Cloudflare on välja andnud opkssh, et autentida SSH-d OpenID Connecti kaudu.

Cloudflare esitas tööriista opkssh (OpenPubkey SSH), mis võimaldab integreerida OpenSSH-sse keskset autentimist OpenID Connecti pakkujatega sisenemise võimalusega. Tööriista opkssh abil on võimalik vältida käsitsi SSH-võtmete haldamist ja seadistamist, samuti korraldada serverisse ühendust mistahes hostidest, ilma et oleks vajalik luua eravõtmeid iga kliendi arvuti jaoks ja ilma, et oleks vaja käsitsi kopeerida avalikke võtmeid serverisse. Ühendumiseks piisab, kui seada serveris konto sidumine OpenID pakkujaga. Tööriista kood on kirjutatud Go keeles ja levitatakse Apache 2.0 litsentsi alusel.

Opkssh on ühilduv OpenID pakkujatega Google, Microsoft/Azure ja Gitlab, mis võimaldab seadistada sisselogimise olemasolevate kontode kaudu gmail.com, microsoft.com ja gitlab.com teenustes. Opkssh kasutamisel genereeritakse ajutised võtmest, mis kehtivad vaid mõned tunnid ja moodustatakse OpenID pakkuja kinnituse alusel. Selliste võtmete lekkimine pärast kehtivusaja lõppu ei kujuta endast turvariski. Vaikimisi on võtme kehtivusaeg 24 tundi, pärast mida on vajalik uuesti end OpenID kaudu tuvastada.

Integratsioon OpenSSH-iga põhineb SSH protokolli laienduste loomise võimalusel, mis lubavad manustada juhuslikke andmeid SSH-sertifikaatidele. Pärast OpenID kaudu autentimist vormib klient avaliku võtme, mis sisaldab PK-tokenit, mis kinnitab, et võti kuulub väidetud kasutajale. Token integreeritakse SSH protokolli SSH-sertifikaadi täiendavate andmete välja kaudu. PK-tokenite loomine ja nende kontrollimine serveri küljel toimub OpenPubKey krüptograafilise protokolli abil.

OpenPubKey võimaldab genereerida avaliku võtme ja siduda selle OpenID teenusepakkuja väljastatud tokeniga. Digitaalse allkirjaga kinnitab teenusepakkuja, et see võti on loodud väidetud autentitud kasutaja poolt. Näiteks võib Google'i OpenID teenusepakkuja kinnitada, et kasutaja on autentitud kui test@gmail.com. Põhja pool toimub kontroll, kas OpenID teenusepakkuja on allkirjastanud kaasatud tokeni ja kas digitaalne allkiri vastab väidetud avalikule võtmele, st server saab veenduda, et just kasutaja test@gmail.com on loonud avaliku võtme SSH kliendile.

OpenSSH integratsioon on organiseeritud, näidates programmi opkssh failis «sshd_config» direktiivi «AuthorizedKeysCommand» kaudu (nt «AuthorizedKeysCommand /usr/local/bin/opkssh verify %u %k %t»). Konto sidumise seadistamine OpenIDga toimub SSH serveri poolel. SSH kliendi poolel ei ole seadistuste muutmine vajalik, kuid enne sisenemist tuleb käivitada käsk «opkssh login» ja avatud brauseri aknas valida OpenID teenusepakkuja ja läbiseda autentimine selle kaudu.

Utility opkssh genereerib SSH võtmed ja saadab PK-tokeni, mis kinnitab, et kasutaja on läbinud autentimise ning võimaldab kontrollida, et loodud võtmed kuuluvad väidetud kasutajale. Avalik SSH võti, millele on lisatud PK-token täiendavate andmete välja kaudu, salvestatakse faili ~/\.ssh/id_ecdsas ja hakkab edastama, kui ühendate serveri utility ssh.

Serverisse sisenemine toimub SSH kliendile tüüpilise skeemi kaudu «ssh login@server», samas peab serveris login olema eelnevalt seotud OpenID kontoga, mida kasutaja kasutab. Seega, töö seisneb selles, et SSH klient saadab SSH serverile avaliku võtme ja server käivitab käsu «opkssh verify» võtme kontrollimiseks.

Konto sidumiseks OpenIDga peab serveri administraator käivitama käsu «opkssh add». Näiteks, et lubada sisenemine серверile kasutajana «root» OpenID autentimise kaudu konto test@gmail.com kaudu Gmailis, tuleb käivitada «sudo opkssh add root test@gmail.com google», mille järel klient saab selle konto parameetritega sisse logida käsuga «ssh root@server_host».

Kasutajakonto sideme käsitsi saab samuti teha konfigureerimisfaili kaudu /etc/opk/auth_id (või ~ / .opk/auth_id), kuhu eelneva näite jaoks on salvestatud rida „root test@gmail.com https://accounts.google.com“. Täiendavalt saab faili /etc/opk/providers kaudu määrata lubatud OpenID pakkujate nimekirja, nende parameetrite ja lubatud kliendiidentifikaatorite loendi.

Allikas: opennet.ru