{"id":123013,"date":"2025-03-26T16:22:56","date_gmt":"2025-03-26T14:22:58","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/kompaniya-cloudflare-opublikovala-opkssh-dlya-autentifikaczii-v-ssh-cherez-openid-connect"},"modified":"2025-03-26T16:22:56","modified_gmt":"2025-03-26T14:22:58","slug":"kompaniya-cloudflare-opublikovala-opkssh-dlya-autentifikaczii-v-ssh-cherez-openid-connect","status":"publish","type":"post","link":"https:\/\/prohoster.info\/fr\/blog\/news\/kompaniya-cloudflare-opublikovala-opkssh-dlya-autentifikaczii-v-ssh-cherez-openid-connect","title":{"rendered":"L'entreprise Cloudflare a publi\u00e9 opkssh pour l'authentification SSH via OpenID Connect.","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

La soci\u00e9t\u00e9 Cloudflare a pr\u00e9sent\u00e9 l'outil opkssh (OpenPubkey SSH), permettant d'int\u00e9grer des moyens d'authentification centralis\u00e9e dans OpenSSH, avec la possibilit\u00e9 de se connecter via des fournisseurs OpenID Connect. Gr\u00e2ce \u00e0 opkssh, il est possible d'\u00e9liminer le travail manuel li\u00e9 \u00e0 la gestion et \u00e0 la configuration des cl\u00e9s SSH, tout en permettant une connexion au serveur depuis n'importe quel h\u00f4te, sans avoir \u00e0 cr\u00e9er des cl\u00e9s priv\u00e9es sur chaque ordinateur client et sans devoir copier manuellement les cl\u00e9s publiques sur le serveur. Il suffit de lier le compte \u00e0 un fournisseur OpenID sur le serveur pour \u00e9tablir la connexion. Le code de l'outil est \u00e9crit en Go et est distribu\u00e9 sous la licence Apache 2.0. <\/p>\n

Opkssh est compatible avec les fournisseurs OpenID tels que Google, Microsoft\/Azure et Gitlab, ce qui permet de configurer l'acc\u00e8s via des comptes existants sur les services gmail.com, microsoft.com et gitlab.com. Lors de l'utilisation d'opkssh, plut\u00f4t que des cl\u00e9s SSH illimit\u00e9es dans le temps, des cl\u00e9s temporaires sont g\u00e9n\u00e9r\u00e9es, valables pendant quelques heures et form\u00e9es sur la base d'une confirmation du fournisseur OpenID. La fuite de telles cl\u00e9s apr\u00e8s leur expiration ne pose pas de risque de s\u00e9curit\u00e9. Par d\u00e9faut, la dur\u00e9e de vie d'une cl\u00e9 est de 24 heures, apr\u00e8s quoi il est n\u00e9cessaire de se r\u00e9identifier via OpenID. <\/p>\n

L'int\u00e9gration avec OpenSSH repose sur la possibilit\u00e9 de cr\u00e9er des extensions du protocole SSH, permettant d'attacher des donn\u00e9es arbitraires aux certificats SSH. Apr\u00e8s une authentification via OpenID, le client g\u00e9n\u00e8re une cl\u00e9 publique contenant un jeton PK, confirmant l'appartenance de la cl\u00e9 \u00e0 l'utilisateur d\u00e9clar\u00e9. Le jeton est int\u00e9gr\u00e9 dans le protocole SSH via un champ de donn\u00e9es suppl\u00e9mentaires dans le certificat SSH. La cr\u00e9ation et la v\u00e9rification des jetons PK du c\u00f4t\u00e9 du serveur s'effectuent \u00e0 l'aide du protocole cryptographique OpenPubKey. <\/p>\n

OpenPubKey permet de g\u00e9n\u00e9rer une cl\u00e9 publique et de l'associer \u00e0 un token d\u00e9livr\u00e9 par un fournisseur OpenID. Par le biais d'une signature num\u00e9rique, le fournisseur confirme que cette cl\u00e9 a \u00e9t\u00e9 cr\u00e9\u00e9e par l'utilisateur authentifi\u00e9 d\u00e9clar\u00e9. Par exemple, le fournisseur OpenID Google peut confirmer que l'utilisateur est authentifi\u00e9 en tant que test@gmail.com. Du c\u00f4t\u00e9 serveur, il s'agit de v\u00e9rifier si le token associ\u00e9 a \u00e9t\u00e9 sign\u00e9 par le fournisseur OpenID et si la signature num\u00e9rique correspond \u00e0 la cl\u00e9 publique d\u00e9clar\u00e9e, c'est-\u00e0-dire que le serveur peut s'assurer que c'est bien l'utilisateur test@gmail.com qui a cr\u00e9\u00e9 la cl\u00e9 publique pour le client SSH connect\u00e9.

