{"id":123013,"date":"2025-03-26T16:22:56","date_gmt":"2025-03-26T14:22:58","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/kompaniya-cloudflare-opublikovala-opkssh-dlya-autentifikaczii-v-ssh-cherez-openid-connect"},"modified":"2025-03-26T16:22:56","modified_gmt":"2025-03-26T14:22:58","slug":"kompaniya-cloudflare-opublikovala-opkssh-dlya-autentifikaczii-v-ssh-cherez-openid-connect","status":"publish","type":"post","link":"https:\/\/prohoster.info\/de\/blog\/novosti-interneta\/kompaniya-cloudflare-opublikovala-opkssh-dlya-autentifikaczii-v-ssh-cherez-openid-connect","title":{"rendered":"Das Unternehmen Cloudflare hat opkssh zur Authentifizierung in SSH \u00fcber OpenID Connect ver\u00f6ffentlicht.","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

Die Firma Cloudflare hat das Tool opkssh (OpenPubkey SSH) vorgestellt, mit dem zentrale Authentifizierungsmethoden in OpenSSH integriert werden k\u00f6nnen, um sich \u00fcber OpenID Connect-Anbieter anzumelden. Mit opkssh l\u00e4sst sich der manuelle Aufwand zur Verwaltung und Einrichtung von SSH-Schl\u00fcsseln reduzieren und eine Verbindung zu Servern von beliebigen Hosts aus erm\u00f6glichen, ohne dass auf jedem Client-Computer private Schl\u00fcssel erstellt oder \u00f6ffentliche Schl\u00fcssel manuell auf den Server \u00fcbertragen werden m\u00fcssen. Um sich zu verbinden, reicht es aus, auf dem Server eine Verkn\u00fcpfung mit dem Konto des OpenID-Anbieters herzustellen. Der Code des Tools ist in der Programmiersprache Go geschrieben und wird unter der Lizenz Apache 2.0 ver\u00f6ffentlicht. <\/p>\n

Opkssh ist mit OpenID-Anbietern wie Google, Microsoft\/Azure und Gitlab kompatibel, was die Anmeldung \u00fcber bestehende Konten in den Diensten gmail.com, microsoft.com und gitlab.com erm\u00f6glicht. Bei der Verwendung von opkssh werden anstelle unbefristeter SSH-Schl\u00fcssel tempor\u00e4re Schl\u00fcssel generiert, die nur einige Stunden g\u00fcltig sind und auf der Best\u00e4tigung des OpenID-Anbieters basieren. Das Leck solcher Schl\u00fcssel nach Ablauf ihrer G\u00fcltigkeit stellt keine Sicherheitsbedrohung dar. Standardm\u00e4\u00dfig betr\u00e4gt die G\u00fcltigkeitsdauer eines Schl\u00fcssels 24 Stunden, nach denen eine erneute Identifizierung \u00fcber OpenID erforderlich ist. <\/p>\n

Die Integration mit OpenSSH basiert auf der M\u00f6glichkeit, SSH-Protokollerweiterungen zu erstellen, die das Anh\u00e4ngen beliebiger Daten an SSH-Zertifikate erm\u00f6glichen. Nach der Authentifizierung \u00fcber OpenID erstellt der Client einen \u00f6ffentlichen Schl\u00fcssel, der ein PK-Token enth\u00e4lt, das die Zugeh\u00f6rigkeit des Schl\u00fcssels zum angegebenen Benutzer best\u00e4tigt. Das Token wird in das SSH-Protokoll \u00fcber ein Feld f\u00fcr zus\u00e4tzliche Daten im SSH-Zertifikat integriert. Die Erstellung und \u00dcberpr\u00fcfung der PK-Tokens auf Serverseite erfolgt unter Verwendung des kryptografischen Protokolls OpenPubKey. <\/p>\n

