{"id":123013,"date":"2025-03-26T16:22:56","date_gmt":"2025-03-26T14:22:58","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/kompaniya-cloudflare-opublikovala-opkssh-dlya-autentifikaczii-v-ssh-cherez-openid-connect"},"modified":"2025-03-26T16:22:56","modified_gmt":"2025-03-26T14:22:58","slug":"kompaniya-cloudflare-opublikovala-opkssh-dlya-autentifikaczii-v-ssh-cherez-openid-connect","status":"publish","type":"post","link":"https:\/\/prohoster.info\/pl\/blog\/news\/kompaniya-cloudflare-opublikovala-opkssh-dlya-autentifikaczii-v-ssh-cherez-openid-connect","title":{"rendered":"Firma Cloudflare opublikowa\u0142a opkssh do uwierzytelniania w SSH przez OpenID Connect.","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

Firma Cloudflare wprowadzi\u0142a narz\u0119dzie opkssh (OpenPubkey SSH), kt\u00f3re umo\u017cliwia integracj\u0119 z OpenSSH centralizowanych \u015brodk\u00f3w uwierzytelniania z mo\u017cliwo\u015bci\u0105 logowania si\u0119 przez dostawc\u00f3w OpenID Connect. Dzi\u0119ki opkssh mo\u017cna zredukowa\u0107 r\u0119czne zarz\u0105dzanie i konfiguracj\u0119 kluczy SSH, a tak\u017ce zorganizowa\u0107 po\u0142\u0105czenie z serwerem z dowolnych host\u00f3w, bez potrzeby tworzenia kluczy prywatnych na ka\u017cdym komputerze klienckim i bez r\u0119cznego kopiowania kluczy publicznych na serwer. Aby po\u0142\u0105czy\u0107 si\u0119, wystarczy na serwerze powi\u0105za\u0107 konto z dostawc\u0105 OpenID. Kod narz\u0119dzia napisany jest w j\u0119zyku Go i jest rozpowszechniany na licencji Apache 2.0. <\/p>\n

Opkssh jest zgodny z dostawcami OpenID, takimi jak Google, Microsoft\/Azure i Gitlab, co pozwala na logowanie si\u0119 za pomoc\u0105 istniej\u0105cych kont w serwisach gmail.com, microsoft.com i gitlab.com. Przy u\u017cyciu opkssh zamiast nieograniczonych czasowo kluczy SSH generowane s\u0105 tymczasowe klucze, kt\u00f3re dzia\u0142aj\u0105 przez kilka godzin i s\u0105 tworzone na podstawie potwierdzenia od dostawcy OpenID. Wycieki takich kluczy po up\u0142ywie ich wa\u017cno\u015bci nie stanowi\u0105 zagro\u017cenia dla bezpiecze\u0144stwa. Domy\u015blny czas wa\u017cno\u015bci klucza wynosi 24 godziny, po kt\u00f3rym konieczne jest ponowne potwierdzenie swojej to\u017csamo\u015bci przez OpenID. <\/p>\n

Integracja z OpenSSH opiera si\u0119 na mo\u017cliwo\u015bci tworzenia rozszerze\u0144 protoko\u0142u SSH, kt\u00f3re pozwalaj\u0105 na do\u0142\u0105czanie dowolnych danych do certyfikat\u00f3w SSH. Po przej\u015bciu uwierzytelnienia przez OpenID klient tworzy klucz publiczny, zawieraj\u0105cy token PK, potwierdzaj\u0105cy przynale\u017cno\u015b\u0107 klucza do zadeklarowanego u\u017cytkownika. Token jest integrowany z protoko\u0142em SSH przez pole z dodatkowymi danymi certyfikatu SSH. Tworzenie token\u00f3w PK i ich weryfikacja po stronie serwera odbywa si\u0119 z wykorzystaniem kryptograficznego protoko\u0142u OpenPubKey. <\/p>\n

OpenPubKey umo\u017cliwia wygenerowanie klucza publicznego i powi\u0105zanie go z tokenem wydanym przez dostawc\u0119 OpenID. Poprzez podpis cyfrowy dostawca potwierdza, \u017ce ten klucz zosta\u0142 utworzony przez zg\u0142oszonego u\u017cytkownika. Na przyk\u0142ad, dostawca OpenID Google mo\u017ce potwierdzi\u0107, \u017ce u\u017cytkownik jest uwierzytelniony jako test@gmail.com. Po stronie serwera przeprowadzana jest weryfikacja, czy za\u0142\u0105czony token zosta\u0142 podpisany przez dostawc\u0119 OpenID oraz czy podpis cyfrowy odpowiada zg\u0142oszonemu kluczowi publicznemu, tzn. serwer mo\u017ce upewni\u0107 si\u0119, \u017ce to w\u0142a\u015bnie u\u017cytkownik test@gmail.com utworzy\u0142 klucz publiczny dla pod\u0142\u0105czaj\u0105cego si\u0119 klienta SSH.

