{"id":52210,"date":"2019-11-03T00:00:00","date_gmt":"2019-11-02T21:00:00","guid":{"rendered":"https:\/\/prohoster.info\/blog\/blog_prohoster\/v-openssh-dobavlena-podderzhka-universalnoj-dvuhfaktornoj-autentifikatsii"},"modified":"2020-02-18T13:59:53","modified_gmt":"2020-02-18T10:59:53","slug":"v-openssh-dobavlena-podderzhka-universalnoj-dvuhfaktornoj-autentifikatsii","status":"publish","type":"post","link":"https:\/\/prohoster.info\/de\/blog\/news\/v-openssh-dobavlena-podderzhka-universalnoj-dvuhfaktornoj-autentifikatsii","title":{"rendered":"In OpenSSH wurde die Unterst\u00fctzung f\u00fcr universelle Zwei-Faktor-Authentifizierung hinzugef\u00fcgt.","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

In den Codebasen von OpenSSH hinzugef\u00fcgt<\/a><\/noindex> experimentelle Unterst\u00fctzung f\u00fcr die Zwei-Faktor-Authentifizierung mit Ger\u00e4ten, die das Protokoll unterst\u00fctzen U2F<\/a><\/noindex>, entwickelt von der Allianz FIDO<\/a><\/noindex>. U2F erm\u00f6glicht die Erstellung kosteng\u00fcnstiger Hardware-Tokens zur Best\u00e4tigung der physischen Pr\u00e4senz des Benutzers, die \u00fcber USB, Bluetooth oder NFC interagieren. Solche Ger\u00e4te werden als Mittel zur Zwei-Faktor-Authentifizierung auf Webseiten gef\u00f6rdert, werden bereits von den g\u00e4ngigsten Browsern unterst\u00fctzt und von verschiedenen Herstellern wie Yubico, Feitian, Thetis und Kensington angeboten.<\/p>\n

Um mit Ger\u00e4ten zu interagieren, die die Anwesenheit des Benutzers best\u00e4tigen, wurde in OpenSSH ein neuer Schl\u00fcsseltyp \"sk-ecdsa-sha2-nistp256@openssh.com\" (\"ecdsa-sk\") hinzugef\u00fcgt, der den ECDSA-Signaturalgorithmus (Elliptic Curve Digital Signature Algorithm) mit der elliptischen Kurve NIST P-256 und dem Hash-Algorithmus SHA-256 verwendet. Die Verfahren zur Interaktion mit den Tokens wurden in eine Zwischenbibliothek ausgelagert, die analog zur Bibliothek zur Unterst\u00fctzung von PKCS#11 geladen wird und eine Wrapper-Schicht \u00fcber der Bibliothek darstellt. libfido2<\/a><\/noindex>, die Mittel zur Kommunikation mit Tokens \u00fcber USB bereitstellt (unterst\u00fctzt die Protokolle FIDO U2F\/CTAP 1 und FIDO 2.0\/CTAP 2). Die von den Entwicklern von OpenSSH vorbereitete Zwischenbibliothek libsk-libfido2 eingeschlossen<\/a><\/noindex> ist Teil von libfido2, ebenso wie HID-Treiber<\/a><\/noindex> f\u00fcr OpenBSD.<\/p>\n

Um U2F zu aktivieren, kann die neueste Codebasis von des Repositories<\/a><\/noindex> OpenSSH und der HEAD-Zweig der Bibliothek libfido2<\/a><\/noindex>, in die bereits die f\u00fcr OpenSSH ben\u00f6tigte Schicht integriert ist, verwendet werden.
\nLibfido2 unterst\u00fctzt den Betrieb unter OpenBSD, Linux, macOS und Windows. <\/p>\n

F\u00fcr die Authentifizierung und Schl\u00fcsselgenerierung muss die Umgebungsvariable SSH_SK_PROVIDER gesetzt werden, indem der Pfad zu libsk-libfido2.so angegeben wird (export SSH_SK_PROVIDER=\/path\/to\/libsk-libfido2.so), oder die Bibliothek kann \u00fcber die Einstellung SecurityKeyProvider definiert werden. Danach kann \"ssh-keygen -t ecdsa-sk\" ausgef\u00fchrt werden oder, falls die Schl\u00fcssel bereits erstellt und konfiguriert sind, kann eine Verbindung zum Server \u00fcber \"ssh\" hergestellt werden. Beim Ausf\u00fchren von ssh-keygen wird das erstellte Schl\u00fcsselpaar im \"~\/.ssh\/id_ecdsa_sk\" gespeichert und kann wie andere Schl\u00fcssel verwendet werden. <\/p>\n