OpenPubKey erm\u00f6glicht die Generierung eines \u00f6ffentlichen Schl\u00fcssels und dessen Verkn\u00fcpfung mit einem Token, das von einem OpenID-Anbieter ausgegeben wird. Durch die digitale Signatur best\u00e4tigt der Anbieter, dass dieser Schl\u00fcssel vom angegebenen authentifizierten Benutzer erstellt wurde. Ein Beispiel w\u00e4re der OpenID-Anbieter Google, der best\u00e4tigen kann, dass der Benutzer als test@gmail.com authentifiziert ist. Auf der Serverseite wird \u00fcberpr\u00fcft, ob das angeh\u00e4ngte Token vom OpenID-Anbieter signiert wurde und ob die digitale Signatur dem angegebenen \u00f6ffentlichen Schl\u00fcssel entspricht, d.h. der Server kann sicherstellen, dass tats\u00e4chlich der Benutzer test@gmail.com den \u00f6ffentlichen Schl\u00fcssel f\u00fcr den verbundenen SSH-Client erstellt hat.

\"Das<\/center> <\/p>\n

Die Integration mit OpenSSH erfolgt durch die Angabe des Programms opkssh in der Konfigurationsdatei 'sshd_config' \u00fcber die Direktive 'AuthorizedKeysCommand' (zum Beispiel: 'AuthorizedKeysCommand \/usr\/local\/bin\/opkssh verify %u %k %t'). Die Zuordnung von Konten zu OpenID wird auf der SSH-Server-Seite eingerichtet. Auf der SSH-Client-Seite sind keine \u00c4nderungen der Einstellungen erforderlich, jedoch muss vor dem Anmelden der Befehl 'opkssh login' ausgef\u00fchrt werden, und im daraufhin angezeigten Browserfenster ist der OpenID-Anbieter auszuw\u00e4hlen, um die Authentifizierung durchzuf\u00fchren. <\/p>\n

Das Tool opkssh generiert SSH-Schl\u00fcssel und erh\u00e4lt ein PK-Token, das best\u00e4tigt, dass der Benutzer authentifiziert wurde und das es erm\u00f6glicht zu \u00fcberpr\u00fcfen, dass die generierten Schl\u00fcssel dem angegebenen Benutzer geh\u00f6ren. Der \u00f6ffentliche SSH-Schl\u00fcssel, an dem das PK-Token \u00fcber das Feld f\u00fcr zus\u00e4tzliche Daten angeh\u00e4ngt ist, wird in die Datei ~\/.ssh\/id_ecdsas geschrieben und beginnt bei der Verbindung mit Server<\/a> der ssh-Utility. <\/p>\n

Die Verbindung zum Server erfolgt mit der Standard-SSH-Syntax 'ssh login@server', wobei Server<\/a> der Login zuvor mit dem OpenID-Konto identifiziert sein muss, das der Benutzer verwendet. Somit funktioniert die Methode so, dass der SSH-Client den \u00f6ffentlichen Schl\u00fcssel an den SSH-Server sendet, und der Server den Befehl 'opkssh verify' zur \u00dcberpr\u00fcfung des Schl\u00fcssels ausf\u00fchrt. <\/p>\n

Um ein Konto mit OpenID zu verkn\u00fcpfen, f\u00fchrt der Serveradministrator den Befehl 'opkssh add' aus. Zum Beispiel, um Anmeldungen auf dem Server mit dem Benutzer 'root' \u00fcber die OpenID-Authentifizierung mit dem Konto test@gmail.com in Gmail zu erlauben, sollte der Befehl 'sudo opkssh add root test@gmail.com google' ausgef\u00fchrt werden, wonach der Client sich mit den angegebenen Kontodaten \u00fcber 'ssh root@host_server' verbinden kann. <\/p>\n

Die Verkn\u00fcpfung des Kontos kann auch manuell \u00fcber die Konfigurationsdatei \/etc\/opk\/auth_id (oder ~\/.opk\/auth_id) durchgef\u00fchrt werden, in die f\u00fcr das obige Beispiel die Zeile 'root test@gmail.com https:\/\/accounts.google.com' geschrieben wird. Zus\u00e4tzlich kann \u00fcber die Datei \/etc\/opk\/providers eine Liste der zul\u00e4ssigen OpenID-Anbieter, deren Parameter sowie eine Liste der autorisierten Client-IDs definiert werden.