\"Firma<\/center> <\/p>\n

Integracja z OpenSSH jest zorganizowana poprzez wskazanie programu opkssh w pliku konfiguracyjnym «sshd_config» za pomoc\u0105 dyrektywy «AuthorizedKeysCommand» (na przyk\u0142ad: «AuthorizedKeysCommand \/usr\/local\/bin\/opkssh verify %u %k %t»). Konfiguracja powi\u0105zania kont z OpenID odbywa si\u0119 po stronie serwera SSH. Po stronie klienta SSH nie s\u0105 wymagane zmiany w ustawieniach, ale przed logowaniem nale\u017cy uruchomi\u0107 polecenie «opkssh login» i w wy\u015bwietlonym oknie przegl\u0105darki wybra\u0107 dostawc\u0119 OpenID oraz przeprowadzi\u0107 autoryzacj\u0119. <\/p>\n

Narz\u0119dzie opkssh wygeneruje klucze SSH i uzyska token PK, potwierdzaj\u0105cy, \u017ce u\u017cytkownik przeszed\u0142 uwierzytelnienie oraz pozwalaj\u0105cy sprawdzi\u0107, \u017ce utworzone klucze nale\u017c\u0105 do zg\u0142oszonego u\u017cytkownika. Klucz publiczny SSH, do kt\u00f3rego za pomoc\u0105 dodatkowego pola przypisany jest token PK, zostanie zapisany w pliku ~\/.ssh\/id_ecdsas i zacznie by\u0107 przesy\u0142any przy po\u0142\u0105czeniu z serwera<\/a> narz\u0119dziem ssh. <\/p>\n

Pod\u0142\u0105czenie do serwera odbywa si\u0119 przy u\u017cyciu standardowego dla SSH schematu «ssh login@serwer», przy tym na serwerze<\/a> login musi wcze\u015bniej by\u0107 powi\u0105zany z kontem w OpenID, z kt\u00f3rego korzysta u\u017cytkownik. W ten spos\u00f3b praca sprowadza si\u0119 do tego, \u017ce klient ssh wysy\u0142a na serwer ssh klucz publiczny, a serwer uruchamia polecenie «opkssh verify» w celu weryfikacji klucza. <\/p>\n

Aby powi\u0105za\u0107 konto z OpenID, administrator serwera wykonuje polecenie «opkssh add». Na przyk\u0142ad, aby zezwoli\u0107 na logowanie na serwerze jako u\u017cytkownik «root» z autoryzacj\u0105 OpenID poprzez konto test@gmail.com w Gmailu, nale\u017cy wykona\u0107 «sudo opkssh add root test@gmail.com google», po czym klient b\u0119dzie m\u00f3g\u0142 \u0142\u0105czy\u0107 si\u0119 z parametrami tego konta poleceniem «ssh root@host_serwera». <\/p>\n

Powi\u0105zanie konta mo\u017cna r\u00f3wnie\u017c zrealizowa\u0107 r\u0119cznie za pomoc\u0105 pliku konfiguracyjnego \/etc\/opk\/auth_id (lub ~\/.opk\/auth_id), do kt\u00f3rego w przypadku powy\u017cszego przyk\u0142adu zostanie zapisana linia «root test@gmail.com https:\/\/accounts.google.com». Dodatkowo za pomoc\u0105 pliku \/etc\/opk\/providers mo\u017cna zdefiniowa\u0107 list\u0119 dozwolonych dostawc\u00f3w OpenID, ich parametry oraz list\u0119 dozwolonych identyfikator\u00f3w klient\u00f3w.

\"Firma<\/center>
\n
\u0179r\u00f3d\u0142o: opennet.ru<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"

