Käivitame hädaolukorra juurdepääsu protseduuri SSH-hostidele riistvaraliste võtmetega

Nüüdsest arendame välja protseduuri SSH-hostidele hädaolukorra juurdepääsuks, kasutades turvaseadmeid offline-režiimis. See on vaid üks lähenemisviis, ja saate seda vastavalt enda vajadustele kohandada. Me hoiame oma hostide SSH sertifitseerimiskeskust turvaseadmest. See skeem töötab peaaegu kõigi OpenSSH variantidega, sealhulgas ühtse sisselogimisega SSH-ga.

Miks see kõik vajalik on? Noh, see on äärmuslik valik. See on tagauks, mis võimaldab teil oma serverisse juurdepääsu, kui mingil põhjusel ei toimi enam midagi muud.

Miks kasutada sertifikaate avatud / suletud võtmete asemel hädaolukorraks juurdepääsu saamiseks?

• Erinevalt avatud võtmetest võivad sertifikaatide kehtivusajad olla väga lühikesed. Saate genereerida sertifikaadi, mis on kehtiv 1 minuti või isegi 5 sekundi jooksul. Pärast seda, kui aeg on möödas, ei saa sertifikaate enam uute ühenduste jaoks kasutada. See sobib suurepäraselt hädaolukorra juurdepääsuks.
• Saate luua sertifikaadi mis tahes kasutajakontole oma hostides ja vajadusel saata selliseid 'ühekordseid' sertifikaate kolleegidele.

Mida teil on vaja:

• Turvaseadmed, mis toetavad residentseid võtmeid.
  Residentvõtmed on krüptograafilised võtmed, mis on täielikult salvestatud turvaseadmest. Mõnikord kaitstakse neid alfanumeerse PIN-koodiga. Residentvõtme avatud osa võib vajadusel eksportida turvaseadmest koos privaatvõtme descriptoriga. Residentsete võtmete toetust pakuvad näiteks Yubikey 5 seeria USB-seadmed. Ideaalis peaksid need olema mõeldud ainult hosti hädaolukorra juurdepääsuks. Selle postituse jaoks kasutan ainult ühte võtit, kuid teil peaks olema ka varukee.
• Turvaline koht nende võtmete hoidmiseks.
• OpenSSH versioon 8.2 või uuem teie arvutis ja serverites, kuhu soovite hädaolukorras juurde pääseda. Ubuntu 20.04 tarnitakse koos OpenSSH 8.2-ga.
• (valikuline, kuid soovitatav) CLI tööriist sertifikaatide kontrollimiseks.

Ettevalmistus

Esimene samm on luua sertifitseerimiskeskus, mis asub turvaseadmest. Sisestage võti ja käivitage:

$ ssh-keygen -t ecdsa-sk -f sk-user-ca -O resident -C [security key ID]

Kommentaarina (-C) märkisin yubikey-9-512-742@smallstep.com, et mitte unustada, mille võtmega see sertifitseerimiskeskus seotud on.

Lisaks võtme lisamisele Yubikey'le genereeritakse kohalikult kaks faili:

1. sk-user-ca, võtme descriptor, mis viitab eravõtmele, mis on salvestatud turvavõtmes,
2. sk-user-ca.pub, mis on avalik võti teie sertifitseerimiskeskuse jaoks.

Aga ärge muretsege, Yubikey'l on veel üks eravõti, mida ei saa välja võtta. Seega on see kõik turvaline.

Hostides kasutajanimega root lisage (kui pole veel lisatud) oma SSHD konfiguratsiooni (/etc/ssh/sshd_config) järgmine rida:

TrustedUserCAKeys /etc/ssh/ca.pub

Seejärel lisage hostis avalik võti (sk-user-ca.pub) faili /etc/ssh/ca.pub

Taaskäivitage deemon:

# /etc/init.d/ssh restart

Nüüd saame proovida hosti juurde pääseda. Kuid enne vajame me sertifikaati. Looge võtmepaar, mis on seotud sertifikaadiga:

$ ssh-keygen -t ecdsa -f emergency

Sertifikaadid ja SSH-paarid
Mõnikord on tung kasutada sertifikaati avatud / eravõtme paari asendamise asemel. Kuid kasutaja autentimiseks ei piisa ainult sertifikaadist. Igal sertifikaadil on ka sellega seotud eravõti. Seetõttu peame genereerima selle "hädaolukorra" võtmepaari, enne kui me endale sertifikaati anname. Oluline on, et allkirjastatud sertifikaati näitame serverile, märkides võtme paari, millel on eravõti.