\"L'entreprise<\/center> <\/p>\n

L'int\u00e9gration avec OpenSSH est organis\u00e9e en sp\u00e9cifiant le programme opkssh dans le fichier de configuration \u00ab sshd_config \u00bb via la directive \u00ab AuthorizedKeysCommand \u00bb (par exemple : \u00ab AuthorizedKeysCommand \/usr\/local\/bin\/opkssh verify %u %k %t \u00bb). La configuration de l'association des comptes avec OpenID se fait c\u00f4t\u00e9 serveur SSH. C\u00f4t\u00e9 client SSH, aucune modification des param\u00e8tres n'est requise, mais avant de se connecter, il est n\u00e9cessaire d'ex\u00e9cuter la commande \u00ab opkssh login \u00bb et, dans la fen\u00eatre du navigateur qui appara\u00eet, de s\u00e9lectionner le fournisseur OpenID et de proc\u00e9der \u00e0 l'authentification via celui-ci. <\/p>\n

L'outil opkssh g\u00e9n\u00e8rera des cl\u00e9s SSH et obtiendra un token PK confirmant que l'utilisateur a r\u00e9ussi l'authentification et permettant de v\u00e9rifier que les cl\u00e9s cr\u00e9\u00e9es appartiennent \u00e0 l'utilisateur d\u00e9clar\u00e9. La cl\u00e9 publique SSH, \u00e0 laquelle le token PK est attach\u00e9 via un champ de donn\u00e9es suppl\u00e9mentaires, sera enregistr\u00e9e dans le fichier ~\/.ssh\/id_ecdsas et commencera \u00e0 \u00eatre transmise lors de la connexion au serveur<\/a> outil ssh. <\/p>\n

La connexion au serveur s'effectue en utilisant le sch\u00e9ma standard pour SSH \u00ab ssh login@serveur \u00bb, \u00e9tant donn\u00e9 que le serveur<\/a> le login doit au pr\u00e9alable \u00eatre identifi\u00e9 avec un compte OpenID utilis\u00e9 par l'utilisateur. Ainsi, le fonctionnement consiste \u00e0 ce que le client SSH envoie la cl\u00e9 publique au serveur SSH, et le serveur ex\u00e9cute la commande \u00ab opkssh verify \u00bb pour v\u00e9rifier la cl\u00e9. <\/p>\n

Pour lier un compte \u00e0 OpenID, l'administrateur du serveur ex\u00e9cute la commande \u00ab opkssh add \u00bb. Par exemple, pour autoriser la connexion au serveur sous l'utilisateur \u00ab root \u00bb avec l'authentification OpenID via le compte test@gmail.com dans Gmail, il faut ex\u00e9cuter \u00ab sudo opkssh add root test@gmail.com google \u00bb, apr\u00e8s quoi le client pourra se connecter avec les param\u00e8tres de ce compte en utilisant la commande \u00ab ssh root@h\u00f4te_serveur \u00bb. <\/p>\n

L'association du compte peut \u00e9galement \u00eatre effectu\u00e9e manuellement via le fichier de configuration \/etc\/opk\/auth_id (ou ~\/.opk\/auth_id), dans lequel pour l'exemple ci-dessus, la ligne \u00ab root test@gmail.com https:\/\/accounts.google.com \u00bb sera inscrite. De plus, \u00e0 travers le fichier \/etc\/opk\/providers, il est possible de d\u00e9finir la liste des fournisseurs OpenID autoris\u00e9s, leurs param\u00e8tres et la liste des identifiants clients autoris\u00e9s.

\"L'entreprise<\/center>
\n
Source : opennet.ru<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"

