{"id":123013,"date":"2025-03-26T16:22:56","date_gmt":"2025-03-26T14:22:58","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/kompaniya-cloudflare-opublikovala-opkssh-dlya-autentifikaczii-v-ssh-cherez-openid-connect"},"modified":"2025-03-26T16:22:56","modified_gmt":"2025-03-26T14:22:58","slug":"kompaniya-cloudflare-opublikovala-opkssh-dlya-autentifikaczii-v-ssh-cherez-openid-connect","status":"publish","type":"post","link":"https:\/\/prohoster.info\/it\/blog\/news\/kompaniya-cloudflare-opublikovala-opkssh-dlya-autentifikaczii-v-ssh-cherez-openid-connect","title":{"rendered":"L'azienda Cloudflare ha pubblicato opkssh per l'autenticazione in SSH tramite OpenID Connect","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

L'azienda Cloudflare ha presentato lo strumento opkssh (OpenPubkey SSH), che consente di integrare in OpenSSH le funzionalit\u00e0 di autenticazione centralizzata con la possibilit\u00e0 di accesso tramite fornitori OpenID Connect. Con opkssh \u00e8 possibile eliminare il lavoro manuale nella gestione e configurazione delle chiavi SSH, nonch\u00e9 organizzare la connessione al server da qualsiasi host, senza la necessit\u00e0 di creare chiavi private su ogni computer cliente e senza copiare manualmente le chiavi pubbliche sul server. Per la connessione \u00e8 sufficiente eseguire sul server il legame con l'account del fornitore OpenID. Il codice dello strumento \u00e8 scritto in linguaggio Go e distribuito con licenza Apache 2.0. <\/p>\n

Opkssh \u00e8 compatibile con i fornitori OpenID Google, Microsoft\/Azure e Gitlab, consentendo di configurare l'accesso tramite i conti esistenti nei servizi gmail.com, microsoft.com e gitlab.com. Utilizzando opkssh, invece delle chiavi SSH permanenti, vengono generate chiavi temporanee, valide per poche ore e create sulla base di una conferma dal fornitore OpenID. La fuga di tali chiavi dopo la scadenza non rappresenta una minaccia per la sicurezza. Per impostazione predefinita, la durata di una chiave \u00e8 di 24 ore, dopo le quali \u00e8 necessario identificarsi nuovamente tramite OpenID. <\/p>\n

L'integrazione con OpenSSH si basa sulla possibilit\u00e0 di creare estensioni del protocollo SSH, che consentono di allegare dati arbitrari ai certificati SSH. Dopo aver completato l'autenticazione tramite OpenID, il client genera una chiave pubblica contenente un token PK, che conferma l'appartenenza della chiave all'utente dichiarato. Il token \u00e8 integrato nel protocollo SSH attraverso un campo con dati aggiuntivi del certificato SSH. La creazione e la verifica dei token PK sul lato server avviene utilizzando il protocollo crittografico OpenPubKey. <\/p>\n

OpenPubKey consente di generare una chiave pubblica e di associarla a un token emesso dal fornitore OpenID. Attraverso la firma digitale, il fornitore conferma che questa chiave \u00e8 stata creata dall'utente autenticato dichiarato. Ad esempio, il fornitore OpenID Google pu\u00f2 confermare che l'utente \u00e8 autenticato come test@gmail.com. Sul lato server viene verificato se il token allegato \u00e8 firmato dal fornitore OpenID e se la firma digitale corrisponde alla chiave pubblica dichiarata, cio\u00e8 il server pu\u00f2 accertarsi che l'utente test@gmail.com abbia creato la chiave pubblica per il client SSH connesso.

