{"id":52210,"date":"2019-11-03T00:00:00","date_gmt":"2019-11-02T21:00:00","guid":{"rendered":"https:\/\/prohoster.info\/blog\/blog_prohoster\/v-openssh-dobavlena-podderzhka-universalnoj-dvuhfaktornoj-autentifikatsii"},"modified":"2020-02-18T13:59:53","modified_gmt":"2020-02-18T10:59:53","slug":"v-openssh-dobavlena-podderzhka-universalnoj-dvuhfaktornoj-autentifikatsii","status":"publish","type":"post","link":"https:\/\/prohoster.info\/de\/blog\/novosti-interneta\/v-openssh-dobavlena-podderzhka-universalnoj-dvuhfaktornoj-autentifikatsii","title":{"rendered":"OpenSSH unterst\u00fctzt jetzt universelle Zwei-Faktor-Authentifizierung.","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

In den Code-Basiss von OpenSSH. hinzugef\u00fcgt<\/a><\/noindex> experimentelle Unterst\u00fctzung f\u00fcr die Zwei-Faktor-Authentifizierung mithilfe von Ger\u00e4ten, die das Protokoll unterst\u00fctzen. U2F<\/a><\/noindex>, entwickelt von der Allianz FIDO<\/a><\/noindex>. U2F erm\u00f6glicht die Erstellung kosteng\u00fcnstiger Hardware-Tokens zur Best\u00e4tigung der physischen Anwesenheit des Benutzers, die \u00fcber USB, Bluetooth oder NFC kommuniziert werden. Solche Ger\u00e4te werden als Mittel zur Zwei-Faktor-Authentifizierung auf Websites gef\u00f6rdert, werden bereits von den g\u00e4ngigen Browsern unterst\u00fctzt und werden von verschiedenen Herstellern wie Yubico, Feitian, Thetis und Kensington angeboten.<\/p>\n

F\u00fcr die Interaktion mit Ger\u00e4ten, die die Anwesenheit des Benutzers best\u00e4tigen, wurde in OpenSSH ein neuer Schl\u00fcsselt Typ «sk-ecdsa-sha2-nistp256@openssh.com» («ecdsa-sk») hinzugef\u00fcgt, in dem der ECDSA-Algorithmus (Elliptic Curve Digital Signature Algorithm) mit der elliptischen Kurve NIST P-256 und dem SHA-256-Hash verwendet wird. Die Interaktionsprozeduren mit Tokens wurden in eine Zwischenbibliothek ausgelagert, die analog zur Bibliothek zur Unterst\u00fctzung von PKCS#11 geladen wird und eine Wrapper-Bibliothek darstellt. libfido2<\/a><\/noindex>, die Mittel zur Kommunikation mit Tokens \u00fcber USB bereitstellt (unterst\u00fctzt die Protokolle FIDO U2F\/CTAP 1 und FIDO 2.0\/CTAP 2). Die von OpenSSH-Entwicklern bereitgestellte Zwischenbibliothek libsk-libfido2 wurde hinzugef\u00fcgt<\/a><\/noindex> wird in die Hauptbibliothek libfido2 integriert, ebenso wie HID-Treiber<\/a><\/noindex> f\u00fcr OpenBSD.<\/p>\n

Um U2F zu aktivieren, kann die aktuelle Version des Code-Bases von aus dem Repository<\/a><\/noindex> OpenSSH und dem HEAD-Branch der Bibliothek libfido2<\/a><\/noindex>, der bereits die f\u00fcr OpenSSH notwendige Schicht enth\u00e4lt.
\nLibfido2 unterst\u00fctzt die Nutzung in OpenBSD, Linux, macOS und Windows. <\/p>\n

F\u00fcr die Authentifizierung und Generierung des Schl\u00fcssels muss die Umgebungsvariable SSH_SK_PROVIDER festgelegt werden, die den Pfad zu libsk-libfido2.so angibt (export SSH_SK_PROVIDER=\/path\/to\/libsk-libfido2.so), oder die Bibliothek kann \u00fcber die Einstellung SecurityKeyProvider definiert werden, danach kann «ssh-keygen -t ecdsa-sk» ausgef\u00fchrt werden oder, wenn die Schl\u00fcssel bereits erstellt und eingerichtet sind, kann man sich mit «ssh» mit dem Server verbinden. Beim Ausf\u00fchren von ssh-keygen wird das erzeugte Schl\u00fcssel-Paar in «~\/.ssh\/id_ecdsa_sk» gespeichert und kann analog zu anderen Schl\u00fcsseln verwendet werden. <\/p>\n