\u041a\u043e\u043c\u043f\u0430\u043d\u0438\u044f Cloudflare \u043f\u0440\u0435\u0434\u0441\u0442\u0430\u0432\u0438\u043b\u0430 \u0438\u043d\u0441\u0442\u0440\u0443\u043c\u0435\u043d\u0442\u0430\u0440\u0438\u0439 opkssh (OpenPubkey SSH), \u043f\u043e\u0437\u0432\u043e\u043b\u044f\u044e\u0449\u0438\u0439 \u0438\u043d\u0442\u0435\u0433\u0440\u0438\u0440\u043e\u0432\u0430\u0442\u044c \u0432 OpenSSH \u0441\u0440\u0435\u0434\u0441\u0442\u0432\u0430 \u0446\u0435\u043d\u0442\u0440\u0430\u043b\u0438\u0437\u043e\u0432\u0430\u043d\u043d\u043e\u0439 \u0430\u0443\u0442\u0435\u043d\u0442\u0438\u0444\u0438\u043a\u0430\u0446\u0438\u0438 \u0441 \u0432\u043e\u0437\u043c\u043e\u0436\u043d\u043e\u0441\u0442\u044c\u044e \u0432\u0445\u043e\u0434\u0430 \u0447\u0435\u0440\u0435\u0437 \u043f\u0440\u043e\u0432\u0430\u0439\u0434\u0435\u0440\u043e\u0432 OpenID Connect. \u041f\u0440\u0438 \u043f\u043e\u043c\u043e\u0449\u0438 opkssh \u043c\u043e\u0436\u043d\u043e \u0438\u0437\u0431\u0430\u0432\u0438\u0442\u044c\u0441\u044f \u043e\u0442 \u0440\u0443\u0447\u043d\u043e\u0439 \u0440\u0430\u0431\u043e\u0442\u044b \u043f\u043e \u0443\u043f\u0440\u0430\u0432\u043b\u0435\u043d\u0438\u044e \u0438 \u043d\u0430\u0441\u0442\u0440\u043e\u0439\u043a\u0435 SSH-\u043a\u043b\u044e\u0447\u0435\u0439, \u0430 \u0442\u0430\u043a\u0436\u0435 \u043e\u0440\u0433\u0430\u043d\u0438\u0437\u043e\u0432\u0430\u0442\u044c \u043f\u043e\u0434\u043a\u043b\u044e\u0447\u0435\u043d\u0438\u0435 \u043a \u0441\u0435\u0440\u0432\u0435\u0440\u0443 \u0441 \u043b\u044e\u0431\u044b\u0445 \u0445\u043e\u0441\u0442\u043e\u0432, \u0431\u0435\u0437 \u043d\u0435\u043e\u0431\u0445\u043e\u0434\u0438\u043c\u043e\u0441\u0442\u0438 \u0441\u043e\u0437\u0434\u0430\u043d\u0438\u044f \u0437\u0430\u043a\u0440\u044b\u0442\u044b\u0445 \u043a\u043b\u044e\u0447\u0435\u0439 \u043d\u0430 \u043a\u0430\u0436\u0434\u043e\u043c \u043a\u043b\u0438\u0435\u043d\u0442\u0441\u043a\u043e\u043c \u043a\u043e\u043c\u043f\u044c\u044e\u0442\u0435\u0440\u0435 \u0438 \u0431\u0435\u0437 \u0440\u0443\u0447\u043d\u043e\u0433\u043e […]<\/p>\n","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"author":1,"featured_media":123014,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[702],"tags":[],"class_list":["post-123013","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-news"],"aioseo_notices":[],"aioseo_head":"\n\t\t\n\t\n\t\n\t\n\t\n\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\n","aioseo_head_json":{"title":"\ud83e\udd47La soci\u00e9t\u00e9 Cloudflare a publi\u00e9 opkssh pour l'authentification SSH via OpenID Connect | ProHoster","description":"La soci\u00e9t\u00e9 Cloudflare a pr\u00e9sent\u00e9 l'outil opkssh (OpenPubkey SSH), permettant d'int\u00e9grer dans OpenSSH des moyens d'authentification centralis\u00e9e avec la possibilit\u00e9 de se connecter via des fournisseurs OpenID Connect.","canonical_url":"https:\/\/prohoster.info\/fr\/blog\/news\/kompaniya-cloudflare-opublikovala-opkssh-dlya-autentifikaczii-v-ssh-cherez-openid-connect","robots":"max-image-preview:large","keywords":"","webmasterTools":{"miscellaneous":""},"schema":null,"og:locale":"fr_FR","og:site_name":"ProHoster | \u041a\u0443\u043f\u0438\u0442\u044c \u043d\u0430\u0434\u0435\u0436\u043d\u044b\u0439 \u0445\u043e\u0441\u0442\u0438\u043d\u0433 \u0434\u043b\u044f \u0441\u0430\u0439\u0442\u043e\u0432 \u0441 \u0437\u0430\u0449\u0438\u0442\u043e\u0439 \u043e\u0442 DDoS, VPS VDS \u0441\u0435\u0440\u0432\u0435\u0440\u044b","og:type":"article","og:title":"\ud83e\udd47\u041a\u043e\u043c\u043f\u0430\u043d\u0438\u044f Cloudflare \u043e\u043f\u0443\u0431\u043b\u0438\u043a\u043e\u0432\u0430\u043b\u0430 opkssh \u0434\u043b\u044f \u0430\u0443\u0442\u0435\u043d\u0442\u0438\u0444\u0438\u043a\u0430\u0446\u0438\u0438 \u0432 SSH \u0447\u0435\u0440\u0435\u0437 OpenID Connect | ProHoster","og:description":"\u041a\u043e\u043c\u043f\u0430\u043d\u0438\u044f Cloudflare \u043f\u0440\u0435\u0434\u0441\u0442\u0430\u0432\u0438\u043b\u0430 \u0438\u043d\u0441\u0442\u0440\u0443\u043c\u0435\u043d\u0442\u0430\u0440\u0438\u0439 