\"L'azienda<\/center> <\/p>\n

L'integrazione con OpenSSH \u00e8 organizzata tramite l'indicazione del programma opkssh nel file di configurazione \u00absshd_config\u00bb tramite la direttiva \u00abAuthorizedKeysCommand\u00bb (ad esempio: \u00abAuthorizedKeysCommand \/usr\/local\/bin\/opkssh verify %u %k %t\u00bb). La configurazione del collegamento degli account con OpenID \u00e8 effettuata lato server SSH. Lato client SSH non sono necessarie modifiche alle impostazioni, ma prima dell'accesso \u00e8 necessario eseguire il comando \u00abopkssh login\u00bb e, nella finestra del browser che appare, selezionare il fornitore OpenID e completare l'autenticazione tramite di esso. <\/p>\n

L'utilit\u00e0 opkssh generer\u00e0 le chiavi SSH e otterr\u00e0 un PK-token che conferma che l'utente \u00e8 stato autenticato e consente di verificare che le chiavi generate appartengano all'utente dichiarato. La chiave pubblica SSH, alla quale \u00e8 allegato il PK-token tramite il campo dei dati aggiuntivi, sar\u00e0 scritta nel file ~\/ .ssh\/id_ecdsas e inizier\u00e0 a essere trasmessa durante la connessione a server<\/a> utilizzando l'utilit\u00e0 ssh. <\/p>\n

La connessione al server avviene utilizzando la consueta sintassi SSH \u00abssh login@server\u00bb, mentre server<\/a> il login deve essere previamente identificato con l'account OpenID utilizzato dall'utente. Pertanto, il funzionamento si riassume nel fatto che il client SSH invia al server SSH la chiave pubblica e il server esegue il comando \u00abopkssh verify\u00bb per verificare la chiave. <\/p>\n

Per collegare un account a OpenID, l'amministratore del server esegue il comando \u00abopkssh add\u00bb. Ad esempio, per consentire l'accesso al server come utente \u00abroot\u00bb con autenticazione OpenID tramite l'account test@gmail.com in Gmail, occorre eseguire \u00absudo opkssh add root test@gmail.com google\u00bb, dopo di che il client potr\u00e0 collegarsi con i parametri di questo account usando il comando \u00abssh root@host_server\u00bb. <\/p>\n

Il collegamento dell'account pu\u00f2 anche essere effettuato manualmente tramite il file di configurazione \/etc\/opk\/auth_id (o ~\/.opk\/auth_id), nel quale per l'esempio sopra indicato verr\u00e0 registrata la stringa \u00abroot test@gmail.com https:\/\/accounts.google.com\u00bb. Inoltre, tramite il file \/etc\/opk\/providers \u00e8 possibile definire l'elenco dei fornitori OpenID consentiti, le loro impostazioni e l'elenco degli identificatori client autorizzati.

\"L'azienda<\/center>
\n
Fonte: opennet.ru<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"

