{"id":123013,"date":"2025-03-26T16:22:56","date_gmt":"2025-03-26T14:22:58","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/kompaniya-cloudflare-opublikovala-opkssh-dlya-autentifikaczii-v-ssh-cherez-openid-connect"},"modified":"2025-03-26T16:22:56","modified_gmt":"2025-03-26T14:22:58","slug":"kompaniya-cloudflare-opublikovala-opkssh-dlya-autentifikaczii-v-ssh-cherez-openid-connect","status":"publish","type":"post","link":"https:\/\/prohoster.info\/de\/blog\/news\/kompaniya-cloudflare-opublikovala-opkssh-dlya-autentifikaczii-v-ssh-cherez-openid-connect","title":{"rendered":"Die Firma Cloudflare hat opkssh zur Authentifizierung in SSH \u00fcber OpenID Connect ver\u00f6ffentlicht.","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

Die Firma Cloudflare hat das Tool opkssh (OpenPubkey SSH) vorgestellt, das die Integration zentralisierter Authentifizierungsmittel in OpenSSH erm\u00f6glicht, um sich \u00fcber OpenID Connect-Anbieter anzumelden. Mit opkssh kann die manuelle Arbeit bei der Verwaltung und Konfiguration von SSH-Schl\u00fcsseln entfallen sowie die Verbindung zu Servern von beliebigen Hosts ohne die Notwendigkeit, private Schl\u00fcssel auf jedem Client-Computer zu erstellen und ohne manuelles Kopieren \u00f6ffentlicher Schl\u00fcssel auf den Server organisiert werden. Zum Herstellen der Verbindung gen\u00fcgt es, auf dem Server eine Verkn\u00fcpfung mit dem Konto des OpenID-Anbieters herzustellen. Der Code des Tools ist in der Programmiersprache Go geschrieben und steht unter der Lizenz Apache 2.0 zur Verf\u00fcgung. <\/p>\n

Opkssh ist mit den OpenID-Anbietern Google, Microsoft\/Azure und Gitlab kompatibel, was die Anmeldung \u00fcber bestehende Konten in den Diensten gmail.com, microsoft.com und gitlab.com erm\u00f6glicht. Bei Verwendung von opkssh werden anstelle von zeitlich unbegrenzten SSH-Schl\u00fcsseln tempor\u00e4re Schl\u00fcssel generiert, die nur wenige Stunden g\u00fcltig sind und auf einer Best\u00e4tigung des OpenID-Anbieters basieren. Ein Leak solcher Schl\u00fcssel nach Ablauf ihrer G\u00fcltigkeit stellt keine Sicherheitsbedrohung dar. Standardm\u00e4\u00dfig betr\u00e4gt die G\u00fcltigkeitsdauer eines Schl\u00fcssels 24 Stunden, danach ist eine erneute Identifizierung \u00fcber OpenID erforderlich. <\/p>\n

Die Integration mit OpenSSH basiert auf der M\u00f6glichkeit, Erweiterungen des SSH-Protokolls zu erstellen, die das Anheften beliebiger Daten an SSH-Zertifikate erlauben. Nach erfolgreicher Authentifizierung \u00fcber OpenID generiert der Client einen \u00f6ffentlichen Schl\u00fcssel, der ein PK-Token enth\u00e4lt, das die Zugeh\u00f6rigkeit des Schl\u00fcssels zum angegebenen Benutzer best\u00e4tigt. Das Token wird in das SSH-Protokoll \u00fcber ein Feld mit zus\u00e4tzlichen Daten im SSH-Zertifikat integriert. Die Erstellung und \u00dcberpr\u00fcfung von PK-Tokens auf der Serverseite erfolgt unter Verwendung des kryptografischen Protokolls OpenPubKey. <\/p>\n

OpenPubKey erm\u00f6glicht die Generierung eines \u00f6ffentlichen Schl\u00fcssels und dessen Bindung an ein von einem OpenID-Anbieter ausgegebenes Token. Durch die digitale Signatur best\u00e4tigt der Anbieter, dass dieser Schl\u00fcssel von dem angegebenen authentifizierten Benutzer erstellt wurde. Zum Beispiel kann der OpenID-Anbieter Google best\u00e4tigen, dass der Benutzer als test@gmail.com authentifiziert ist. Auf der Serverseite wird \u00fcberpr\u00fcft, ob das angeh\u00e4ngte Token vom OpenID-Anbieter signiert wurde und ob die digitale Signatur mit dem angegebenen \u00f6ffentlichen Schl\u00fcssel \u00fcbereinstimmt, d.h. der Server kann sicherstellen, dass tats\u00e4chlich der Benutzer test@gmail.com den \u00f6ffentlichen Schl\u00fcssel f\u00fcr den verbundenen SSH-Client erstellt hat.