Der \u00f6ffentliche Schl\u00fcssel (id_ecdsa_sk.pub) sollte auf den Server in die Datei authorized_keys kopiert werden. Auf der Serverseite wird nur die digitale Signatur \u00fcberpr\u00fcft, w\u00e4hrend die Interaktion mit den Tokens auf der Clientseite erfolgt (auf dem Server muss libsk-libfido2 nicht installiert werden, aber der Server muss den Schl\u00fcsseltyp \"ecdsa-sk\" unterst\u00fctzen). Der generierte private Schl\u00fcssel (id_ecdsa_sk) ist im Wesentlichen ein Schl\u00fcsseldescriptor, der den realen Schl\u00fcssel nur in Kombination mit der geheimen Sequenz bildet, die auf dem U2F-Token gespeichert ist.<\/p>\n

Falls der Schl\u00fcssel id_ecdsa_sk in die H\u00e4nde eines Angreifers gelangt, ben\u00f6tigt dieser zur Authentifizierung auch Zugriff auf das Hardware-Token, ohne das der in der Datei id_ecdsa_sk gespeicherte private Schl\u00fcssel nutzlos ist. Dar\u00fcber hinaus ist standardm\u00e4\u00dfig bei der Durchf\u00fchrung von Operationen mit Schl\u00fcsseln (sowohl bei der Generierung als auch bei der Authentifizierung) eine lokale Best\u00e4tigung der physischen Anwesenheit des Benutzers erforderlich, zum Beispiel wird vorgeschlagen, den Sensor auf dem Token zu ber\u00fchren, was es erschwert, entfernte Angriffe auf Systeme mit angeschlossenem Token durchzuf\u00fchren. Als weiteren Schutz kann beim Start von ssh-keygen ein Passwort f\u00fcr den Zugriff auf die Schl\u00fcsseldatei festgelegt werden. <\/p>\n

Der U2F-Schl\u00fcssel kann \u00fcber \"ssh-add ~\/.ssh\/id_ecdsa_sk\" zum ssh-agent hinzugef\u00fcgt werden, aber der ssh-agent muss mit Unterst\u00fctzung f\u00fcr \"ecdsa-sk\" kompiliert worden sein, eine Schicht von libsk-libfido2 muss vorhanden sein und der Agent muss auf dem System laufen, zu dem der Token verbunden ist.
\nDer neue Schl\u00fcsseltyp \"ecdsa-sk\" wurde hinzugef\u00fcgt, da das Format der ecdsa-Schl\u00fcssel in OpenSSH sich von dem Format der U2F f\u00fcr digitale ECDSA-Signaturen durch zus\u00e4tzliche Felder unterscheidet.<\/p>\n

<\/a><\/noindex><\/p>\n

Quelle: opennet.ru<\/a><\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"