\u041a\u043e\u043c\u043f\u0430\u043d\u0438\u044f Cloudflare \u043f\u0440\u0435\u0434\u0441\u0442\u0430\u0432\u0438\u043b\u0430 \u0438\u043d\u0441\u0442\u0440\u0443\u043c\u0435\u043d\u0442\u0430\u0440\u0438\u0439 opkssh (OpenPubkey SSH), \u043f\u043e\u0437\u0432\u043e\u043b\u044f\u044e\u0449\u0438\u0439 \u0438\u043d\u0442\u0435\u0433\u0440\u0438\u0440\u043e\u0432\u0430\u0442\u044c \u0432 OpenSSH \u0441\u0440\u0435\u0434\u0441\u0442\u0432\u0430 \u0446\u0435\u043d\u0442\u0440\u0430\u043b\u0438\u0437\u043e\u0432\u0430\u043d\u043d\u043e\u0439 \u0430\u0443\u0442\u0435\u043d\u0442\u0438\u0444\u0438\u043a\u0430\u0446\u0438\u0438 \u0441 \u0432\u043e\u0437\u043c\u043e\u0436\u043d\u043e\u0441\u0442\u044c\u044e \u0432\u0445\u043e\u0434\u0430 \u0447\u0435\u0440\u0435\u0437 \u043f\u0440\u043e\u0432\u0430\u0439\u0434\u0435\u0440\u043e\u0432 OpenID Connect. \u041f\u0440\u0438 \u043f\u043e\u043c\u043e\u0449\u0438 opkssh \u043c\u043e\u0436\u043d\u043e \u0438\u0437\u0431\u0430\u0432\u0438\u0442\u044c\u0441\u044f \u043e\u0442 \u0440\u0443\u0447\u043d\u043e\u0439 \u0440\u0430\u0431\u043e\u0442\u044b \u043f\u043e \u0443\u043f\u0440\u0430\u0432\u043b\u0435\u043d\u0438\u044e \u0438 \u043d\u0430\u0441\u0442\u0440\u043e\u0439\u043a\u0435 SSH-\u043a\u043b\u044e\u0447\u0435\u0439, \u0430 \u0442\u0430\u043a\u0436\u0435 \u043e\u0440\u0433\u0430\u043d\u0438\u0437\u043e\u0432\u0430\u0442\u044c \u043f\u043e\u0434\u043a\u043b\u044e\u0447\u0435\u043d\u0438\u0435 \u043a \u0441\u0435\u0440\u0432\u0435\u0440\u0443 \u0441 \u043b\u044e\u0431\u044b\u0445 \u0445\u043e\u0441\u0442\u043e\u0432, \u0431\u0435\u0437 \u043d\u0435\u043e\u0431\u0445\u043e\u0434\u0438\u043c\u043e\u0441\u0442\u0438 \u0441\u043e\u0437\u0434\u0430\u043d\u0438\u044f \u0437\u0430\u043a\u0440\u044b\u0442\u044b\u0445 \u043a\u043b\u044e\u0447\u0435\u0439 \u043d\u0430 \u043a\u0430\u0436\u0434\u043e\u043c \u043a\u043b\u0438\u0435\u043d\u0442\u0441\u043a\u043e\u043c \u043a\u043e\u043c\u043f\u044c\u044e\u0442\u0435\u0440\u0435 \u0438 \u0431\u0435\u0437 \u0440\u0443\u0447\u043d\u043e\u0433\u043e […]<\/p>\n","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"author":1,"featured_media":123014,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[702],"tags":[],"class_list":["post-123013","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-news"],"aioseo_notices":[],"aioseo_head":"\n\t\t\n\t\n\t\n\t\n\t\n\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\n","aioseo_head_json":{"title":"\ud83e\udd47L'azienda Cloudflare ha pubblicato opkssh per l'autenticazione in SSH tramite OpenID Connect | ProHoster","description":"L'azienda Cloudflare ha presentato lo strumento opkssh (OpenPubkey SSH), che consente di integrare in OpenSSH strumenti di autenticazione centralizzata con la possibilit\u00e0 di accesso tramite fornitori OpenID Connect.","canonical_url":"https:\/\/prohoster.info\/it\/blog\/news\/kompaniya-cloudflare-opublikovala-opkssh-dlya-autentifikaczii-v-ssh-cherez-openid-connect","robots":"max-image-preview:large","keywords":"","webmasterTools":{"miscellaneous":""},"schema":null,"og:locale":"it_IT","og:site_name":"ProHoster | \u041a\u0443\u043f\u0438\u0442\u044c \u043d\u0430\u0434\u0435\u0436\u043d\u044b\u0439 \u0445\u043e\u0441\u0442\u0438\u043d\u0433 \u0434\u043b\u044f \u0441\u0430\u0439\u0442\u043e\u0432 \u0441 \u0437\u0430\u0449\u0438\u0442\u043e\u0439 \u043e\u0442 DDoS, VPS VDS \u0441\u0435\u0440\u0432\u0435\u0440\u044b","og:type":"article","og:title":"\ud83e\udd47\u041a\u043e\u043c\u043f\u0430\u043d\u0438\u044f Cloudflare \u043e\u043f\u0443\u0431\u043b\u0438\u043a\u043e\u0432\u0430\u043b\u0430 opkssh \u0434\u043b\u044f \u0430\u0443\u0442\u0435\u043d\u0442\u0438\u0444\u0438\u043a\u0430\u0446\u0438\u0438 \u0432 SSH \u0447\u0435\u0440\u0435\u0437 OpenID Connect | ProHoster","og:description":"\u041a\u043e\u043c\u043f\u0430\u043d\u0438\u044f Cloudflare \u043f\u0440\u0435\u0434\u0441\u0442\u0430\u0432\u0438\u043b\u0430 \u0438\u043d\u0441\u0442\u0440\u0443\u043c\u0435\u043d\u0442\u0430\u0440\u0438\u0439 