Der \u00f6ffentliche Schl\u00fcssel (id_ecdsa_sk.pub) sollte auf den Server in die Datei authorized_keys kopiert werden. Auf der Serverseite wird nur die digitale Signatur \u00fcberpr\u00fcft, die Interaktion mit den Tokens erfolgt auf der Clientseite (es ist nicht erforderlich, libsk-libfido2 auf dem Server zu installieren, aber der Server muss den Schl\u00fcsselt Typ «ecdsa-sk» unterst\u00fctzen). Der generierte private Schl\u00fcssel (id_ecdsa_sk) fungiert im Wesentlichen als Schl\u00fcssel-Descriptor und bildet den realen Schl\u00fcssel nur in Kombination mit der geheimen Abfolge, die auf dem U2F-Token gespeichert ist.<\/p>\n

Wenn der Schl\u00fcssel id_ecdsa_sk in die H\u00e4nde eines Angreifers gelangt, ben\u00f6tigt dieser f\u00fcr die Authentifizierung auch Zugriff auf das Hardware-Token, ohne das der im Datei gespeicherte private Schl\u00fcssel id_ecdsa_sk nutzlos ist. Dar\u00fcber hinaus ist standardm\u00e4\u00dfig bei allen Vorg\u00e4ngen mit Schl\u00fcsseln (sowohl bei der Erstellung als auch bei der Authentifizierung) eine lokale Best\u00e4tigung der physischen Anwesenheit des Benutzers erforderlich, indem beispielsweise angeboten wird, den Sensor am Token zu ber\u00fchren, was Remote-Angriffe auf Systeme mit angeschlossenem Token erschwert. Als zus\u00e4tzliche Schutzma\u00dfnahme kann bei der Ausf\u00fchrung von ssh-keygen auch ein Passwort f\u00fcr den Zugriff auf die Datei mit dem Schl\u00fcssel festgelegt werden. <\/p>\n

Der U2F-Schl\u00fcssel kann \u00fcber «ssh-add ~\/.ssh\/id_ecdsa_sk» zum ssh-agent hinzugef\u00fcgt werden, jedoch muss der ssh-agent mit Unterst\u00fctzung f\u00fcr die Schl\u00fcsselt Typen «ecdsa-sk» kompiliert sein, eine libsk-libfido2-Schicht vorhanden sein und der Agent muss auf dem System ausgef\u00fchrt werden, an das das Token angeschlossen wird.
\nDer neue Schl\u00fcsselt Typ «ecdsa-sk» wurde hinzugef\u00fcgt, da das Format der ecdsa-Schl\u00fcssel in OpenSSH sich vom Format U2F f\u00fcr digitale Signaturen ECDSA durch das Vorhandensein zus\u00e4tzlicher Felder unterscheidet.<\/p>\n

<\/a><\/noindex><\/p>\n

Quelle: opennet.ru<\/a><\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"

