{"id":52210,"date":"2019-11-03T00:00:00","date_gmt":"2019-11-02T21:00:00","guid":{"rendered":"https:\/\/prohoster.info\/blog\/blog_prohoster\/v-openssh-dobavlena-podderzhka-universalnoj-dvuhfaktornoj-autentifikatsii"},"modified":"2020-02-18T13:59:53","modified_gmt":"2020-02-18T10:59:53","slug":"v-openssh-dobavlena-podderzhka-universalnoj-dvuhfaktornoj-autentifikatsii","status":"publish","type":"post","link":"https:\/\/prohoster.info\/nl\/blog\/news\/v-openssh-dobavlena-podderzhka-universalnoj-dvuhfaktornoj-autentifikatsii","title":{"rendered":"In OpenSSH is ondersteuning voor universele twee-factorauthenticatie toegevoegd","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

In de codebase van OpenSSH toegevoegd<\/a><\/noindex> experiment\u00eble ondersteuning voor tweefactorauthenticatie met behulp van apparaten die het protocol ondersteunen U2F<\/a><\/noindex>, ontwikkeld door de alliantie FIDO<\/a><\/noindex>. U2F maakt het mogelijk om goedkope hardwaretokens te cre\u00ebren voor het bevestigen van fysieke aanwezigheid van de gebruiker, waarbij interactie plaatsvindt via USB, Bluetooth of NFC. Dergelijke apparaten worden gepromoot als een middel voor tweefactorauthenticatie op sites, worden al ondersteund door de belangrijkste browsers en worden geproduceerd door verschillende fabrikanten, waaronder Yubico, Feitian, Thetis en Kensington.<\/p>\n

Voor de interactie met apparaten die de aanwezigheid van de gebruiker bevestigen, is er een nieuw type sleutel aan OpenSSH toegevoegd: \"sk-ecdsa-sha2-nistp256@openssh.com\" (\"ecdsa-sk\"), waarin het ECDSA-algoritme (Elliptic Curve Digital Signature Algorithm) met de elliptische kromme NIST P-256 en de hash SHA-256 wordt gebruikt. De procedures voor interactie met tokens zijn ondergebracht in een tussenbibliotheek, die wordt geladen op dezelfde manier als de bibliotheek voor ondersteuning van PKCS#11 en dient als een wrapper boven de bibliotheek. libfido2<\/a><\/noindex>, die middelen biedt voor communicatie met tokens via USB (de protocollen FIDO U2F\/CTAP 1 en FIDO 2.0\/CTAP 2 worden ondersteund). De tussenbibliotheek libsk-libfido2, ontwikkeld door de ontwikkelaars van OpenSSH, is ge\u00efntegreerd in de hoofdbibliotheek libfido2, net zoals is ingeschakeld<\/a><\/noindex> de HID-driver voor OpenBSD.<\/a><\/noindex> Om U2F in te schakelen, kan een recente snapshot van de codebase worden gebruikt uit<\/p>\n

OpenSSH en de HEAD-tak van de bibliotheek [istio-mastery]<\/a><\/noindex> , waaraan de noodzakelijke laag voor OpenSSH al is toegevoegd. libfido2<\/a><\/noindex>Libfido2 ondersteunt werking op OpenBSD, Linux, macOS en Windows.
\nVoor authenticatie en het genereren van een sleutel moet de omgevingsvariabele SSH_SK_PROVIDER worden ingesteld met het pad naar libsk-libfido2.so (export SSH_SK_PROVIDER=\/pad\/naar\/libsk-libfido2.so), of de bibliotheek moet worden gedefinieerd via de instelling SecurityKeyProvider, waarna \"ssh-keygen -t ecdsa-sk\" kan worden uitgevoerd of, als de sleutels al zijn aangemaakt en ingesteld, kan worden ingelogd op de server met \"ssh\". Bij het uitvoeren van ssh-keygen wordt het gegenereerde sleutelpaar opgeslagen in \"~\/.ssh\/id_ecdsa_sk\" en kan het net als andere sleutels worden gebruikt. <\/p>\n