opkssh (OpenPubkey SSH), \u043f\u043e\u0437\u0432\u043e\u043b\u044f\u044e\u0449\u0438\u0439 \u0438\u043d\u0442\u0435\u0433\u0440\u0438\u0440\u043e\u0432\u0430\u0442\u044c \u0432 OpenSSH \u0441\u0440\u0435\u0434\u0441\u0442\u0432\u0430 \u0446\u0435\u043d\u0442\u0440\u0430\u043b\u0438\u0437\u043e\u0432\u0430\u043d\u043d\u043e\u0439 \u0430\u0443\u0442\u0435\u043d\u0442\u0438\u0444\u0438\u043a\u0430\u0446\u0438\u0438 \u0441 \u0432\u043e\u0437\u043c\u043e\u0436\u043d\u043e\u0441\u0442\u044c\u044e \u0432\u0445\u043e\u0434\u0430 \u0447\u0435\u0440\u0435\u0437 \u043f\u0440\u043e\u0432\u0430\u0439\u0434\u0435\u0440\u043e\u0432 OpenID Connect.","og:url":"https:\/\/prohoster.info\/it\/blog\/news\/kompaniya-cloudflare-opublikovala-opkssh-dlya-autentifikaczii-v-ssh-cherez-openid-connect","og:image":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:secure_url":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:width":350,"og:image:height":350,"article:published_time":"2025-03-26T14:22:58+00:00","article:modified_time":"2025-03-26T14:22:58+00:00","article:publisher":"https:\/\/www.facebook.com\/prohoster","article:author":"https:\/\/www.facebook.com\/prohoster"},"aioseo_meta_data":{"post_id":"123013","title":null,"description":null,"keywords":null,"keyphrases":null,"primary_term":null,"canonical_url":null,"og_title":null,"og_description":null,"og_object_type":"default","og_image_type":"default","og_image_url":null,"og_image_width":null,"og_image_height":null,"og_image_custom_url":null,"og_image_custom_fields":null,"og_video":null,"og_custom_url":null,"og_article_section":null,"og_article_tags":null,"twitter_use_og":false,"twitter_card":"default","twitter_image_type":"default","twitter_image_url":null,"twitter_image_custom_url":null,"twitter_image_custom_fields":null,"twitter_title":null,"twitter_description":null,"schema":{"blockGraphs":[],"customGraphs":[],"default":{"data":{"Article":[],"Course":[],"Dataset":[],"FAQPage":[],"Movie":[],"Person":[],"Product":[],"ProductReview":[],"Car":[],"Recipe":[],"Service":[],"SoftwareApplication":[],"WebPage":[]},"graphName":"","isEnabled":true},"graphs":[]},"schema_type":"default","schema_type_options":null,"pillar_content":false,"robots_default":true,"robots_noindex":false,"robots_noarchive":false,"robots_nosnippet":false,"robots_nofollow":false,"robots_noimageindex":false,"robots_noodp":false,"robots_notranslate":false,"robots_max_snippet":null,"robots_max_videopreview":null,"robots_max_imagepreview":"large","priority":null,"frequency":null,"local_seo":null,"seo_analyzer_scan_date":"2026-02-09 22:07:19","breadcrumb_settings":null,"limit_modified_date":false,"reviewed_by":null,"ai":null,"created":"2026-01-23 11:38:16","updated":"2026-02-09 22:07:19","focus_keyword":null,"additional_keywords":null,"truseo_locale":null},"gt_translate_keys":[{"key":"link","format":"url"}],"_links":{"self":[{"href":"https:\/\/prohoster.info\/it\/wp-json\/wp\/v2\/posts\/123013","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/prohoster.info\/it\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/prohoster.info\/it\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/prohoster.info\/it\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/prohoster.info\/it\/wp-json\/wp\/v2\/comments?post=123013"}],"version-history":[{"count":2,"href":"https:\/\/prohoster.info\/it\/wp-json\/wp\/v2\/posts\/123013\/revisions"}],"predecessor-version":[{"id":160229,"href":"https:\/\/prohoster.info\/it\/wp-json\/wp\/v2\/posts\/123013\/revisions\/160229"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/prohoster.info\/it\/wp-json\/wp\/v2\/media\/123014"}],"wp:attachment":[{"href":"https:\/\/prohoster.info\/it\/wp-json\/wp\/v2\/media?parent=123013"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/prohoster.info\/it\/wp-json\/wp\/v2\/categories?post=123013"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/prohoster.info\/it\/wp-json\/wp\/v2\/tags?post=123013"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}