ECDSA est une variante de DSA qui, contrairement à ce dernier, repose sur l' | ||
+ | * Ed25519, aussi appelé EDDSA, est, tout comme ECDSA, une variante de DSA utilisant les courbes elliptiques. La différence avec ECDSA est l' | ||
- | + | Actuellement (octobre 2018) les seules clés considérées comme fiables sont les clés Ed25519, ECDSA ou RSA d'une taille au moins égale | |
- | + | ||
- | + | ||
- | === RSA ou ECDSA ? === | + | |
- | Il existe différents protocoles pour générer | + | |
- | + | ||
- | * DSA n'est plus accepté partout, c'est vraiment ancien. | + | |
- | * ECDSA est théoriquement accepté partout à présent et son empreinte est moins longue, donc plus rapide | + | |
- | * Enfin, RSA est la référence, | + | |
- | + | ||
- | Y' | + | |
- | + | ||
==== Le fichier / | ==== Le fichier / | ||
Ce fichier permet de personnaliser ses accès à ssh de façon extrêmement pratique. | Ce fichier permet de personnaliser ses accès à ssh de façon extrêmement pratique. | ||
Ligne 91: | Ligne 101: | ||
<WRAP center round tip 90%> | <WRAP center round tip 90%> | ||
- | Cela n'a généralement aucun intérêt : la même clé peut vous permettre de vous connectez sur tous les serveurs que vous souhaitez. Les clés asymétriques ne sont pas comme les mots de passe ; la sécurité n' | + | Cela n'a généralement aucun intérêt : la même clé peut vous permettre de vous connectez sur tous les serveurs que vous souhaitez. Les clés asymétriques ne sont pas comme les mots de passe ; la sécurité n' |
Cependant, c'est parfois une manipulation nécessaire. Par exemple, il fut un temps où Bitbucket ne supportait pas ECDSA, il fallait donc une clé RSA pour ce service et quelques autres serveurs en retard. | Cependant, c'est parfois une manipulation nécessaire. Par exemple, il fut un temps où Bitbucket ne supportait pas ECDSA, il fallait donc une clé RSA pour ce service et quelques autres serveurs en retard. | ||
Ligne 99: | Ligne 109: | ||
Imaginons qu'on ait généré deux clefs RSA comme indiqué au-dessus. Il suffit d' | Imaginons qu'on ait généré deux clefs RSA comme indiqué au-dessus. Il suffit d' | ||
- | * cle1 pour aller sur le serveur 1 | + | * cle1 pour aller sur le serveur 1 |
* cle2 pour aller sur le serveur 2 | * cle2 pour aller sur le serveur 2 | ||
Ligne 201: | Ligne 211: | ||
* l' | * l' | ||
</ | </ | ||
+ | |||
+ | S'il y a plusieurs administratrices sur une même machine, les bonnes pratiques recommandent de les mettre dans un même groupe (historiquement " | ||
+ | |||
+ | <WRAP center round tip 60%> | ||
+ | Astuce : si vous avez plusieurs machines où les mêmes sysadmins ont les mêmes privilèges, | ||
+ | </ | ||
+ | |||
==== Paramétrer sshd_config ==== | ==== Paramétrer sshd_config ==== | ||
Ligne 236: | Ligne 253: | ||
# UsePrivilegeSeparation yes | # UsePrivilegeSeparation yes | ||
- | La première option, si elle est supportée par votre version de SSH, permet de bien séparer les privilèges et est à privilégier. Si vous avez une version SSH un peu plus ancienne, la seconde reste très acceptable. | + | La première option, si elle est supportée par votre version de SSH, permet de bien séparer les privilèges et est à privilégier. Si vous avez une version SSH un peu plus ancienne |
AllowUsers Pseudo1 Moi Toiaussi | AllowUsers Pseudo1 Moi Toiaussi | ||
- | | + | |
- | '' | + | '' |
- | L' | + | L' |
À noter que vous pouvez aussi spécifier l' | À noter que vous pouvez aussi spécifier l' | ||
Ligne 254: | Ligne 271: | ||
PermitEmptyPasswords no | PermitEmptyPasswords no | ||
- | |||
- | |||
Cela interdit de se connecter sans mot de passe. C'est sans doute superflu vu que de toute façon on oblige à se connecter avec sa clé SSH, mais dans le doute, on le renseigne. | Cela interdit de se connecter sans mot de passe. C'est sans doute superflu vu que de toute façon on oblige à se connecter avec sa clé SSH, mais dans le doute, on le renseigne. | ||
MaxAuthTries 6 | MaxAuthTries 6 | ||
- | |||
- | |||
Spécifie le nombre de tentatives d' | Spécifie le nombre de tentatives d' | ||
LoginGraceTime 30 | LoginGraceTime 30 | ||
- | |||
Temps en secondes pour saisir son mot de passe. En fait, 30 secondes, c'est plutôt long, même avec une passphrase un peu conséquente. D' | Temps en secondes pour saisir son mot de passe. En fait, 30 secondes, c'est plutôt long, même avec une passphrase un peu conséquente. D' | ||
Ligne 276: | Ligne 288: | ||
Protocol 2 | Protocol 2 | ||
- | SSh a évolué et nous utilisons à présent la seconde version du protocole. Pour des raisons de compatibilité, | + | SSh a évolué et nous utilisons à présent la seconde version du protocole. Pour des raisons de compatibilité, |
< | < | ||
MACs hmac-sha2-512-etm@openssh.com, | MACs hmac-sha2-512-etm@openssh.com, | ||
</ | </ | ||
- | Ajoutez ces lignes pour préciser les algorithmes acceptés et leur ordre de préférence lors de l' | + | Ajoutez ces lignes pour préciser les algorithmes acceptés et leur ordre de préférence lors de l' |
AllowTcpForwarding no | AllowTcpForwarding no | ||
Ligne 308: | Ligne 320: | ||
- | === Exemple de fichier | + | === Exemple de fichier |
Ligne 333: | Ligne 345: | ||
LoginGraceTime 30 | LoginGraceTime 30 | ||
- | AllowsGroups | + | AllowGroups |
AllowTcpForwarding no | AllowTcpForwarding no | ||
Ligne 348: | Ligne 360: | ||
- | N' | + | N' |
service ssh restart | service ssh restart | ||
Ligne 357: | Ligne 369: | ||
* [[https:// | * [[https:// | ||
- | {{tag> | + | {{tag> |