{"id":123013,"date":"2025-03-26T16:22:56","date_gmt":"2025-03-26T14:22:58","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/kompaniya-cloudflare-opublikovala-opkssh-dlya-autentifikaczii-v-ssh-cherez-openid-connect"},"modified":"2025-03-26T16:22:56","modified_gmt":"2025-03-26T14:22:58","slug":"kompaniya-cloudflare-opublikovala-opkssh-dlya-autentifikaczii-v-ssh-cherez-openid-connect","status":"publish","type":"post","link":"https:\/\/prohoster.info\/it\/blog\/novosti-interneta\/kompaniya-cloudflare-opublikovala-opkssh-dlya-autentifikaczii-v-ssh-cherez-openid-connect","title":{"rendered":"L'azienda Cloudflare ha pubblicato opkssh per l'autenticazione SSH tramite OpenID Connect.","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

L'azienda Cloudflare ha presentato lo strumento opkssh (OpenPubkey SSH), che integra in OpenSSH strumenti di autenticazione centralizzata, consentendo l'accesso tramite fornitori OpenID Connect. Con opkssh \u00e8 possibile eliminare il lavoro manuale di gestione e configurazione delle chiavi SSH e organizzare la connessione al server da qualsiasi host, senza dover creare chiavi private su ogni computer client e senza copiare manualmente le chiavi pubbliche sul server. Per connettersi, \u00e8 sufficiente eseguire sul server la registrazione all'account del fornitore OpenID. Il codice dello strumento \u00e8 scritto in linguaggio Go e distribuito sotto licenza Apache 2.0. <\/p>\n

Opkssh \u00e8 compatibile con i fornitori OpenID di Google, Microsoft\/Azure e Gitlab, consentendo di accedere tramite gli account esistenti nei servizi gmail.com, microsoft.com e gitlab.com. Utilizzando opkssh, invece delle chiavi SSH permanenti, vengono generate chiavi temporanee che sono valide per poche ore e vengono create sulla base della conferma da parte del fornitore OpenID. La fuga di queste chiavi, una volta scadute, non rappresenta una minaccia per la sicurezza. Per impostazione predefinita, la durata della chiave \u00e8 di 24 ore, dopo di che \u00e8 necessario identificarsi nuovamente tramite OpenID. <\/p>\n

L'integrazione con OpenSSH si basa sulla possibilit\u00e0 di creare estensioni del protocollo SSH, che consentono di allegare dati arbitrari ai certificati SSH. Dopo aver effettuato l'autenticazione tramite OpenID, il client genera una chiave pubblica che contiene un PK-token, a conferma dell'appartenenza della chiave all'utente dichiarato. Il token viene integrato nel protocollo SSH attraverso un campo di dati aggiuntivi del certificato SSH. La creazione di PK-token e la loro verifica sul lato server avviene utilizzando il protocollo crittografico OpenPubKey. <\/p>\n

OpenPubKey consente di generare una chiave pubblica e di legarla a un token emesso dal fornitore OpenID. Attraverso la firma digitale, il fornitore conferma che questa chiave \u00e8 stata creata dall'utente autenticato dichiarato. Ad esempio, il fornitore OpenID Google pu\u00f2 confermare che l'utente \u00e8 stato autenticato come test@gmail.com. Sul lato server si verifica se il token allegato \u00e8 stato firmato dal fornitore OpenID e se la firma digitale corrisponde alla chiave pubblica dichiarata, cio\u00e8 il server pu\u00f2 verificare che sia stato l'utente test@gmail.com a creare la chiave pubblica per il client SSH connesso.

\"L'azienda<\/center> <\/p>\n

L'integrazione con OpenSSH \u00e8 organizzata specificando il programma opkssh nel file di configurazione \u00absshd_config\u00bb attraverso la direttiva \u00abAuthorizedKeysCommand\u00bb (ad esempio: \u00abAuthorizedKeysCommand \/usr\/local\/bin\/opkssh verify %u %k %t\u00bb). La configurazione dell'associazione degli account con OpenID avviene lato server SSH. Non sono necessarie modifiche delle impostazioni lato client SSH, ma prima di accedere \u00e8 necessario eseguire il comando \u00abopkssh login\u00bb e scegliere il fornitore OpenID nella finestra del browser che appare, quindi procedere con l'autenticazione. <\/p>\n

L'utility opkssh generer\u00e0 chiavi SSH e otterr\u00e0 un PK-token che conferma che l'utente ha effettuato l'autenticazione e consente di verificare che le chiavi generate appartengano all'utente dichiarato. La chiave pubblica SSH, a cui \u00e8 allegato il PK-token tramite un campo di dati aggiuntivi, sar\u00e0 memorizzata nel file ~\/ .ssh\/id_ecdsas e inizier\u00e0 a essere trasmessa al momento della connessione a server<\/a> utilit\u00e0 ssh. <\/p>\n