Voor authenticatie en sleutelgeneratie moet de omgevingsvariabele SSH_SK_PROVIDER worden ingesteld, met het pad naar libsk-libfido2.so (export SSH_SK_PROVIDER=\/path\/to\/libsk-libfido2.so), of de bibliotheek kan worden gedefinieerd via de instelling SecurityKeyProvider, waarna \"ssh-keygen -t ecdsa-sk\" moet worden uitgevoerd of, als de sleutels al zijn aangemaakt en ingesteld, verbinding moet worden gemaakt met de server via \"ssh\". Bij het uitvoeren van ssh-keygen wordt het gemaakte sleutelpaar opgeslagen in \"~\/.ssh\/id_ecdsa_sk\" en kan het net als andere sleutels worden gebruikt. <\/p>\n

De openbare sleutel (id_ecdsa_sk.pub) moet naar de server worden gekopieerd in het bestand authorized_keys. Aan de serverzijde wordt alleen de digitale handtekening gecontroleerd, terwijl de interactie met tokens aan de klantzijde plaatsvindt (libsk-libfido2 hoeft niet op de server te worden ge\u00efnstalleerd, maar de server moet het sleutetype \"ecdsa-sk\" ondersteunen). De gegenereerde priv\u00e9sleutel (id_ecdsa_sk) is in wezen een descriptor van de sleutel, die de echte sleutel alleen vormt in combinatie met de geheime volgorde die op de U2F-token wordt opgeslagen.<\/p>\n

Als de sleutel id_ecdsa_sk in handen van een aanvaller valt, heeft deze ook toegang tot de hardwaretoken nodig om de authenticatie te doorlopen, zonder welke de in het bestand id_ecdsa_sk opgeslagen priv\u00e9sleutel nutteloos is. Bovendien is bij het uitvoeren van bewerkingen met sleutels (zowel bij generatie als bij authenticatie) standaard een lokale bevestiging van de fysieke aanwezigheid van de gebruiker vereist, bijvoorbeeld door de aanraking van de sensor op de token, wat het moeilijk maakt om op afstand aanvallen uit te voeren op systemen met een aangesloten token. Als een extra beschermingslaag kan er ook een wachtwoord worden ingesteld voor toegang tot het sleutelbestand tijdens het starten van ssh-keygen. <\/p>\n

De U2F-sleutel kan aan de ssh-agent worden toegevoegd via \"ssh-add ~\/.ssh\/id_ecdsa_sk\", maar de ssh-agent moet zijn samengesteld met ondersteuning voor sleutels \"ecdsa-sk\", de laag libsk-libfido2 moet aanwezig zijn, en de agent moet draaien op het systeem waarmee de token verbinding maakt.
\nHet nieuwe type sleutels \"ecdsa-sk\" is toegevoegd omdat het formaat van ecdsa-sleutels in OpenSSH verschilt van het formaat van U2F voor digitale handtekeningen met ECDSA, omdat er extra velden zijn.<\/p>\n

<\/a><\/noindex><\/p>\n

Bron: opennet.ru<\/a><\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"