\"Das<\/center>
\n
Quelle: opennet.ru<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"

\u041a\u043e\u043c\u043f\u0430\u043d\u0438\u044f Cloudflare \u043f\u0440\u0435\u0434\u0441\u0442\u0430\u0432\u0438\u043b\u0430 \u0438\u043d\u0441\u0442\u0440\u0443\u043c\u0435\u043d\u0442\u0430\u0440\u0438\u0439 opkssh (OpenPubkey SSH), \u043f\u043e\u0437\u0432\u043e\u043b\u044f\u044e\u0449\u0438\u0439 \u0438\u043d\u0442\u0435\u0433\u0440\u0438\u0440\u043e\u0432\u0430\u0442\u044c \u0432 OpenSSH \u0441\u0440\u0435\u0434\u0441\u0442\u0432\u0430 \u0446\u0435\u043d\u0442\u0440\u0430\u043b\u0438\u0437\u043e\u0432\u0430\u043d\u043d\u043e\u0439 \u0430\u0443\u0442\u0435\u043d\u0442\u0438\u0444\u0438\u043a\u0430\u0446\u0438\u0438 \u0441 \u0432\u043e\u0437\u043c\u043e\u0436\u043d\u043e\u0441\u0442\u044c\u044e \u0432\u0445\u043e\u0434\u0430 \u0447\u0435\u0440\u0435\u0437 \u043f\u0440\u043e\u0432\u0430\u0439\u0434\u0435\u0440\u043e\u0432 OpenID Connect. \u041f\u0440\u0438 \u043f\u043e\u043c\u043e\u0449\u0438 opkssh \u043c\u043e\u0436\u043d\u043e \u0438\u0437\u0431\u0430\u0432\u0438\u0442\u044c\u0441\u044f \u043e\u0442 \u0440\u0443\u0447\u043d\u043e\u0439 \u0440\u0430\u0431\u043e\u0442\u044b \u043f\u043e \u0443\u043f\u0440\u0430\u0432\u043b\u0435\u043d\u0438\u044e \u0438 \u043d\u0430\u0441\u0442\u0440\u043e\u0439\u043a\u0435 SSH-\u043a\u043b\u044e\u0447\u0435\u0439, \u0430 \u0442\u0430\u043a\u0436\u0435 \u043e\u0440\u0433\u0430\u043d\u0438\u0437\u043e\u0432\u0430\u0442\u044c \u043f\u043e\u0434\u043a\u043b\u044e\u0447\u0435\u043d\u0438\u0435 \u043a \u0441\u0435\u0440\u0432\u0435\u0440\u0443 \u0441 \u043b\u044e\u0431\u044b\u0445 \u0445\u043e\u0441\u0442\u043e\u0432, \u0431\u0435\u0437 \u043d\u0435\u043e\u0431\u0445\u043e\u0434\u0438\u043c\u043e\u0441\u0442\u0438 \u0441\u043e\u0437\u0434\u0430\u043d\u0438\u044f \u0437\u0430\u043a\u0440\u044b\u0442\u044b\u0445 \u043a\u043b\u044e\u0447\u0435\u0439 \u043d\u0430 \u043a\u0430\u0436\u0434\u043e\u043c \u043a\u043b\u0438\u0435\u043d\u0442\u0441\u043a\u043e\u043c \u043a\u043e\u043c\u043f\u044c\u044e\u0442\u0435\u0440\u0435 \u0438 \u0431\u0435\u0437 \u0440\u0443\u0447\u043d\u043e\u0433\u043e […]<\/p>\n","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"author":1,"featured_media":123014,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[702],"tags":[],"class_list":["post-123013","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-novosti-interneta"],"aioseo_notices":[],"aioseo_head":"\n\t\t\n\t\n\t\n\t\n\t\n\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\n","aioseo_head_json":{"title":"\ud83e\udd47Das Unternehmen Cloudflare hat opkssh zur Authentifizierung in SSH \u00fcber OpenID Connect ver\u00f6ffentlicht | ProHoster","description":"Das Unternehmen Cloudflare hat das Tool opkssh (OpenPubkey SSH) vorgestellt, das die Integration zentralisierter Authentifizierung in OpenSSH erm\u00f6glicht und die Anmeldung \u00fcber OpenID Connect-Anbieter unterst\u00fctzt. Mit opkssh k\u00f6nnen Sie die manuelle Verwaltung und Konfiguration von SSH-Schl\u00fcsseln \u00fcberwinden und eine Verbindung