La connessione al server avviene utilizzando la consueta sintassi per SSH \u00abssh login@server\u00bb, mentre server<\/a> il login deve previamente essere identificato con l'account OpenID utilizzato dall'utente. In questo modo, il funzionamento si riduce al fatto che il client SSH invia al server SSH la chiave pubblica, e il server esegue il comando \u00abopkssh verify\u00bb per verificare la chiave. <\/p>\n

Per associare un account a OpenID, l'amministratore del server esegue il comando \u00abopkssh add\u00bb. Ad esempio, per consentire l'accesso al server con l'utente \u00abroot\u00bb tramite autenticazione OpenID attraverso l'account test@gmail.com in Gmail, \u00e8 necessario eseguire \u00absudo opkssh add root test@gmail.com google\u00bb, dopo di che il cliente potr\u00e0 connettersi utilizzando i parametri di questo account con il comando \u00abssh root@host_server\u00bb. <\/p>\n

L'associazione dell'account pu\u00f2 essere effettuata anche manualmente tramite il file di configurazione \/etc\/opk\/auth_id (o ~\/.opk\/auth_id), in cui per l'esempio sopra indicato verr\u00e0 registrata la stringa \u00abroot test@gmail.com https:\/\/accounts.google.com\u00bb. Inoltre, attraverso il file \/etc\/opk\/providers \u00e8 possibile definire un elenco di fornitori OpenID consentiti, i loro parametri e un elenco di identificatori client autorizzati.

\"L'azienda<\/center>
\n
Fonte: opennet.ru<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"