\u0412 \u043a\u043e\u0434\u043e\u0432\u0443\u044e \u0431\u0430\u0437\u0443 OpenSSH \u0434\u043e\u0431\u0430\u0432\u043b\u0435\u043d\u0430 \u044d\u043a\u0441\u043f\u0435\u0440\u0438\u043c\u0435\u043d\u0442\u0430\u043b\u044c\u043d\u0430\u044f \u043f\u043e\u0434\u0434\u0435\u0440\u0436\u043a\u0430 \u0434\u0432\u0443\u0445\u0444\u0430\u043a\u0442\u043e\u0440\u043d\u043e\u0439 \u0430\u0443\u0442\u0435\u043d\u0442\u0438\u0444\u0438\u043a\u0430\u0446\u0438\u0438 \u0441 \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u043d\u0438\u0435\u043c \u0443\u0441\u0442\u0440\u043e\u0439\u0441\u0442\u0432, \u043f\u043e\u0434\u0434\u0435\u0440\u0436\u0438\u0432\u0430\u044e\u0449\u0438\u0445 \u043f\u0440\u043e\u0442\u043e\u043a\u043e\u043b U2F, \u0440\u0430\u0437\u0432\u0438\u0432\u0430\u0435\u043c\u044b\u0439 \u0430\u043b\u044c\u044f\u043d\u0441\u043e\u043c FIDO. U2F \u043f\u043e\u0437\u0432\u043e\u043b\u044f\u0435\u0442 \u0441\u043e\u0437\u0434\u0430\u0432\u0430\u0442\u044c \u043d\u0435\u0434\u043e\u0440\u043e\u0433\u0438\u0435 \u0430\u043f\u043f\u0430\u0440\u0430\u0442\u043d\u044b\u0435 \u0442\u043e\u043a\u0435\u043d\u044b \u0434\u043b\u044f \u043f\u043e\u0434\u0442\u0432\u0435\u0440\u0436\u0434\u0435\u043d\u0438\u044f \u0444\u0438\u0437\u0438\u0447\u0435\u0441\u043a\u043e\u0433\u043e \u043f\u0440\u0438\u0441\u0443\u0442\u0441\u0442\u0432\u0438\u044f \u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u0442\u0435\u043b\u044f, \u0432\u0437\u0430\u0438\u043c\u043e\u0434\u0435\u0439\u0441\u0442\u0432\u0438\u0435 \u0441 \u043a\u043e\u0442\u043e\u0440\u044b\u043c\u0438 \u043f\u0440\u043e\u0438\u0437\u0432\u043e\u0434\u0438\u0442\u0441\u044f \u0447\u0435\u0440\u0435\u0437 USB, Bluetooth \u0438\u043b\u0438 NFC. \u041f\u043e\u0434\u043e\u0431\u043d\u044b\u0435 \u0443\u0441\u0442\u0440\u043e\u0439\u0441\u0442\u0432\u0430 \u043f\u0440\u043e\u0434\u0432\u0438\u0433\u0430\u044e\u0442\u0441\u044f \u0432 \u043a\u0430\u0447\u0435\u0441\u0442\u0432\u0435 \u0441\u0440\u0435\u0434\u0441\u0442\u0432\u0430 \u0434\u043b\u044f \u0434\u0432\u0443\u0445\u0444\u0430\u043a\u0442\u043e\u0440\u043d\u043e\u0439 \u0430\u0443\u0442\u0435\u043d\u0442\u0438\u0444\u0438\u043a\u0430\u0446\u0438\u0438 \u043d\u0430 \u0441\u0430\u0439\u0442\u0430\u0445, \u0443\u0436\u0435 \u043f\u043e\u0434\u0434\u0435\u0440\u0436\u0438\u0432\u0430\u044e\u0442\u0441\u044f \u043e\u0441\u043d\u043e\u0432\u043d\u044b\u043c\u0438 \u0431\u0440\u0430\u0443\u0437\u0435\u0440\u0430\u043c\u0438 \u0438 \u0432\u044b\u043f\u0443\u0441\u043a\u0430\u044e\u0442\u0441\u044f […]<\/p>\n","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"author":1,"featured_media":0,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[702],"tags":[],"class_list":["post-52210","post","type-post","status-publish","format-standard","hentry","category-novosti-interneta"],"aioseo_notices":[],"aioseo_head":"\n\t\t\n\t\n\t\n\t\n\t\n\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\n","aioseo_head_json":{"title":"\ud83e\udd47 Unterst\u00fctzung f\u00fcr universelle Zwei-Faktor-Authentifizierung in OpenSSH hinzugef\u00fcgt | ProHoster","description":"In den OpenSSH-Code wurde experimentelle Unterst\u00fctzung f\u00fcr die Zwei-Faktor-Authentifizierung integriert.","canonical_url":"https:\/\/prohoster.info\/de\/blog\/novosti-interneta\/v-openssh-dobavlena-podderzhka-universalnoj-dvuhfaktornoj-autentifikatsii","robots":"max-image-preview:large","keywords":"","webmasterTools":{"miscellaneous":""},"schema":null,"og:locale":"de_DE","og:site_name":"ProHoster | \u041a\u0443\u043f\u0438\u0442\u044c \u043d\u0430\u0434\u0435\u0436\u043d\u044b\u0439 \u0445\u043e\u0441\u0442\u0438\u043d\u0433 \u0434\u043b\u044f \u0441\u0430\u0439\u0442\u043e\u0432 \u0441 \u0437\u0430\u0449\u0438\u0442\u043e\u0439 \u043e\u0442 DDoS, VPS VDS \u0441\u0435\u0440\u0432\u0435\u0440\u044b","og:type":"article","og:title":"\ud83e\udd47\u0412 OpenSSH \u0434\u043e\u0431\u0430\u0432\u043b\u0435\u043d\u0430 \u043f\u043e\u0434\u0434\u0435\u0440\u0436\u043a\u0430 \u0443\u043d\u0438\u0432\u0435\u0440\u0441\u0430\u043b\u044c\u043d\u043e\u0439 \u0434\u0432\u0443\u0445\u0444\u0430\u043a\u0442\u043e\u0440\u043d\u043e\u0439 \u0430\u0443\u0442\u0435\u043d\u0442\u0438\u0444\u0438\u043a\u0430\u0446\u0438\u0438 | ProHoster","og:description":"\u0412 \u043a\u043e\u0434\u043e\u0432\u0443\u044e \u0431\u0430\u0437\u0443 OpenSSH \u0434\u043e\u0431\u0430\u0432\u043b\u0435\u043d\u0430 \u044d\u043a\u0441\u043f\u0435\u0440\u0438\u043c\u0435\u043d\u0442\u0430\u043b\u044c\u043d\u0430\u044f \u043f\u043e\u0434\u0434\u0435\u0440\u0436\u043a\u0430 \u0434\u0432\u0443\u0445\u0444\u0430\u043a\u0442\u043e\u0440\u043d\u043e\u0439 \u0430\u0443\u0442\u0435\u043d\u0442\u0438\u0444\u0438\u043a\u0430\u0446\u0438\u0438 \u0441 \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u043d\u0438\u0435\u043c.","og:url":"https:\/\/prohoster.info\/de\/blog\/novosti-interneta\/v-openssh-dobavlena-podderzhka-universalnoj-dvuhfaktornoj-autentifikatsii","og:image":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:secure_url":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:width":350,"og:image:height":350,"article:published_time":"2019-11-02T21:00:00+00:00","article:modified_time":"2020-02-18T10:59:53+00:00","article:publisher":"https:\/\/www.facebook.com\/prohoster","article:author":"https:\/\/www.facebook.com\/prohoster"},"aioseo_meta_data":{"post_id":"52210","title":null,"description":null,"keywords":null,"keyphrases":null,"primary_term":null,"canonical_url":null,"og_title":null,"og_description":null,"og_object_type":"default","og_image_type":"default","og_image_url":null,"og_image_width":null,"og_image_height":null,"og_image_custom_url":null,"og_image_custom_fields":null,"og_video":null,"og_custom_url":null,"og_article_section":null,"og_article_tags":null,"twitter_use_og":false,"twitter_card":"default","twitter_image_type":"default","twitter_image_url":null,"twitter_image_custom_url":null,"twitter_image_custom_fields":null,"twitter_title":null,"twitter_description":null,"schema":{"blockGraphs":[],"customGraphs":[],"default":{"data":{"Article":[],"Course":[],"Dataset":[],"FAQPage":[],"Movie":[],"Person":[],"Product":[],"ProductReview":[],"Car":[],"Recipe":[],"Service":[],"SoftwareApplication":[],"WebPage":[]},"graphName":"","isEnabled":true},"graphs":[]},"schema_type":null,"schema_type_options":null,"pillar_content":false,"robots_default":true,"robots_noindex":false,"robots_noarchive":false,"robots_nosnippet":false,"robots_nofollow":false,"robots_noimageindex":false,"robots_noodp":false,"robots_notranslate":false,"robots_max_snippet":null,"robots_max_videopreview":null,"robots_max_imagepreview":"large","priority":null,"frequency":null,"local_seo":null,"seo_analyzer_scan_date":"2026-01-24 02:52:19","breadcrumb_settings":null,"limit_modified_date":false,"reviewed_by":null,"ai":null,"created":"2021-02-28 20:47:23","updated":"2026-01-24 02:52:19","focus_keyword":null,"additional_keywords":null,"truseo_locale":null},"gt_translate_keys":[{"key":"link","format":"url"}],"_links":{"self":[{"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/posts\/52210","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/comments?post=52210"}],"version-history":[{"count":0,"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/posts\/52210\/revisions"}],"wp:attachment":[{"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/media?parent=52210"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/categories?post=52210"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/tags?post=52210"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}