\"Die<\/center> <\/p>\n

Die Integration mit OpenSSH erfolgt durch die Angabe des Programms opkssh in der Konfigurationsdatei \"sshd_config\" \u00fcber die Direktive \"AuthorizedKeysCommand\" (zum Beispiel: \"AuthorizedKeysCommand \/usr\/local\/bin\/opkssh verify %u %k %t\"). Die Verkn\u00fcpfung der Konten mit OpenID erfolgt auf der SSH-Serverseite. Auf der Clientseite sind keine \u00c4nderungen der Einstellungen erforderlich, jedoch muss vor dem Einloggen der Befehl \"opkssh login\" ausgef\u00fchrt werden, um im sich \u00f6ffnenden Browserfenster den OpenID-Anbieter auszuw\u00e4hlen und die Authentifizierung durchzuf\u00fchren. <\/p>\n

Das Dienstprogramm opkssh generiert SSH-Schl\u00fcssel und erh\u00e4lt ein PK-Token, das best\u00e4tigt, dass der Benutzer authentifiziert wurde, und erm\u00f6glicht die \u00dcberpr\u00fcfung, dass die erstellten Schl\u00fcssel dem angegebenen Benutzer geh\u00f6ren. Der \u00f6ffentliche SSH-Schl\u00fcssel, der \u00fcber das Feld f\u00fcr zus\u00e4tzliche Daten mit dem PK-Token verkn\u00fcpft ist, wird in die Datei ~\/ .ssh\/id_ecdsas geschrieben und beginnt beim Verbinden mit dem zu einem Server<\/a> Dienstprogramm ssh. <\/p>\n

Die Verbindung zum Server erfolgt mit dem f\u00fcr SSH typischen Befehl \"ssh login@server\", wobei der Server<\/a> Login zuvor mit dem OpenID-Konto, das der Benutzer verwendet, abgeglichen werden muss. Somit besteht die Funktion darin, dass der SSH-Client den \u00f6ffentlichen Schl\u00fcssel an den SSH-Server sendet, der dann den Befehl \"opkssh verify\" zur \u00dcberpr\u00fcfung des Schl\u00fcssels ausf\u00fchrt. <\/p>\n

Um ein Konto mit OpenID zu verkn\u00fcpfen, f\u00fchrt der Serveradministrator den Befehl \"opkssh add\" aus. Zum Beispiel, um den Zugang zum Server als Benutzer \"root\" mit OpenID-Authentifizierung \u00fcber das Konto test@gmail.com in Gmail zu erm\u00f6glichen, sollte \"sudo opkssh add root test@gmail.com google\" ausgef\u00fchrt werden, wonach der Client sich mit den Parametern dieses Kontos \u00fcber den Befehl \"ssh root@host_server\" verbinden kann. <\/p>\n

Die Verkn\u00fcpfung des Kontos kann auch manuell \u00fcber die Konfigurationsdatei \/etc\/opk\/auth_id (oder ~\/.opk\/auth_id) erfolgen, in die f\u00fcr das obige Beispiel die Zeile \"root test@gmail.com https:\/\/accounts.google.com\" geschrieben wird. Zus\u00e4tzlich kann \u00fcber die Datei \/etc\/opk\/providers eine Liste zul\u00e4ssiger OpenID-Anbieter, deren Parameter und die Liste erlaubter Client-IDs definiert werden.

\"Die<\/center>
\n
Quelle: opennet.ru<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"