Nii et avalike võtmete vahetus elab endiselt edasi. See kehtib isegi sertifikaatide kohta. Sertifikaadid vabastavad lihtsalt serveri vajadusest hoida avalikke võtmeid.

Jätka sertifikaadi loomisega. Mul on vaja ubuntu kasutaja autentimist 10-minutilise intervalliga. Saate seda teha oma viisil.

$ ssh-keygen -s sk-user-ca -I test-key -n ubuntu -V -5m:+5m emergency

Teilt küsitakse sertifikaadi allkirjastamist sõrmejälje abil. Saate lisada täiendavaid kasutajanimesid, eraldatuna komadega, näiteks -n ubuntu,carl,ec2-user

Nüüd on teil sertifikaat! Järgmiseks peate määrama õiged õigused:

$ chmod 600 emergency-cert.pub

Pärast seda saate tutvuda oma sertifikaadi sisuga:

$ step ssh inspect emergency-cert.pub

Nii näeb minu sertifikaat välja:

emergency-cert.pub
        Tüüp: ecdsa-sha2-nistp256-cert-v01@openssh.com kasutaja sertifikaat
        Avalik võti: ECDSA-CERT SHA256:EJSfzfQv1UK44/LOKhBbuh5oRMqxXGBSr+UAzA7cork
        Allkirjastamise CA: SK-ECDSA SHA256:kLJ7xfTTPQN0G/IF2cq5TB3EitaV4k3XczcBZcLPQ0E
        Võtme ID: "test-key"
        Seerianumber: 0
        Kehtiv: alates 2020-06-24T16:53:03 kuni 2020-06-24T17:03:03
        Peamised:
                ubuntu
        Kritilised valikud: (puuduvad)
        Laiendused:
                luba-X11-edasiandmine
                luba-agendi-edasiandmine
                luba-port-edasiandmine
                luba-pty
                luba-kasutaja-rc

Siin on avalik võti — see on meie loodud emergency võti, ja see on seotud sertifitseerimis keskusega sk-user-ca.

Lõ finally me oleme valmis SSH käskluse käivitamiseks:

$ ssh -i emergency ubuntu@my-hostname
ubuntu@my-hostname:~$

1. Nüüd saate luua sertifikaate mis tahes kasutajale hostis, mis usaldab teie sertifitseerimis keskust.
2. Saate emergency eemaldada. Saate sk-user-ca hoida, kuid see ei ole vajalik, kuna see on samuti turvavõtmes. Võib-olla soovite samuti eemaldada algse PEM formaadis avaliku võtme oma hostidelt (näiteks ~/.ssh/authorized_keys kasutaja ubuntu jaoks), kui olete seda kasutanud hädaolukorras ligipääsu jaoks.

Hädaolukord: tegevuskava

Sisestage turvavõti ja käivitage käsk:

$ ssh-add -K

Nii lisate avaliku sertifitseerimis keskuse võtme ja võtme deskriptor SSH-agentile.

Nüüd eksportige avalik võti, et teha sertifikaat:

$ ssh-add -L | tail -1 > sk-user-ca.pub

Looge sertifikaat, mille kehtivusaeg ei ületa näiteks tund:

$ ssh-keygen -t ecdsa -f emergency
$ ssh-keygen -Us sk-user-ca.pub -I test-key -n [username] -V -5m:+60m emergency
$ chmod 600 emergency-cert.pub

Ja nüüd uuesti SSH:

$ ssh -i emergency username@host

Kui teie fail .ssh/config põhjustab ühendamisel probleeme, võite käivitada ssh parameetriga -F none, et seda vältida. Kui peate sertifikaadi kolleegile saatma, on lihtsaim ja kõige turvalisem variant — see Magic Wormhole. Selleks on vajalik vaid kaks faili — meie juhul need on emergency ja emergency-cert.pub.

Mulle meeldib selle lähenemise juures see, et see toetab riistvara. Voite hoida turvavõtmeid seifis ja need ei kao ära.

Reklaami õigustes

Eepilised serverid — see on odavad VPS-id tuleb võimsate AMD protsessoritega, CPU tuumade sagedus kuni 3.4 GHz. Maksimaalne konfiguratsioon võimaldab lahendada peaaegu kõiki ülesandeid — 128 CPU tuuma, 512 GB RAM, 4000 GB NVMe. Liituge!

Allikas: habr.com