zu Servern von beliebigen Hosts aus herstellen, ohne dass auf jedem Client-Computer private Schl\u00fcssel erstellt werden m\u00fcssen und ohne manuelle Eingriffe.","canonical_url":"https:\/\/prohoster.info\/de\/blog\/novosti-interneta\/kompaniya-cloudflare-opublikovala-opkssh-dlya-autentifikaczii-v-ssh-cherez-openid-connect","robots":"max-image-preview:large","keywords":"","webmasterTools":{"miscellaneous":""},"schema":null,"og:locale":"de_DE","og:site_name":"ProHoster | \u041a\u0443\u043f\u0438\u0442\u044c \u043d\u0430\u0434\u0435\u0436\u043d\u044b\u0439 \u0445\u043e\u0441\u0442\u0438\u043d\u0433 \u0434\u043b\u044f \u0441\u0430\u0439\u0442\u043e\u0432 \u0441 \u0437\u0430\u0449\u0438\u0442\u043e\u0439 \u043e\u0442 DDoS, VPS VDS \u0441\u0435\u0440\u0432\u0435\u0440\u044b","og:type":"article","og:title":"\ud83e\udd47\u041a\u043e\u043c\u043f\u0430\u043d\u0438\u044f Cloudflare \u043e\u043f\u0443\u0431\u043b\u0438\u043a\u043e\u0432\u0430\u043b\u0430 opkssh \u0434\u043b\u044f \u0430\u0443\u0442\u0435\u043d\u0442\u0438\u0444\u0438\u043a\u0430\u0446\u0438\u0438 \u0432 SSH \u0447\u0435\u0440\u0435\u0437 OpenID Connect | ProHoster","og:description":"\u041a\u043e\u043c\u043f\u0430\u043d\u0438\u044f Cloudflare \u043f\u0440\u0435\u0434\u0441\u0442\u0430\u0432\u0438\u043b\u0430 \u0438\u043d\u0441\u0442\u0440\u0443\u043c\u0435\u043d\u0442\u0430\u0440\u0438\u0439 opkssh (OpenPubkey SSH), \u043f\u043e\u0437\u0432\u043e\u043b\u044f\u044e\u0449\u0438\u0439 \u0438\u043d\u0442\u0435\u0433\u0440\u0438\u0440\u043e\u0432\u0430\u0442\u044c \u0432 OpenSSH \u0441\u0440\u0435\u0434\u0441\u0442\u0432\u0430 \u0446\u0435\u043d\u0442\u0440\u0430\u043b\u0438\u0437\u043e\u0432\u0430\u043d\u043d\u043e\u0439 \u0430\u0443\u0442\u0435\u043d\u0442\u0438\u0444\u0438\u043a\u0430\u0446\u0438\u0438 \u0441 \u0432\u043e\u0437\u043c\u043e\u0436\u043d\u043e\u0441\u0442\u044c\u044e \u0432\u0445\u043e\u0434\u0430 \u0447\u0435\u0440\u0435\u0437 \u043f\u0440\u043e\u0432\u0430\u0439\u0434\u0435\u0440\u043e\u0432 OpenID Connect. \u041f\u0440\u0438 \u043f\u043e\u043c\u043e\u0449\u0438 opkssh \u043c\u043e\u0436\u043d\u043e \u0438\u0437\u0431\u0430\u0432\u0438\u0442\u044c\u0441\u044f \u043e\u0442 \u0440\u0443\u0447\u043d\u043e\u0439 \u0440\u0430\u0431\u043e\u0442\u044b \u043f\u043e \u0443\u043f\u0440\u0430\u0432\u043b\u0435\u043d\u0438\u044e \u0438 \u043d\u0430\u0441\u0442\u0440\u043e\u0439\u043a\u0435 SSH-\u043a\u043b\u044e\u0447\u0435\u0439, \u0430 \u0442\u0430\u043a\u0436\u0435 \u043e\u0440\u0433\u0430\u043d\u0438\u0437\u043e\u0432\u0430\u0442\u044c \u043f\u043e\u0434\u043a\u043b\u044e\u0447\u0435\u043d\u0438\u0435 \u043a \u0441\u0435\u0440\u0432\u0435\u0440\u0443 \u0441 \u043b\u044e\u0431\u044b\u0445 \u0445\u043e\u0441\u0442\u043e\u0432, \u0431\u0435\u0437 \u043d\u0435\u043e\u0431\u0445\u043e\u0434\u0438\u043c\u043e\u0441\u0442\u0438 \u0441\u043e\u0437\u0434\u0430\u043d\u0438\u044f \u0437\u0430\u043a\u0440\u044b\u0442\u044b\u0445 \u043a\u043b\u044e\u0447\u0435\u0439 \u043d\u0430 \u043a\u0430\u0436\u0434\u043e\u043c \u043a\u043b\u0438\u0435\u043d\u0442\u0441\u043a\u043e\u043c \u043a\u043e\u043c\u043f\u044c\u044e\u0442\u0435\u0440\u0435 \u0438 \u0431\u0435\u0437 \u0440\u0443\u0447\u043d\u043e\u0433\u043e","og:url":"https:\/\/prohoster.info\/de\/blog\/novosti-interneta\/kompaniya-cloudflare-opublikovala-opkssh-dlya-autentifikaczii-v-ssh-cherez-openid-connect","og:image":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:secure_url":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:width":350,"og:image:height":350,"article:published_time":"2025-03-26T14:22:58+00:00","article:modified_time":"2025-03-26T14:22:58+00:00","article:publisher":"https:\/\/www.facebook.com\/prohoster","article:author":"https:\/\/www.facebook.com\/prohoster"},"aioseo_meta_data":{"post_id":"123013","title":null,"description":null,"keywords":null,"keyphrases":null,"primary_term":null,"canonical_url":null,"og_title":null,"og_description":null,"og_object_type":"default","og_image_type":"default","og_image_url":null,"og_image_width":null,"og_image_height":null,"og_image_custom_url":null,"og_image_custom_fields":null,"og_video":null,"og_custom_url":null,"og_article_section":null,"og_article_tags":null,"twitter_use_og":false,"twitter_card":"default","twitter_image_type":"default","twitter_image_url":null,"twitter_image_custom_url":null,"twitter_image_custom_fields":null,"twitter_title":null,"twitter_description":null,"schema":{"blockGraphs":[],"customGraphs":[],"default":{"data":{"Article":[],"Course":[],"Dataset":[],"FAQPage":[],"Movie":[],"Person":[],"Product":[],"ProductReview":[],"Car":[],"Recipe":[],"Service":[],"SoftwareApplication":[],"WebPage":[]},"graphName":"","isEnabled":true},"graphs":[]},"schema_type":"default","schema_type_options":null,"pillar_content":false,"robots_default":true,"robots_noindex":false,"robots_noarchive":false,"robots_nosnippet":false,"robots_nofollow":false,"robots_noimageindex":false,"robots_noodp":false,"robots_notranslate":false,"robots_max_snippet":null,"robots_max_videopreview":null,"robots_max_imagepreview":"large","priority":null,"frequency":null,"local_seo":null,"seo_analyzer_scan_date":"2026-02-09 22:07:19","breadcrumb_settings":null,"limit_modified_date":false,"reviewed_by":null,"ai":null,"created":"2026-01-23 11:38:16","updated":"2026-02-09 22:07:19"},"gt_translate_keys":[{"key":"link","format":"url"}],"_links":{"self":[{"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/posts\/123013","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/comments?post=123013"}],"version-history":[{"count":2,"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/posts\/123013\/revisions"}],"predecessor-version":[{"id":160229,"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/posts\/123013\/revisions\/160229"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/media\/123014"}],"wp:attachment":[{"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/media?parent=123013"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/categories?post=123013"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/tags?post=123013"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}