\u041a\u043e\u043c\u043f\u0430\u043d\u0438\u044f Cloudflare \u043f\u0440\u0435\u0434\u0441\u0442\u0430\u0432\u0438\u043b\u0430 \u0438\u043d\u0441\u0442\u0440\u0443\u043c\u0435\u043d\u0442\u0430\u0440\u0438\u0439 opkssh (OpenPubkey SSH), \u043f\u043e\u0437\u0432\u043e\u043b\u044f\u044e\u0449\u0438\u0439 \u0438\u043d\u0442\u0435\u0433\u0440\u0438\u0440\u043e\u0432\u0430\u0442\u044c \u0432 OpenSSH \u0441\u0440\u0435\u0434\u0441\u0442\u0432\u0430 \u0446\u0435\u043d\u0442\u0440\u0430\u043b\u0438\u0437\u043e\u0432\u0430\u043d\u043d\u043e\u0439 \u0430\u0443\u0442\u0435\u043d\u0442\u0438\u0444\u0438\u043a\u0430\u0446\u0438\u0438 \u0441 \u0432\u043e\u0437\u043c\u043e\u0436\u043d\u043e\u0441\u0442\u044c\u044e \u0432\u0445\u043e\u0434\u0430 \u0447\u0435\u0440\u0435\u0437 \u043f\u0440\u043e\u0432\u0430\u0439\u0434\u0435\u0440\u043e\u0432 OpenID Connect. \u041f\u0440\u0438 \u043f\u043e\u043c\u043e\u0449\u0438 opkssh \u043c\u043e\u0436\u043d\u043e \u0438\u0437\u0431\u0430\u0432\u0438\u0442\u044c\u0441\u044f \u043e\u0442 \u0440\u0443\u0447\u043d\u043e\u0439 \u0440\u0430\u0431\u043e\u0442\u044b \u043f\u043e \u0443\u043f\u0440\u0430\u0432\u043b\u0435\u043d\u0438\u044e \u0438 \u043d\u0430\u0441\u0442\u0440\u043e\u0439\u043a\u0435 SSH-\u043a\u043b\u044e\u0447\u0435\u0439, \u0430 \u0442\u0430\u043a\u0436\u0435 \u043e\u0440\u0433\u0430\u043d\u0438\u0437\u043e\u0432\u0430\u0442\u044c \u043f\u043e\u0434\u043a\u043b\u044e\u0447\u0435\u043d\u0438\u0435 \u043a \u0441\u0435\u0440\u0432\u0435\u0440\u0443 \u0441 \u043b\u044e\u0431\u044b\u0445 \u0445\u043e\u0441\u0442\u043e\u0432, \u0431\u0435\u0437 \u043d\u0435\u043e\u0431\u0445\u043e\u0434\u0438\u043c\u043e\u0441\u0442\u0438 \u0441\u043e\u0437\u0434\u0430\u043d\u0438\u044f \u0437\u0430\u043a\u0440\u044b\u0442\u044b\u0445 \u043a\u043b\u044e\u0447\u0435\u0439 \u043d\u0430 \u043a\u0430\u0436\u0434\u043e\u043c \u043a\u043b\u0438\u0435\u043d\u0442\u0441\u043a\u043e\u043c \u043a\u043e\u043c\u043f\u044c\u044e\u0442\u0435\u0440\u0435 \u0438 \u0431\u0435\u0437 \u0440\u0443\u0447\u043d\u043e\u0433\u043e […]<\/p>\n","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"author":1,"featured_media":123014,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[702],"tags":[],"class_list":["post-123013","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-news"],"aioseo_notices":[],"aioseo_head":"\n\t\t\n\t\n\t\n\t\n\t\n\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\n","aioseo_head_json":{"title":"\ud83e\udd47Das Unternehmen Cloudflare hat opkssh zur Authentifizierung in SSH \u00fcber OpenID Connect ver\u00f6ffentlicht | ProHoster","description":"Das Unternehmen Cloudflare hat das Werkzeug opkssh (OpenPubkey SSH) vorgestellt, das eine Integration von zentralisierter Authentifizierung in OpenSSH mit der M\u00f6glichkeit des Anmeldens \u00fcber Anbieter von OpenID Connect erm\u00f6glicht.","canonical_url":"https:\/\/prohoster.info\/de\/blog\/news\/kompaniya-cloudflare-opublikovala-opkssh-dlya-autentifikaczii-v-ssh-cherez-openid-connect","robots":"max-image-preview:large","keywords":"","webmasterTools":{"miscellaneous":""},"schema":null,"og:locale":"de_DE","og:site_name":"ProHoster | \u041a\u0443\u043f\u0438\u0442\u044c \u043d\u0430\u0434\u0435\u0436\u043d\u044b\u0439 \u0445\u043e\u0441\u0442\u0438\u043d\u0433 \u0434\u043b\u044f \u0441\u0430\u0439\u0442\u043e\u0432 \u0441 \u0437\u0430\u0449\u0438\u0442\u043e\u0439 \u043e\u0442 DDoS, VPS VDS \u0441\u0435\u0440\u0432\u0435\u0440\u044b","og:type":"article","og:title":"\ud83e\udd47\u041a\u043e\u043c\u043f\u0430\u043d\u0438\u044f Cloudflare \u043e\u043f\u0443\u0431\u043b\u0438\u043a\u043e\u0432\u0430\u043b\u0430 opkssh \u0434\u043b\u044f \u0430\u0443\u0442\u0435\u043d\u0442\u0438\u0444\u0438\u043a\u0430\u0446\u0438\u0438 \u0432 SSH \u0447\u0435\u0440\u0435\u0437 OpenID Connect | ProHoster","og:description":"\u041a\u043e\u043c\u043f\u0430\u043d\u0438\u044f Cloudflare \u043f\u0440\u0435\u0434\u0441\u0442\u0430\u0432\u0438\u043b\u0430 \u0438\u043d\u0441\u0442\u0440\u0443\u043c\u0435\u043d\u0442\u0430\u0440\u0438\u0439 opkssh (OpenPubkey SSH), \u043f\u043e\u0437\u0432\u043e\u043b\u044f\u044e\u0449\u0438\u0439 \u0438\u043d\u0442\u0435\u0433\u0440\u0438\u0440\u043e\u0432\u0430\u0442\u044c \u0432 OpenSSH \u0441\u0440\u0435\u0434\u0441\u0442\u0432\u0430 \u0446\u0435\u043d\u0442\u0440\u0430\u043b\u0438\u0437\u043e\u0432\u0430\u043d\u043d\u043e\u0439 \u0430\u0443\u0442\u0435\u043d\u0442\u0438\u0444\u0438\u043a\u0430\u0446\u0438\u0438 \u0441 \u0432\u043e\u0437\u043c\u043e\u0436\u043d\u043e\u0441\u0442\u044c\u044e \u0432\u0445\u043e\u0434\u0430 \u0447\u0435\u0440\u0435\u0437 \u043f\u0440\u043e\u0432\u0430\u0439\u0434\u0435\u0440\u043e\u0432 OpenID Connect.","og:url":"https:\/\/prohoster.info\/de\/blog\/news\/kompaniya-cloudflare-opublikovala-opkssh-dlya-autentifikaczii-v-ssh-cherez-openid-connect","og:image":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:secure_url":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:width":350,"og:image:height":350,"article:published_time":"2025-03-26T14:22:58+00:00","article:modified_time":"2025-03-26T14:22:58+00:00","article:publisher":"https:\/\/www.facebook.com\/prohoster","article:author":"https:\/\/www.facebook.com\/prohoster"},"aioseo_meta_data":{"post_id":"123013","title":null,"description":null,"keywords":null,"keyphrases":null,"primary_term":null,"canonical_url":null,"og_title":null,"og_description":null,"og_object_type":"default","og_image_type":"default","og_image_url":null,"og_image_width":null,"og_image_height":null,"og_image_custom_url":null,"og_image_custom_fields":null,"og_video":null,"og_custom_url":null,"og_article_section":null,"og_article_tags":null,"twitter_use_og":false,"twitter_card":"default","twitter_image_type":"default","twitter_image_url":null,"twitter_image_custom_url":null,"twitter_image_custom_fields":null,"twitter_title":null,"twitter_description":null,"schema":{"blockGraphs":[],"customGraphs":[],"default":{"data":{"Article":[],"Course":[],"Dataset":[],"FAQPage":[],"Movie":[],"Person":[],"Product":[],"ProductReview":[],"Car":[],"Recipe":[],"Service":[],"SoftwareApplication":[],"WebPage":[]},"graphName":"","isEnabled":true},"graphs":[]},"schema_type":"default","schema_type_options":null,"pillar_content":false,"robots_default":true,"robots_noindex":false,"robots_noarchive":false,"robots_nosnippet":false,"robots_nofollow":false,"robots_noimageindex":false,"robots_noodp":false,"robots_notranslate":false,"robots_max_snippet":null,"robots_max_videopreview":null,"robots_max_imagepreview":"large","priority":null,"frequency":null,"local_seo":null,"seo_analyzer_scan_date":"2026-02-09 22:07:19","breadcrumb_settings":null,"limit_modified_date":false,"reviewed_by":null,"ai":null,"created":"2026-01-23 11:38:16","updated":"2026-02-09 22:07:19","focus_keyword":null,"additional_keywords":null,"truseo_locale":null},"gt_translate_keys":[{"key":"link","format":"url"}],"_links":{"self":[{"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/posts\/123013","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/comments?post=123013"}],"version-history":[{"count":2,"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/posts\/123013\/revisions"}],"predecessor-version":[{"id":160229,"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/posts\/123013\/revisions\/160229"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/media\/123014"}],"wp:attachment":[{"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/media?parent=123013"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/categories?post=123013"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/tags?post=123013"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}