Petits trucs SSH

Cet article regroupe nos meilleures astuces pour utiliser SSH de manière plus efficace. Vous apprendrez comment :

• Ajouter un second facteur à la connexion SSH
• Utiliser en toute sécurité le transfert d'agent
• Sortir d'une session SSH gelée
• Garder un terminal ouvert en permanence
• Partager une session terminal à distance avec un ami (sans Zoom !)

Ajout d'un second facteur à votre SSH

Cinq méthodes différentes peuvent être utilisées pour ajouter un second facteur d'authentification à vos connexions SSH :

1. Mettez à jour votre OpenSSH et utilisez la clé de chiffrement. En février 2020, OpenSSH a ajouté le support des clés de chiffrement FIDO U2F (Universal Second Factor). C'est une nouvelle fonctionnalité excellente, mais il y a un inconvénient : seuls les clients et serveurs qui ont été mis à jour vers la version OpenSSH 8.2 et supérieure pourront utiliser ces clés de chiffrement, car la mise à jour de février introduit de nouveaux types de clés. Vous pouvez vérifier la version du client SSH avec la commande ssh –V et la version du serveur avec la commande nc [servername] 22
   
   La version de février a ajouté deux nouveaux types de clés — ecdsa-sk et ed25519-sk (avec les certificats correspondants). Pour générer un fichier de clé, il suffit d'insérer votre clé de chiffrement et d'exécuter la commande :

   $ ssh-keygen -t ecdsa-sk -f ~\/ .ssh\/id_ecdsa_sk

   Cela créera des clés publique et secrète et les liera à votre appareil U2F. La tâche de la clé secrète sur l'appareil U2F est de déchiffrer le descripteur secret de la clé sur le disque lorsque la clé de chiffrement est activée.

   De plus, en tant que second facteur, vous pouvez fournir une phrase de code pour vos clés.

   La clé résidente est un autre type de génération de clé -sk- pris en charge par OpenSSH. Avec cette approche, le descripteur est stocké sur l'appareil U2F et vous permet de l'avoir lors de l'activation de la clé de chiffrement si nécessaire. Créez une clé résidente avec la commande :

   $ ssh-keygen -t ecdsa-sk -O resident -f ~\/ .ssh\/id_ecdsa_sk

   Ensuite, pour renvoyer le descripteur en mémoire sur le nouvel appareil, insérez votre clé de chiffrement et exécutez la commande :

   $ ssh-add -K

   Lors de la connexion à l'hôte, vous devrez toujours activer la clé de chiffrement.

2. Utilisez PIV+PKCS11 et Yubikey. Pour vous connecter à des appareils avec des versions antérieures de SSHD à l'aide d'une clé de chiffrement, une autre approche sera nécessaire. Yubico propose un guide sur l'utilisation de U2F+SSH avec PIV\/PKCS11 (en anglais). Ce n'est pas la même chose que FIDO U2F, et bien que la méthode fonctionne, elle demande beaucoup d'efforts pour comprendre la magie qui l'anime.
3. Appliquer un agent SSH yubikey-agent personnalisé. Filippo Valserda a écrit un agent SSH pour Yubikeys. Il est entièrement nouveau et contient un minimum de fonctionnalités.
4. Utiliser Touch ID et sekey. Sekey est un agent SSH open source qui stocke les clés secrètes dans un enclave sécurisé sur Mac et permet d'utiliser Touch ID pour l'accès.
5. Utiliser Single Sign On SSH. J'ai écrit un tutoriel pour aider à configurer cette méthode (en anglais). Un des avantages du single sign on SSH est la possibilité de mettre en œuvre les politiques de sécurité de votre fournisseur d'identité, y compris le support de l'authentification multifacteur (MFA).

Utilisation sécurisée de l'agent forwarding

Dans le forwarding d'agent SSH, un hôte distant peut accéder à l'agent SSH de votre appareil local. Lorsque vous utilisez SSH avec le forwarding d'agent activé (généralement via ssh -A), la connexion aura deux canaux : votre session interactive et un canal pour le forwarding d'agent. À travers ce canal, un socket Unix créé par votre agent SSH local se connecte à l'hôte distant. C'est une méthode risquée, car un utilisateur avec des droits root sur l'appareil distant peut accéder à votre agent SSH local et potentiellement se faire passer pour vous sur le réseau. En utilisant l'agent SSH standard de la suite Open SSH, vous ne réaliserez même pas que cela s'est produit. Avoir une clé U2F (ou Sekey) vous aidera à bloquer efficacement toute tentative d'accès à votre agent SSH de l'extérieur.

Même avec cette mesure de précaution, il est judicieux d'utiliser le forwarding d'agent aussi rarement que possible. Ne l'utilisez pas pour chaque session — utilisez le forwarding d'agent uniquement si vous êtes certain de sa nécessité pour la session en cours.

Sortie d'une session gelée

Une interruption de réseau, un comportement incontrôlé des programmes ou une séquence de commande qui bloque l'entrée au clavier sont tous des raisons possibles d'une rupture de session SSH.