\u041a\u043e\u043c\u043f\u0430\u043d\u0438\u044f Cloudflare \u043f\u0440\u0435\u0434\u0441\u0442\u0430\u0432\u0438\u043b\u0430 \u0438\u043d\u0441\u0442\u0440\u0443\u043c\u0435\u043d\u0442\u0430\u0440\u0438\u0439 opkssh (OpenPubkey SSH), \u043f\u043e\u0437\u0432\u043e\u043b\u044f\u044e\u0449\u0438\u0439 \u0438\u043d\u0442\u0435\u0433\u0440\u0438\u0440\u043e\u0432\u0430\u0442\u044c \u0432 OpenSSH \u0441\u0440\u0435\u0434\u0441\u0442\u0432\u0430 \u0446\u0435\u043d\u0442\u0440\u0430\u043b\u0438\u0437\u043e\u0432\u0430\u043d\u043d\u043e\u0439 \u0430\u0443\u0442\u0435\u043d\u0442\u0438\u0444\u0438\u043a\u0430\u0446\u0438\u0438 \u0441 \u0432\u043e\u0437\u043c\u043e\u0436\u043d\u043e\u0441\u0442\u044c\u044e \u0432\u0445\u043e\u0434\u0430 \u0447\u0435\u0440\u0435\u0437 \u043f\u0440\u043e\u0432\u0430\u0439\u0434\u0435\u0440\u043e\u0432 OpenID Connect. \u041f\u0440\u0438 \u043f\u043e\u043c\u043e\u0449\u0438 opkssh \u043c\u043e\u0436\u043d\u043e \u0438\u0437\u0431\u0430\u0432\u0438\u0442\u044c\u0441\u044f \u043e\u0442 \u0440\u0443\u0447\u043d\u043e\u0439 \u0440\u0430\u0431\u043e\u0442\u044b \u043f\u043e \u0443\u043f\u0440\u0430\u0432\u043b\u0435\u043d\u0438\u044e \u0438 \u043d\u0430\u0441\u0442\u0440\u043e\u0439\u043a\u0435 SSH-\u043a\u043b\u044e\u0447\u0435\u0439, \u0430 \u0442\u0430\u043a\u0436\u0435 \u043e\u0440\u0433\u0430\u043d\u0438\u0437\u043e\u0432\u0430\u0442\u044c \u043f\u043e\u0434\u043a\u043b\u044e\u0447\u0435\u043d\u0438\u0435 \u043a \u0441\u0435\u0440\u0432\u0435\u0440\u0443 \u0441 \u043b\u044e\u0431\u044b\u0445 \u0445\u043e\u0441\u0442\u043e\u0432, \u0431\u0435\u0437 \u043d\u0435\u043e\u0431\u0445\u043e\u0434\u0438\u043c\u043e\u0441\u0442\u0438 \u0441\u043e\u0437\u0434\u0430\u043d\u0438\u044f \u0437\u0430\u043a\u0440\u044b\u0442\u044b\u0445 \u043a\u043b\u044e\u0447\u0435\u0439 \u043d\u0430 \u043a\u0430\u0436\u0434\u043e\u043c \u043a\u043b\u0438\u0435\u043d\u0442\u0441\u043a\u043e\u043c \u043a\u043e\u043c\u043f\u044c\u044e\u0442\u0435\u0440\u0435 \u0438 \u0431\u0435\u0437 \u0440\u0443\u0447\u043d\u043e\u0433\u043e […]<\/p>\n","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"author":1,"featured_media":123014,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[702],"tags":[],"class_list":["post-123013","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-news"],"aioseo_notices":[],"aioseo_head":"\n\t\t\n\t\n\t\n\t\n\t\n\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\n","aioseo_head_json":{"title":"\ud83e\udd47 Firma Cloudflare opublikowa\u0142a opkssh do uwierzytelniania w SSH przez OpenID Connect | ProHoster","description":"Firma Cloudflare zaprezentowa\u0142a narz\u0119dzie opkssh (OpenPubkey SSH), kt\u00f3re umo\u017cliwia integracj\u0119 w OpenSSH centralnego systemu uwierzytelniania z mo\u017cliwo\u015bci\u0105 logowania przez dostawc\u00f3w OpenID Connect.","canonical_url":"https:\/\/prohoster.info\/pl\/blog\/news\/kompaniya-cloudflare-opublikovala-opkssh-dlya-autentifikaczii-v-ssh-cherez-openid-connect","robots":"max-image-preview:large","keywords":"","webmasterTools":{"miscellaneous":""},"schema":null,"og:locale":"pl_PL","og:site_name":"ProHoster | \u041a\u0443\u043f\u0438\u0442\u044c \u043d\u0430\u0434\u0435\u0436\u043d\u044b\u0439 \u0445\u043e\u0441\u0442\u0438\u043d\u0433 \u0434\u043b\u044f \u0441\u0430\u0439\u0442\u043e\u0432 \u0441 \u0437\u0430\u0449\u0438\u0442\u043e\u0439 \u043e\u0442 DDoS, VPS VDS \u0441\u0435\u0440\u0432\u0435\u0440\u044b","og:type":"article","og:title":"\ud83e\udd47\u041a\u043e\u043c\u043f\u0430\u043d\u0438\u044f Cloudflare \u043e\u043f\u0443\u0431\u043b\u0438\u043a\u043e\u0432\u0430\u043b\u0430 opkssh \u0434\u043b\u044f \u0430\u0443\u0442\u0435\u043d\u0442\u0438\u0444\u0438\u043a\u0430\u0446\u0438\u0438 \u0432 SSH \u0447\u0435\u0440\u0435\u0437 OpenID Connect | ProHoster","og:description":"\u041a\u043e\u043c\u043f\u0430\u043d\u0438\u044f Cloudflare \u043f\u0440\u0435\u0434\u0441\u0442\u0430\u0432\u0438\u043b\u0430 \u0438\u043d\u0441\u0442\u0440\u0443\u043c\u0435\u043d\u0442\u0430\u0440\u0438\u0439 