Kohandame SSH hostide hädaolukorra pääsme protseduuri riistvaravahedega

Selles postituses loome protseduuri SSH-hostide hädaolukorras juurdepääsuks, kasutades riistvarapõhiseid turvavõtmeid offline-režiimis. See on vaid üks lähenemisviis ja võite seda endale kohandada. Hoidke meie SSH-hostide sertifitseerimiskeskus riistvaraturvavõtmel. See skeem töötab praktiliselt igas OpenSSH-s, sealhulgas ühtse sisselogimisega SSH-s.

Miks seda kõike vaja on? Noh, see on äärmuslik lahendus. See on tagaukse meetod, mis võimaldab teil oma serverisse juurde pääseda juhul, kui mingil põhjusel muud meetodid ei aita.

Miks kasutada sertifikaate avatud / suletud võtmete asemel hädaolukorra juurdepääsuks?

• Erinevalt avatud võtmetest võib sertifikaatide kehtivusaeg olla väga lühike. Saate genereerida sertifikaadi, mis kehtib 1 minuti või isegi 5 sekundi. Kui aeg on möödas, ei ole sertifikaat enam uute ühenduste jaoks sobiv. See sobib ideaalselt hädaolukordadeks.
• Saate luua oma hostides olevatele konto jaoks sertifikaadi ja vajadusel saata selliseid "ühekordseid" sertifikaate kolleegidele.

Mida vajate

• Turbeauhinnad, mis toetavad residentseid võtmeid.
  Residentide võtmed on krüptograafilised võtmed, mis salvestatakse täielikult turbeauhinnas. Mõnikord on need kaitstud alfanumeerse PIN-koodiga. Residentse võtme avatud osa saab eksporditakse turbeauhinnast, vajadusel koos privaatvõtme deskriptoriga. Residentide võtmete toetust pakuvad näiteks Yubikey 5 seeria USB võtmed. Soovitatav on kasutada neid ainult hädapääsuks hostile. Selles postituses kasutan ainult ühte võtit, kuid teil peaks olema teine varu jaoks.
• Ohutu koht nende võtmete hoidmiseks.
• OpenSSH versioon 8.2 või uuem teie kohalikus arvutis ja serverites, kuhu soovite saada hädapääsu. Ubuntu 20.04 on varustatud OpenSSH 8.2-ga.
• (valikuline, kuid soovitatav) CLI tööriist sertifikaatide kontrollimiseks.

Ettevalmistus

Alustuseks tuleb luua sertifitseerimiskeskus, mis asub turvaküsimise seadmel. Sisestage küsimise seade ja käivitage:

$ ssh-keygen -t ecdsa-sk -f sk-user-ca -O resident -C [security key ID]

Kommentaarina (-C) märkisin yubikey-9-512-742@smallstep.com, et mitte unustada, millise turvaküsimise seadmega see sertifitseerimiskeskus seotud on.

Lisaks Yubikey'le, genereeritakse kohalikes seadmetes kaks faili:

1. sk-user-ca, mis on võtme descriptor, viidates privaatvõtmele, mis on salvestatud turvaküsimise seadmes,
2. sk-user-ca.pub, mis on avatud võtme jaoks teie sertifitseerimiskeskuses.

Aga ärge muretsege, Yubikey's on veel üks privaatvõti, mida ei saa välja võtta. Seega on kõik siin turvaline.

Hosts, kus kasutajanimi on root, lisage (kui pole veel lisatud) teie SSHD konfiguratsiooni (/etc/ssh/sshd_config) järgmine:

TrustedUserCAKeys /etc/ssh/ca.pub

Seejärel lisage hostis avatud võti (sk-user-ca.pub) failile /etc/ssh/ca.pub

Taaskäivitage demon:

# /etc/init.d/ssh restart

Nüüd saame proovida hostile ligipääsu. Kuid esmalt vajame sertifikaati. Looge võtme paar, mis on seotud sertifikaadiga:

$ ssh-keygen -t ecdsa -f emergency

Sertifikaadid ja SSH paarid
Mõnikord on kiusatus kasutada sertifikaati avatud / suletud võtme asendajana. Kuid kasutaja autentimiseks ei piisa ühest sertifikaadist. Igal sertifikaadil on ka seotud privaatvõti. Seetõttu peame genereerima selle "hädaolukorra" võtme paari, enne kui me endale sertifikaadi väljastame. Oluline on, et me näitame serverile allkirjastatud sertifikaati, märkides võtme paari, mille privaatvõti meil on.