Vous pouvez mettre fin à une session gelée de plusieurs manières :

1. Sortir automatiquement lors d'une interruption de réseau. Dans votre .ssh/config, vous devez ajouter ce qui suit :

   ServerAliveInterval 5
   ServerAliveCountMax 1

   ssh enverra un écho à l'hôte distant toutes les ServerAliveInterval secondes pour vérifier la connexion. Si plus de ServerAliveCountMax échos ne reçoivent pas de réponse, ssh terminera la connexion par timeout et sortira de la session.

2. Sortir de la session. SSH utilise par défaut le symbole ~ (tilde) comme commande de contrôle. La commande ~. ferme la connexion ouverte et vous ramène au terminal. (Les séquences de contrôle ne peuvent être saisies qu'à partir d'une nouvelle ligne.) La commande ~? affichera la liste complète des commandes disponibles dans cette session. Notez que pour taper le symbole ~ sur les claviers internationaux, il peut être nécessaire d'appuyer deux fois sur la touche ~.

Pourquoi des sessions plantées se produisent-elles ? À l'époque de la création d'Internet, les ordinateurs ne bougeaient que rarement. Lorsque vous utilisez des ordinateurs portables et que vous basculez entre plusieurs réseaux WiFi IPv4, votre adresse IP change. Puisque SSH repose sur des connexions TCP, et que celles-ci dépendent d'un point de terminaison avec une adresse IP stable, chaque fois que vous changez de réseau, vos connexions SSH perdent le descripteur de socket et se perdent effectivement elles-mêmes. Lorsque votre adresse IP change, votre pile réseau met du temps à détecter la perte du descripteur. En cas de perturbations réseau, nous ne voulons pas qu'un des nœuds de la connexion TCP la rompe trop tôt. Ainsi, le protocole essaiera de renvoyer les données plusieurs fois avant d'abandonner finalement. Pendant ce temps, dans votre terminal, la session paraîtra plantée. IPv6 ajoute plusieurs fonctionnalités liées à la mobilité qui permettent à l'appareil de conserver son adresse domestique lors du changement de réseau. Peut-être qu'un jour, cela ne sera plus un si grand problème.

Comment garder un terminal permanent ouvert sur un nœud distant

Il existe deux approches différentes pour maintenir une connexion lors du passage entre différents réseaux ou si vous souhaitez vous déconnecter temporairement.

1. Utiliser Mosh ou Eternal Terminal

Si vous avez vraiment besoin d'une connexion qui ne se déconnecte pas, même lorsque vous changez de réseau, utilisez le shell mobile Mosh. C'est un shell sécurisé qui utilise d'abord une poignée de main SSH, puis bascule sur son propre canal chiffré pendant toute la durée de la session. Mosh crée ainsi un canal distinct, très résistant et sécurisé, capable de supporter à la fois les interruptions Internet, le changement d'adresse IP de votre ordinateur portable, des coupures réseau importantes, et bien plus encore, grâce à la magie des connexions UDP et au protocole de synchronisation appliqué par Mosh.

Pour utiliser Mosh, vous devrez l'installer à la fois sur le client et sur le serveur, et ouvrir les ports 60000-61000 pour le trafic UDP sans connexion vers votre hôte distant. Ensuite, il suffira d'utiliser mosh user@server.

Mosh fonctionne au niveau des écrans et des frappes, ce qui lui confère plusieurs avantages par rapport à la transmission d'un flux binaire standard d'entrée et de sortie entre le client et le serveur SSH. Si nous avons besoin de synchroniser uniquement les écrans et les frappes, la restauration d'une connexion interrompue devient beaucoup plus simple. Alors qu'SSH va mettre en mémoire tampon et envoyer tout ce qui s'est passé, Mosh ne doit mettre en mémoire tampon que les frappes et synchroniser la dernière image de la fenêtre de terminal avec le client.

2. Utiliser tmux

Si vous souhaitez « venir et partir à votre guise » en gardant une session terminal sur un nœud distant, utilisez le multiplexeur de terminal tmux. J'adore tmux et je l'utilise tout le temps. Si votre connexion SSH est interrompue, il suffit de se reconnecter et de taper tmux attach. De plus, il offre de merveilleuses fonctionnalités telles que les onglets et les panneaux intra-terminal, similaires aux onglets dans le terminal iOS, et la possibilité de partager des terminaux avec d'autres.

Certains aiment embellir leur tmux avec Byobu, un package qui améliore considérablement l'ergonomie de tmux et y ajoute de nombreux raccourcis. Byobu est livré avec Ubuntu et peut être facilement installé sur Mac via Homebrew.

Partage d'une session terminal distante avec un ami

Parfois, lors du débogage de problèmes complexes sur vos serveurs, vous pouvez ressentir le besoin de partager une session SSH avec quelqu'un qui n'est pas dans la même pièce que vous. tmux est parfait pour cette tâche ! Il suffit de suivre quelques étapes :

1. Assurez-vous que tmux est installé sur votre nœud bastion ou sur tout autre serveur avec lequel vous allez travailler.
2. Vous devrez tous les deux vous connecter par SSH à l'appareil en utilisant un seul compte.
3. L'un de vous doit lancer tmux pour commencer une session tmux.
4. L'autre doit exécuter tmux attach
5. Et voilà ! Vous avez un terminal partagé.

Si vous souhaitez des sessions tmux multi-utilisateurs plus avancées, essayez tmate, qui est un fork de tmux simplifiant considérablement les sessions de terminal partagées.

Source : habr.com