opkssh (OpenPubkey SSH), \u043f\u043e\u0437\u0432\u043e\u043b\u044f\u044e\u0449\u0438\u0439 \u0438\u043d\u0442\u0435\u0433\u0440\u0438\u0440\u043e\u0432\u0430\u0442\u044c \u0432 OpenSSH \u0441\u0440\u0435\u0434\u0441\u0442\u0432\u0430 \u0446\u0435\u043d\u0442\u0440\u0430\u043b\u0438\u0437\u043e\u0432\u0430\u043d\u043d\u043e\u0439 \u0430\u0443\u0442\u0435\u043d\u0442\u0438\u0444\u0438\u043a\u0430\u0446\u0438\u0438 \u0441 \u0432\u043e\u0437\u043c\u043e\u0436\u043d\u043e\u0441\u0442\u044c\u044e \u0432\u0445\u043e\u0434\u0430 \u0447\u0435\u0440\u0435\u0437 \u043f\u0440\u043e\u0432\u0430\u0439\u0434\u0435\u0440\u043e\u0432 OpenID Connect.","og:url":"https:\/\/prohoster.info\/pl\/blog\/news\/kompaniya-cloudflare-opublikovala-opkssh-dlya-autentifikaczii-v-ssh-cherez-openid-connect","og:image":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:secure_url":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:width":350,"og:image:height":350,"article:published_time":"2025-03-26T14:22:58+00:00","article:modified_time":"2025-03-26T14:22:58+00:00","article:publisher":"https:\/\/www.facebook.com\/prohoster","article:author":"https:\/\/www.facebook.com\/prohoster"},"aioseo_meta_data":{"post_id":"123013","title":null,"description":null,"keywords":null,"keyphrases":null,"primary_term":null,"canonical_url":null,"og_title":null,"og_description":null,"og_object_type":"default","og_image_type":"default","og_image_url":null,"og_image_width":null,"og_image_height":null,"og_image_custom_url":null,"og_image_custom_fields":null,"og_video":null,"og_custom_url":null,"og_article_section":null,"og_article_tags":null,"twitter_use_og":false,"twitter_card":"default","twitter_image_type":"default","twitter_image_url":null,"twitter_image_custom_url":null,"twitter_image_custom_fields":null,"twitter_title":null,"twitter_description":null,"schema":{"blockGraphs":[],"customGraphs":[],"default":{"data":{"Article":[],"Course":[],"Dataset":[],"FAQPage":[],"Movie":[],"Person":[],"Product":[],"ProductReview":[],"Car":[],"Recipe":[],"Service":[],"SoftwareApplication":[],"WebPage":[]},"graphName":"","isEnabled":true},"graphs":[]},"schema_type":"default","schema_type_options":null,"pillar_content":false,"robots_default":true,"robots_noindex":false,"robots_noarchive":false,"robots_nosnippet":false,"robots_nofollow":false,"robots_noimageindex":false,"robots_noodp":false,"robots_notranslate":false,"robots_max_snippet":null,"robots_max_videopreview":null,"robots_max_imagepreview":"large","priority":null,"frequency":null,"local_seo":null,"seo_analyzer_scan_date":"2026-02-09 22:07:19","breadcrumb_settings":null,"limit_modified_date":false,"reviewed_by":null,"ai":null,"created":"2026-01-23 11:38:16","updated":"2026-02-09 22:07:19","focus_keyword":null,"additional_keywords":null,"truseo_locale":null},"gt_translate_keys":[{"key":"link","format":"url"}],"_links":{"self":[{"href":"https:\/\/prohoster.info\/pl\/wp-json\/wp\/v2\/posts\/123013","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/prohoster.info\/pl\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/prohoster.info\/pl\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/prohoster.info\/pl\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/prohoster.info\/pl\/wp-json\/wp\/v2\/comments?post=123013"}],"version-history":[{"count":2,"href":"https:\/\/prohoster.info\/pl\/wp-json\/wp\/v2\/posts\/123013\/revisions"}],"predecessor-version":[{"id":160229,"href":"https:\/\/prohoster.info\/pl\/wp-json\/wp\/v2\/posts\/123013\/revisions\/160229"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/prohoster.info\/pl\/wp-json\/wp\/v2\/media\/123014"}],"wp:attachment":[{"href":"https:\/\/prohoster.info\/pl\/wp-json\/wp\/v2\/media?parent=123013"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/prohoster.info\/pl\/wp-json\/wp\/v2\/categories?post=123013"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/prohoster.info\/pl\/wp-json\/wp\/v2\/tags?post=123013"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}