opkssh (OpenPubkey SSH), \u043f\u043e\u0437\u0432\u043e\u043b\u044f\u044e\u0449\u0438\u0439 \u0438\u043d\u0442\u0435\u0433\u0440\u0438\u0440\u043e\u0432\u0430\u0442\u044c \u0432 OpenSSH \u0441\u0440\u0435\u0434\u0441\u0442\u0432\u0430 \u0446\u0435\u043d\u0442\u0440\u0430\u043b\u0438\u0437\u043e\u0432\u0430\u043d\u043d\u043e\u0439 \u0430\u0443\u0442\u0435\u043d\u0442\u0438\u0444\u0438\u043a\u0430\u0446\u0438\u0438 \u0441 \u0432\u043e\u0437\u043c\u043e\u0436\u043d\u043e\u0441\u0442\u044c\u044e \u0432\u0445\u043e\u0434\u0430 \u0447\u0435\u0440\u0435\u0437 \u043f\u0440\u043e\u0432\u0430\u0439\u0434\u0435\u0440\u043e\u0432 OpenID Connect.","og:url":"https:\/\/prohoster.info\/fr\/blog\/news\/kompaniya-cloudflare-opublikovala-opkssh-dlya-autentifikaczii-v-ssh-cherez-openid-connect","og:image":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:secure_url":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:width":350,"og:image:height":350,"article:published_time":"2025-03-26T14:22:58+00:00","article:modified_time":"2025-03-26T14:22:58+00:00","article:publisher":"https:\/\/www.facebook.com\/prohoster","article:author":"https:\/\/www.facebook.com\/prohoster"},"aioseo_meta_data":{"post_id":"123013","title":null,"description":null,"keywords":null,"keyphrases":null,"primary_term":null,"canonical_url":null,"og_title":null,"og_description":null,"og_object_type":"default","og_image_type":"default","og_image_url":null,"og_image_width":null,"og_image_height":null,"og_image_custom_url":null,"og_image_custom_fields":null,"og_video":null,"og_custom_url":null,"og_article_section":null,"og_article_tags":null,"twitter_use_og":false,"twitter_card":"default","twitter_image_type":"default","twitter_image_url":null,"twitter_image_custom_url":null,"twitter_image_custom_fields":null,"twitter_title":null,"twitter_description":null,"schema":{"blockGraphs":[],"customGraphs":[],"default":{"data":{"Article":[],"Course":[],"Dataset":[],"FAQPage":[],"Movie":[],"Person":[],"Product":[],"ProductReview":[],"Car":[],"Recipe":[],"Service":[],"SoftwareApplication":[],"WebPage":[]},"graphName":"","isEnabled":true},"graphs":[]},"schema_type":"default","schema_type_options":null,"pillar_content":false,"robots_default":true,"robots_noindex":false,"robots_noarchive":false,"robots_nosnippet":false,"robots_nofollow":false,"robots_noimageindex":false,"robots_noodp":false,"robots_notranslate":false,"robots_max_snippet":null,"robots_max_videopreview":null,"robots_max_imagepreview":"large","priority":null,"frequency":null,"local_seo":null,"seo_analyzer_scan_date":"2026-02-09 22:07:19","breadcrumb_settings":null,"limit_modified_date":false,"reviewed_by":null,"ai":null,"created":"2026-01-23 11:38:16","updated":"2026-02-09 22:07:19","focus_keyword":null,"additional_keywords":null,"truseo_locale":null},"gt_translate_keys":[{"key":"link","format":"url"}],"_links":{"self":[{"href":"https:\/\/prohoster.info\/fr\/wp-json\/wp\/v2\/posts\/123013","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/prohoster.info\/fr\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/prohoster.info\/fr\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/prohoster.info\/fr\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/prohoster.info\/fr\/wp-json\/wp\/v2\/comments?post=123013"}],"version-history":[{"count":2,"href":"https:\/\/prohoster.info\/fr\/wp-json\/wp\/v2\/posts\/123013\/revisions"}],"predecessor-version":[{"id":160229,"href":"https:\/\/prohoster.info\/fr\/wp-json\/wp\/v2\/posts\/123013\/revisions\/160229"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/prohoster.info\/fr\/wp-json\/wp\/v2\/media\/123014"}],"wp:attachment":[{"href":"https:\/\/prohoster.info\/fr\/wp-json\/wp\/v2\/media?parent=123013"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/prohoster.info\/fr\/wp-json\/wp\/v2\/categories?post=123013"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/prohoster.info\/fr\/wp-json\/wp\/v2\/tags?post=123013"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}