\u0412 \u043a\u043e\u0434\u043e\u0432\u0443\u044e \u0431\u0430\u0437\u0443 OpenSSH \u0434\u043e\u0431\u0430\u0432\u043b\u0435\u043d\u0430 \u044d\u043a\u0441\u043f\u0435\u0440\u0438\u043c\u0435\u043d\u0442\u0430\u043b\u044c\u043d\u0430\u044f \u043f\u043e\u0434\u0434\u0435\u0440\u0436\u043a\u0430 \u0434\u0432\u0443\u0445\u0444\u0430\u043a\u0442\u043e\u0440\u043d\u043e\u0439 \u0430\u0443\u0442\u0435\u043d\u0442\u0438\u0444\u0438\u043a\u0430\u0446\u0438\u0438 \u0441 \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u043d\u0438\u0435\u043c \u0443\u0441\u0442\u0440\u043e\u0439\u0441\u0442\u0432, \u043f\u043e\u0434\u0434\u0435\u0440\u0436\u0438\u0432\u0430\u044e\u0449\u0438\u0445 \u043f\u0440\u043e\u0442\u043e\u043a\u043e\u043b U2F, \u0440\u0430\u0437\u0432\u0438\u0432\u0430\u0435\u043c\u044b\u0439 \u0430\u043b\u044c\u044f\u043d\u0441\u043e\u043c FIDO. U2F \u043f\u043e\u0437\u0432\u043e\u043b\u044f\u0435\u0442 \u0441\u043e\u0437\u0434\u0430\u0432\u0430\u0442\u044c \u043d\u0435\u0434\u043e\u0440\u043e\u0433\u0438\u0435 \u0430\u043f\u043f\u0430\u0440\u0430\u0442\u043d\u044b\u0435 \u0442\u043e\u043a\u0435\u043d\u044b \u0434\u043b\u044f \u043f\u043e\u0434\u0442\u0432\u0435\u0440\u0436\u0434\u0435\u043d\u0438\u044f \u0444\u0438\u0437\u0438\u0447\u0435\u0441\u043a\u043e\u0433\u043e \u043f\u0440\u0438\u0441\u0443\u0442\u0441\u0442\u0432\u0438\u044f \u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u0442\u0435\u043b\u044f, \u0432\u0437\u0430\u0438\u043c\u043e\u0434\u0435\u0439\u0441\u0442\u0432\u0438\u0435 \u0441 \u043a\u043e\u0442\u043e\u0440\u044b\u043c\u0438 \u043f\u0440\u043e\u0438\u0437\u0432\u043e\u0434\u0438\u0442\u0441\u044f \u0447\u0435\u0440\u0435\u0437 USB, Bluetooth \u0438\u043b\u0438 NFC. \u041f\u043e\u0434\u043e\u0431\u043d\u044b\u0435 \u0443\u0441\u0442\u0440\u043e\u0439\u0441\u0442\u0432\u0430 \u043f\u0440\u043e\u0434\u0432\u0438\u0433\u0430\u044e\u0442\u0441\u044f \u0432 \u043a\u0430\u0447\u0435\u0441\u0442\u0432\u0435 \u0441\u0440\u0435\u0434\u0441\u0442\u0432\u0430 \u0434\u043b\u044f \u0434\u0432\u0443\u0445\u0444\u0430\u043a\u0442\u043e\u0440\u043d\u043e\u0439 \u0430\u0443\u0442\u0435\u043d\u0442\u0438\u0444\u0438\u043a\u0430\u0446\u0438\u0438 \u043d\u0430 \u0441\u0430\u0439\u0442\u0430\u0445, \u0443\u0436\u0435 \u043f\u043e\u0434\u0434\u0435\u0440\u0436\u0438\u0432\u0430\u044e\u0442\u0441\u044f \u043e\u0441\u043d\u043e\u0432\u043d\u044b\u043c\u0438 \u0431\u0440\u0430\u0443\u0437\u0435\u0440\u0430\u043c\u0438 \u0438 \u0432\u044b\u043f\u0443\u0441\u043a\u0430\u044e\u0442\u0441\u044f […]<\/p>\n","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"author":1,"featured_media":0,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[702],"tags":[],"class_list":["post-52210","post","type-post","status-publish","format-standard","hentry","category-news"],"aioseo_notices":[],"aioseo_head":"\n\t\t\n\t\n\t\n\t\n\t\n\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\n","aioseo_head_json":{"title":"\ud83e\udd47In OpenSSH wurde Unterst\u00fctzung f\u00fcr universelle Zwei-Faktor-Authentifizierung hinzugef\u00fcgt | ProHoster","description":"In den Code von OpenSSH wurde experimentelle Unterst\u00fctzung f\u00fcr Zwei-Faktor-Authentifizierung mit hinzugef\u00fcgt.","canonical_url":"https:\/\/prohoster.info\/de\/blog\/news\/v-openssh-dobavlena-podderzhka-universalnoj-dvuhfaktornoj-autentifikatsii","robots":"max-image-preview:large","keywords":"","webmasterTools":{"miscellaneous":""},"schema":null,"og:locale":"de_DE","og:site_name":"ProHoster | \u041a\u0443\u043f\u0438\u0442\u044c \u043d\u0430\u0434\u0435\u0436\u043d\u044b\u0439 \u0445\u043e\u0441\u0442\u0438\u043d\u0433 \u0434\u043b\u044f \u0441\u0430\u0439\u0442\u043e\u0432 \u0441 \u0437\u0430\u0449\u0438\u0442\u043e\u0439 \u043e\u0442 DDoS, VPS VDS \u0441\u0435\u0440\u0432\u0435\u0440\u044b","og:type":"article","og:title":"\ud83e\udd47\u0412 OpenSSH \u0434\u043e\u0431\u0430\u0432\u043b\u0435\u043d\u0430 \u043f\u043e\u0434\u0434\u0435\u0440\u0436\u043a\u0430 \u0443\u043d\u0438\u0432\u0435\u0440\u0441\u0430\u043b\u044c\u043d\u043e\u0439 \u0434\u0432\u0443\u0445\u0444\u0430\u043a\u0442\u043e\u0440\u043d\u043e\u0439 \u0430\u0443\u0442\u0435\u043d\u0442\u0438\u0444\u0438\u043a\u0430\u0446\u0438\u0438 | ProHoster","og:description":"\u0412 \u043a\u043e\u0434\u043e\u0432\u0443\u044e \u0431\u0430\u0437\u0443 OpenSSH \u0434\u043e\u0431\u0430\u0432\u043b\u0435\u043d\u0430 \u044d\u043a\u0441\u043f\u0435\u0440\u0438\u043c\u0435\u043d\u0442\u0430\u043b\u044c\u043d\u0430\u044f \u043f\u043e\u0434\u0434\u0435\u0440\u0436\u043a\u0430 \u0434\u0432\u0443\u0445\u0444\u0430\u043a\u0442\u043e\u0440\u043d\u043e\u0439 \u0430\u0443\u0442\u0435\u043d\u0442\u0438\u0444\u0438\u043a\u0430\u0446\u0438\u0438 \u0441 \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u043d\u0438\u0435\u043c.","og:url":"https:\/\/prohoster.info\/de\/blog\/news\/v-openssh-dobavlena-podderzhka-universalnoj-dvuhfaktornoj-autentifikatsii","og:image":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:secure_url":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:width":350,"og:image:height":350,"article:published_time":"2019-11-02T21:00:00+00:00","article:modified_time":"2020-02-18T10:59:53+00:00","article:publisher":"https:\/\/www.facebook.com\/prohoster","article:author":"https:\/\/www.facebook.com\/prohoster"},"aioseo_meta_data":{"post_id":"52210","title":null,"description":null,"keywords":null,"keyphrases":null,"primary_term":null,"canonical_url":null,"og_title":null,"og_description":null,"og_object_type":"default","og_image_type":"default","og_image_url":null,"og_image_width":null,"og_image_height":null,"og_image_custom_url":null,"og_image_custom_fields":null,"og_video":null,"og_custom_url":null,"og_article_section":null,"og_article_tags":null,"twitter_use_og":false,"twitter_card":"default","twitter_image_type":"default","twitter_image_url":null,"twitter_image_custom_url":null,"twitter_image_custom_fields":null,"twitter_title":null,"twitter_description":null,"schema":{"blockGraphs":[],"customGraphs":[],"default":{"data":{"Article":[],"Course":[],"Dataset":[],"FAQPage":[],"Movie":[],"Person":[],"Product":[],"ProductReview":[],"Car":[],"Recipe":[],"Service":[],"SoftwareApplication":[],"WebPage":[]},"graphName":"","isEnabled":true},"graphs":[]},"schema_type":null,"schema_type_options":null,"pillar_content":false,"robots_default":true,"robots_noindex":false,"robots_noarchive":false,"robots_nosnippet":false,"robots_nofollow":false,"robots_noimageindex":false,"robots_noodp":false,"robots_notranslate":false,"robots_max_snippet":null,"robots_max_videopreview":null,"robots_max_imagepreview":"large","priority":null,"frequency":null,"local_seo":null,"seo_analyzer_scan_date":"2026-01-24 02:52:19","breadcrumb_settings":null,"limit_modified_date":false,"reviewed_by":null,"ai":null,"created":"2021-02-28 20:47:23","updated":"2026-01-24 02:52:19","focus_keyword":null,"additional_keywords":null,"truseo_locale":null},"gt_translate_keys":[{"key":"link","format":"url"}],"_links":{"self":[{"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/posts\/52210","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/comments?post=52210"}],"version-history":[{"count":0,"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/posts\/52210\/revisions"}],"wp:attachment":[{"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/media?parent=52210"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/categories?post=52210"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/tags?post=52210"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}