\u041a\u043e\u043c\u043f\u0430\u043d\u0438\u044f Cloudflare \u043f\u0440\u0435\u0434\u0441\u0442\u0430\u0432\u0438\u043b\u0430 \u0438\u043d\u0441\u0442\u0440\u0443\u043c\u0435\u043d\u0442\u0430\u0440\u0438\u0439 opkssh (OpenPubkey SSH), \u043f\u043e\u0437\u0432\u043e\u043b\u044f\u044e\u0449\u0438\u0439 \u0438\u043d\u0442\u0435\u0433\u0440\u0438\u0440\u043e\u0432\u0430\u0442\u044c \u0432 OpenSSH \u0441\u0440\u0435\u0434\u0441\u0442\u0432\u0430 \u0446\u0435\u043d\u0442\u0440\u0430\u043b\u0438\u0437\u043e\u0432\u0430\u043d\u043d\u043e\u0439 \u0430\u0443\u0442\u0435\u043d\u0442\u0438\u0444\u0438\u043a\u0430\u0446\u0438\u0438 \u0441 \u0432\u043e\u0437\u043c\u043e\u0436\u043d\u043e\u0441\u0442\u044c\u044e \u0432\u0445\u043e\u0434\u0430 \u0447\u0435\u0440\u0435\u0437 \u043f\u0440\u043e\u0432\u0430\u0439\u0434\u0435\u0440\u043e\u0432 OpenID Connect. \u041f\u0440\u0438 \u043f\u043e\u043c\u043e\u0449\u0438 opkssh \u043c\u043e\u0436\u043d\u043e \u0438\u0437\u0431\u0430\u0432\u0438\u0442\u044c\u0441\u044f \u043e\u0442 \u0440\u0443\u0447\u043d\u043e\u0439 \u0440\u0430\u0431\u043e\u0442\u044b \u043f\u043e \u0443\u043f\u0440\u0430\u0432\u043b\u0435\u043d\u0438\u044e \u0438 \u043d\u0430\u0441\u0442\u0440\u043e\u0439\u043a\u0435 SSH-\u043a\u043b\u044e\u0447\u0435\u0439, \u0430 \u0442\u0430\u043a\u0436\u0435 \u043e\u0440\u0433\u0430\u043d\u0438\u0437\u043e\u0432\u0430\u0442\u044c \u043f\u043e\u0434\u043a\u043b\u044e\u0447\u0435\u043d\u0438\u0435 \u043a \u0441\u0435\u0440\u0432\u0435\u0440\u0443 \u0441 \u043b\u044e\u0431\u044b\u0445 \u0445\u043e\u0441\u0442\u043e\u0432, \u0431\u0435\u0437 \u043d\u0435\u043e\u0431\u0445\u043e\u0434\u0438\u043c\u043e\u0441\u0442\u0438 \u0441\u043e\u0437\u0434\u0430\u043d\u0438\u044f \u0437\u0430\u043a\u0440\u044b\u0442\u044b\u0445 \u043a\u043b\u044e\u0447\u0435\u0439 \u043d\u0430 \u043a\u0430\u0436\u0434\u043e\u043c \u043a\u043b\u0438\u0435\u043d\u0442\u0441\u043a\u043e\u043c \u043a\u043e\u043c\u043f\u044c\u044e\u0442\u0435\u0440\u0435 \u0438 \u0431\u0435\u0437 \u0440\u0443\u0447\u043d\u043e\u0433\u043e […]<\/p>\n","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"author":1,"featured_media":123014,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[702],"tags":[],"class_list":["post-123013","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-novosti-interneta"],"aioseo_notices":[],"aioseo_head":"\n\t\t\n\t\n\t\n\t\n\t\n\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\n","aioseo_head_json":{"title":"\ud83e\udd47Cloudflare ha rilasciato opkssh per l'autenticazione SSH tramite OpenID Connect | ProHoster","description":"Cloudflare ha presentato opkssh (OpenPubkey SSH), uno strumento che consente di integrare in OpenSSH i mezzi per l'autenticazione centralizzata, con la possibilit\u00e0 di accesso tramite fornitori OpenID Connect. Con opkssh \u00e8 possibile eliminare il lavoro manuale nella gestione e configurazione delle chiavi SSH e organizzare la connessione ai server da qualsiasi host, senza bisogno di generare chiavi private su ogni computer cliente e senza intervento manuale.","canonical_url":"https:\/\/prohoster.info\/it\/blog\/novosti-interneta\/kompaniya-cloudflare-opublikovala-opkssh-dlya-autentifikaczii-v-ssh-cherez-openid-connect","robots":"max-image-preview:large","keywords":"","webmasterTools":{"miscellaneous":""},"schema":null,"og:locale":"it_IT","og:site_name":"ProHoster | \u041a\u0443\u043f\u0438\u0442\u044c \u043d\u0430\u0434\u0435\u0436\u043d\u044b\u0439 \u0445\u043e\u0441\u0442\u0438\u043d\u0433 \u0434\u043b\u044f \u0441\u0430\u0439\u0442\u043e\u0432 \u0441 \u0437\u0430\u0449\u0438\u0442\u043e\u0439 \u043e\u0442 DDoS, VPS VDS \u0441\u0435\u0440\u0432\u0435\u0440\u044b","og:type":"article","og:title":"\ud83e\udd47\u041a\u043e\u043c\u043f\u0430\u043d\u0438\u044f Cloudflare \u043e\u043f\u0443\u0431\u043b\u0438\u043a\u043e\u0432\u0430\u043b\u0430 opkssh \u0434\u043b\u044f \u0430\u0443\u0442\u0435\u043d\u0442\u0438\u0444\u0438\u043a\u0430\u0446\u0438\u0438 \u0432 SSH \u0447\u0435\u0440\u0435\u0437 OpenID Connect | ProHoster","og:description":"\u041a\u043e\u043c\u043f\u0430\u043d\u0438\u044f Cloudflare \u043f\u0440\u0435\u0434\u0441\u0442\u0430\u0432\u0438\u043b\u0430 \u0438\u043d\u0441\u0442\u0440\u0443\u043c\u0435\u043d\u0442\u0430\u0440\u0438\u0439 opkssh (OpenPubkey SSH), \u043f\u043e\u0437\u0432\u043e\u043b\u044f\u044e\u0449\u0438\u0439 \u0438\u043d\u0442\u0435\u0433\u0440\u0438\u0440\u043e\u0432\u0430\u0442\u044c \u0432 OpenSSH \u0441\u0440\u0435\u0434\u0441\u0442\u0432\u0430 \u0446\u0435\u043d\u0442\u0440\u0430\u043b\u0438\u0437\u043e\u0432\u0430\u043d\u043d\u043e\u0439 \u0430\u0443\u0442\u0435\u043d\u0442\u0438\u0444\u0438\u043a\u0430\u0446\u0438\u0438 \u0441 \u0432\u043e\u0437\u043c\u043e\u0436\u043d\u043e\u0441\u0442\u044c\u044e \u0432\u0445\u043e\u0434\u0430 \u0447\u0435\u0440\u0435\u0437 \u043f\u0440\u043e\u0432\u0430\u0439\u0434\u0435\u0440\u043e\u0432 OpenID Connect. \u041f\u0440\u0438 \u043f\u043e\u043c\u043e\u0449\u0438 opkssh \u043c\u043e\u0436\u043d\u043e \u0438\u0437\u0431\u0430\u0432\u0438\u0442\u044c\u0441\u044f \u043e\u0442 \u0440\u0443\u0447\u043d\u043e\u0439 \u0440\u0430\u0431\u043e\u0442\u044b \u043f\u043e \u0443\u043f\u0440\u0430\u0432\u043b\u0435\u043d\u0438\u044e \u0438 \u043d\u0430\u0441\u0442\u0440\u043e\u0439\u043a\u0435 SSH-\u043a\u043b\u044e\u0447\u0435\u0439, \u0430 \u0442\u0430\u043a\u0436\u0435 \u043e\u0440\u0433\u0430\u043d\u0438\u0437\u043e\u0432\u0430\u0442\u044c \u043f\u043e\u0434\u043a\u043b\u044e\u0447\u0435\u043d\u0438\u0435 \u043a \u0441\u0435\u0440\u0432\u0435\u0440\u0443 \u0441 \u043b\u044e\u0431\u044b\u0445 \u0445\u043e\u0441\u0442\u043e\u0432, \u0431\u0435\u0437 \u043d\u0435\u043e\u0431\u0445\u043e\u0434\u0438\u043c\u043e\u0441\u0442\u0438 \u0441\u043e\u0437\u0434\u0430\u043d\u0438\u044f \u0437\u0430\u043a\u0440\u044b\u0442\u044b\u0445 \u043a\u043b\u044e\u0447\u0435\u0439 \u043d\u0430 \u043a\u0430\u0436\u0434\u043e\u043c \u043a\u043b\u0438\u0435\u043d\u0442\u0441\u043a\u043e\u043c \u043a\u043e\u043c\u043f\u044c\u044e\u0442\u0435\u0440\u0435 \u0438 \u0431\u0435\u0437 \u0440\u0443\u0447\u043d\u043e\u0433\u043e","og:url":"https:\/\/prohoster.info\/it\/blog\/novosti-interneta\/kompaniya-cloudflare-opublikovala-opkssh-dlya-autentifikaczii-v-ssh-cherez-openid-connect","og:image":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:secure_url":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:width":350,"og:image:height":350,"article:published_time":"2025-03-26T14:22:58+00:00","article:modified_time":"2025-03-26T14:22:58+00:00","article:publisher":"https:\/\/www.facebook.com\/prohoster","article:author":"https:\/\/www.facebook.com\/prohoster"},"aioseo_meta_data":{"post_id":"123013","title":null,"description":null,"keywords":null,"keyphrases":null,"primary_term":null,"canonical_url":null,"og_title":null,"og_description":null,"og_object_type":"default","og_image_type":"default","og_image_url":null,"og_image_width":null,"og_image_height":null,"og_image_custom_url":null,"og_image_custom_fields":null,"og_video":null,"og_custom_url":null,"og_article_section":null,"og_article_tags":null,"twitter_use_og":false,"twitter_card":"default","twitter_image_type":"default","twitter_image_url":null,"twitter_image_custom_url":null,"twitter_image_custom_fields":null,"twitter_title":null,"twitter_description":null,"schema":{"blockGraphs":[],"customGraphs":[],"default":{"data":{"Article":[],"Course":[],"Dataset":[],"FAQPage":[],"Movie":[],"Person":[],"Product":[],"ProductReview":[],"Car":[],"Recipe":[],"Service":[],"SoftwareApplication":[],"WebPage":[]},"graphName":"","isEnabled":true},"graphs":[]},"schema_type":"default","schema_type_options":null,"pillar_content":false,"robots_default":true,"robots_noindex":false,"robots_noarchive":false,"robots_nosnippet":false,"robots_nofollow":false,"robots_noimageindex":false,"robots_noodp":false,"robots_notranslate":false,"robots_max_snippet":null,"robots_max_videopreview":null,"robots_max_imagepreview":"large","priority":null,"frequency":null,"local_seo":null,"seo_analyzer_scan_date":"2026-02-09 22:07:19","breadcrumb_settings":null,"limit_modified_date":false,"reviewed_by":null,"ai":null,"created":"2026-01-23 11:38:16","updated":"2026-02-09 22:07:19"},"gt_translate_keys":[{"key":"link","format":"url"}],"_links":{"self":[{"href":"https:\/\/prohoster.info\/it\/wp-json\/wp\/v2\/posts\/123013","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/prohoster.info\/it\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/prohoster.info\/it\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/prohoster.info\/it\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/prohoster.info\/it\/wp-json\/wp\/v2\/comments?post=123013"}],"version-history":[{"count":2,"href":"https:\/\/prohoster.info\/it\/wp-json\/wp\/v2\/posts\/123013\/revisions"}],"predecessor-version":[{"id":160229,"href":"https:\/\/prohoster.info\/it\/wp-json\/wp\/v2\/posts\/123013\/revisions\/160229"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/prohoster.info\/it\/wp-json\/wp\/v2\/media\/123014"}],"wp:attachment":[{"href":"https:\/\/prohoster.info\/it\/wp-json\/wp\/v2\/media?parent=123013"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/prohoster.info\/it\/wp-json\/wp\/v2\/categories?post=123013"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/prohoster.info\/it\/wp-json\/wp\/v2\/tags?post=123013"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}