Seega on avatud võtmete vahetus endiselt elujõuline. See kehtib isegi sertifikaatide puhul. Sertifikaadid lihtsalt vabastavad serveri avatud võtmete salvestamise vajadusest.

Seejärel looge sertifikaat. Mul on vaja kasutaja ubuntu autoriseerimist 10-minutilise intervalli jooksul. Võite teha seda oma viisil.

$ ssh-keygen -s sk-user-ca -I test-key -n ubuntu -V -5m:+5m emergency

Teilt küsitakse sertifikaadi allkirjastamist sõrmejälje kaudu. Võite lisada täiendavaid kasutajanimesid, eraldades need komadega, näiteks -n ubuntu,carl,ec2-user

Nüüd on teil sertifikaat! Järgmiseks tuleb määrata õiged õigused:

$ chmod 600 emergency-cert.pub

Pärast seda saate tutvuda oma sertifikaadi sisuga:

$ step ssh inspect emergency-cert.pub

Nii see välja näeb:

emergency-cert.pub
        Tüüp: ecdsa-sha2-nistp256-cert-v01@openssh.com kasutaja sertifikaat
        Avalik võti: ECDSA-CERT SHA256:EJSfzfQv1UK44/LOKhBbuh5oRMqxXGBSr+UAzA7cork
        Allkirjastamise CA: SK-ECDSA SHA256:kLJ7xfTTPQN0G/IF2cq5TB3EitaV4k3XczcBZcLPQ0E
        Võtme ID: "test-key"
        Seerianumber: 0
        Kehtiv: alates 2020-06-24T16:53:03 kuni 2020-06-24T17:03:03
        Peamised:
                ubuntu
        Kriitilised valikud: (puuduvad)
        Laiendused:
                luba-X11-edastamine
                luba-agendi-edastamine
                luba-portsi-edastamine
                luba-pty
                luba-kasutaja-rc

Siin on avalik võti — see on meie loodud emergency võti, mis on seotud sertifitseerimiskeskusega sk-user-ca.

Lõ finally oleme valmis SSH käsku käivitama:

$ ssh -i emergency ubuntu@my-hostname
ubuntu@my-hostname:~$

1. Nüüd saate luua sertifikaate iga kasutaja jaoks sellel hostil, mis usaldab teie sertifitseerimiskeskust.
2. Saate emergency kustutada. Sk-user-ca saate jätta alles, kuid ei ole see vajalik, kuna see on samuti turvavõtmes. Võib-olla soovite ka eemaldada originaalse PEM avaliku võtme oma hostidest (näiteks ~/.ssh/authorized_keys kasutaja ubuntu jaoks), kui olete kasutanud seda erakorraliseks ligipääsuks.

Erakorraline ligipääs: tegevuskava

Sisestage turvavõti ja käivitage käsk:

$ ssh-add -K

Nii lisate sertifitseerimiskeskuse avaliku võtme ja võtme descriptor SSH-agendisse.

Nüüd eksportige avalik võti, et luua sertifikaat:

$ ssh-add -L | tail -1 > sk-user-ca.pub

Looge sertifikaat, mille kehtivusaeg on näiteks mitte rohkem kui tund:

$ ssh-keygen -t ecdsa -f emergency
$ ssh-keygen -Us sk-user-ca.pub -I test-key -n [username] -V -5m:+60m emergency
$ chmod 600 emergency-cert.pub

Ja nüüd SSH uuesti:

$ ssh -i emergency username@host

Kui teie fail .ssh/config põhjustab ühendamisel probleeme, võite käivitada ssh parameetriga -F none, et sellest mööda minna. Kui peate sertifikaadi kolleegile saatma, on kõige lihtsam ja ohutum variant Magic Wormhole. Selleks on vajalik vaid kaks faili — meie puhul need on emergency ja emergency-cert.pub.

Mulle meeldib selle lähenemise juures see, et on olemas riistvaratoetust. Saate turvavõtmed safkasse panna ja need ei lähe kuhugi.

Reklaami õigustes

Eepilised serverid — see on odavad VPS vägagi võimsate AMD protsessoritega, CPU tuuma sagedus kuni 3,4 GHz. Maksimaalne konfiguratsioon võimaldab lahendada peaaegu kõiki ülesandeid — 128 CPU tuuma, 512 GB RAM, 4000 GB NVMe. Liituge!

Allikas: habr.com