\u0412 \u043a\u043e\u0434\u043e\u0432\u0443\u044e \u0431\u0430\u0437\u0443 OpenSSH \u0434\u043e\u0431\u0430\u0432\u043b\u0435\u043d\u0430 \u044d\u043a\u0441\u043f\u0435\u0440\u0438\u043c\u0435\u043d\u0442\u0430\u043b\u044c\u043d\u0430\u044f \u043f\u043e\u0434\u0434\u0435\u0440\u0436\u043a\u0430 \u0434\u0432\u0443\u0445\u0444\u0430\u043a\u0442\u043e\u0440\u043d\u043e\u0439 \u0430\u0443\u0442\u0435\u043d\u0442\u0438\u0444\u0438\u043a\u0430\u0446\u0438\u0438 \u0441 \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u043d\u0438\u0435\u043c \u0443\u0441\u0442\u0440\u043e\u0439\u0441\u0442\u0432, \u043f\u043e\u0434\u0434\u0435\u0440\u0436\u0438\u0432\u0430\u044e\u0449\u0438\u0445 \u043f\u0440\u043e\u0442\u043e\u043a\u043e\u043b U2F, \u0440\u0430\u0437\u0432\u0438\u0432\u0430\u0435\u043c\u044b\u0439 \u0430\u043b\u044c\u044f\u043d\u0441\u043e\u043c FIDO. U2F \u043f\u043e\u0437\u0432\u043e\u043b\u044f\u0435\u0442 \u0441\u043e\u0437\u0434\u0430\u0432\u0430\u0442\u044c \u043d\u0435\u0434\u043e\u0440\u043e\u0433\u0438\u0435 \u0430\u043f\u043f\u0430\u0440\u0430\u0442\u043d\u044b\u0435 \u0442\u043e\u043a\u0435\u043d\u044b \u0434\u043b\u044f \u043f\u043e\u0434\u0442\u0432\u0435\u0440\u0436\u0434\u0435\u043d\u0438\u044f \u0444\u0438\u0437\u0438\u0447\u0435\u0441\u043a\u043e\u0433\u043e \u043f\u0440\u0438\u0441\u0443\u0442\u0441\u0442\u0432\u0438\u044f \u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u0442\u0435\u043b\u044f, \u0432\u0437\u0430\u0438\u043c\u043e\u0434\u0435\u0439\u0441\u0442\u0432\u0438\u0435 \u0441 \u043a\u043e\u0442\u043e\u0440\u044b\u043c\u0438 \u043f\u0440\u043e\u0438\u0437\u0432\u043e\u0434\u0438\u0442\u0441\u044f \u0447\u0435\u0440\u0435\u0437 USB, Bluetooth \u0438\u043b\u0438 NFC. \u041f\u043e\u0434\u043e\u0431\u043d\u044b\u0435 \u0443\u0441\u0442\u0440\u043e\u0439\u0441\u0442\u0432\u0430 \u043f\u0440\u043e\u0434\u0432\u0438\u0433\u0430\u044e\u0442\u0441\u044f \u0432 \u043a\u0430\u0447\u0435\u0441\u0442\u0432\u0435 \u0441\u0440\u0435\u0434\u0441\u0442\u0432\u0430 \u0434\u043b\u044f \u0434\u0432\u0443\u0445\u0444\u0430\u043a\u0442\u043e\u0440\u043d\u043e\u0439 \u0430\u0443\u0442\u0435\u043d\u0442\u0438\u0444\u0438\u043a\u0430\u0446\u0438\u0438 \u043d\u0430 \u0441\u0430\u0439\u0442\u0430\u0445, \u0443\u0436\u0435 \u043f\u043e\u0434\u0434\u0435\u0440\u0436\u0438\u0432\u0430\u044e\u0442\u0441\u044f \u043e\u0441\u043d\u043e\u0432\u043d\u044b\u043c\u0438 \u0431\u0440\u0430\u0443\u0437\u0435\u0440\u0430\u043c\u0438 \u0438 \u0432\u044b\u043f\u0443\u0441\u043a\u0430\u044e\u0442\u0441\u044f […]<\/p>\n","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"author":1,"featured_media":0,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[702],"tags":[],"class_list":["post-52210","post","type-post","status-publish","format-standard","hentry","category-news"],"aioseo_notices":[],"aioseo_head":"\n\t\t\n\t\n\t\n\t\n\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\n","aioseo_head_json":{"title":"\ud83e\udd47Ondersteuning voor universele multi-factorauthenticatie is toegevoegd aan OpenSSH | ProHoster","description":"Experimentele ondersteuning voor multi-factorauthenticatie is toegevoegd aan de codebasis van OpenSSH.","canonical_url":"https:\/\/prohoster.info\/nl\/blog\/news\/v-openssh-dobavlena-podderzhka-universalnoj-dvuhfaktornoj-autentifikatsii","robots":"max-image-preview:large","keywords":"","webmasterTools":{"miscellaneous":""},"schema":null,"og:locale":"nl_NL","og:site_name":"ProHoster | \u041a\u0443\u043f\u0438\u0442\u044c \u043d\u0430\u0434\u0435\u0436\u043d\u044b\u0439 \u0445\u043e\u0441\u0442\u0438\u043d\u0433 \u0434\u043b\u044f \u0441\u0430\u0439\u0442\u043e\u0432 \u0441 \u0437\u0430\u0449\u0438\u0442\u043e\u0439 \u043e\u0442 DDoS, VPS VDS \u0441\u0435\u0440\u0432\u0435\u0440\u044b","og:type":"article","og:title":"\ud83e\udd47\u0412 OpenSSH \u0434\u043e\u0431\u0430\u0432\u043b\u0435\u043d\u0430 \u043f\u043e\u0434\u0434\u0435\u0440\u0436\u043a\u0430 \u0443\u043d\u0438\u0432\u0435\u0440\u0441\u0430\u043b\u044c\u043d\u043e\u0439 \u0434\u0432\u0443\u0445\u0444\u0430\u043a\u0442\u043e\u0440\u043d\u043e\u0439 \u0430\u0443\u0442\u0435\u043d\u0442\u0438\u0444\u0438\u043a\u0430\u0446\u0438\u0438 | ProHoster","og:description":"\u0412 \u043a\u043e\u0434\u043e\u0432\u0443\u044e \u0431\u0430\u0437\u0443 OpenSSH \u0434\u043e\u0431\u0430\u0432\u043b\u0435\u043d\u0430 \u044d\u043a\u0441\u043f\u0435\u0440\u0438\u043c\u0435\u043d\u0442\u0430\u043b\u044c\u043d\u0430\u044f \u043f\u043e\u0434\u0434\u0435\u0440\u0436\u043a\u0430 \u0434\u0432\u0443\u0445\u0444\u0430\u043a\u0442\u043e\u0440\u043d\u043e\u0439 \u0430\u0443\u0442\u0435\u043d\u0442\u0438\u0444\u0438\u043a\u0430\u0446\u0438\u0438 \u0441 \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u043d\u0438\u0435\u043c.","og:url":"https:\/\/prohoster.info\/nl\/blog\/news\/v-openssh-dobavlena-podderzhka-universalnoj-dvuhfaktornoj-autentifikatsii","og:image":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:secure_url":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:width":350,"og:image:height":350,"article:published_time":"2019-11-02T21:00:00+00:00","article:modified_time":"2020-02-18T10:59:53+00:00","article:publisher":"https:\/\/www.facebook.com\/prohoster","article:author":"https:\/\/www.facebook.com\/prohoster"},"aioseo_meta_data":{"post_id":"52210","title":null,"description":null,"keywords":null,"keyphrases":null,"primary_term":null,"canonical_url":null,"og_title":null,"og_description":null,"og_object_type":"default","og_image_type":"default","og_image_url":null,"og_image_width":null,"og_image_height":null,"og_image_custom_url":null,"og_image_custom_fields":null,"og_video":null,"og_custom_url":null,"og_article_section":null,"og_article_tags":null,"twitter_use_og":false,"twitter_card":"default","twitter_image_type":"default","twitter_image_url":null,"twitter_image_custom_url":null,"twitter_image_custom_fields":null,"twitter_title":null,"twitter_description":null,"schema":{"blockGraphs":[],"customGraphs":[],"default":{"data":{"Article":[],"Course":[],"Dataset":[],"FAQPage":[],"Movie":[],"Person":[],"Product":[],"ProductReview":[],"Car":[],"Recipe":[],"Service":[],"SoftwareApplication":[],"WebPage":[]},"graphName":"","isEnabled":true},"graphs":[]},"schema_type":null,"schema_type_options":null,"pillar_content":false,"robots_default":true,"robots_noindex":false,"robots_noarchive":false,"robots_nosnippet":false,"robots_nofollow":false,"robots_noimageindex":false,"robots_noodp":false,"robots_notranslate":false,"robots_max_snippet":null,"robots_max_videopreview":null,"robots_max_imagepreview":"large","priority":null,"frequency":null,"local_seo":null,"seo_analyzer_scan_date":"2026-01-24 02:52:19","breadcrumb_settings":null,"limit_modified_date":false,"reviewed_by":null,"ai":null,"created":"2021-02-28 20:47:23","updated":"2026-01-24 02:52:19","focus_keyword":null,"additional_keywords":null,"truseo_locale":null},"gt_translate_keys":[{"key":"link","format":"url"}],"_links":{"self":[{"href":"https:\/\/prohoster.info\/nl\/wp-json\/wp\/v2\/posts\/52210","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/prohoster.info\/nl\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/prohoster.info\/nl\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/prohoster.info\/nl\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/prohoster.info\/nl\/wp-json\/wp\/v2\/comments?post=52210"}],"version-history":[{"count":0,"href":"https:\/\/prohoster.info\/nl\/wp-json\/wp\/v2\/posts\/52210\/revisions"}],"wp:attachment":[{"href":"https:\/\/prohoster.info\/nl\/wp-json\/wp\/v2\/media?parent=52210"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/prohoster.info\/nl\/wp-json\/wp\/v2\/categories?post=52210"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/prohoster.info\/nl\/wp-json\/wp\/v2\/tags?post=52210"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}