Skriver in proceduren för akut åtkomst till SSH-värdar med hårdvarunycklar

I det här inlägget kommer vi att utveckla en procedur för akut åtkomst till SSH-värdar med hjälp av säkerhetstangenter i offline-läge. Detta är bara en av metoderna, och du kan anpassa den efter dina behov. Vi kommer att lagra SSH-certifikatcentret för våra värdar på säkerhetstangenten. Detta schema kommer att fungera på nästan vilken OpenSSH som helst, inklusive SSH med en enda inloggning.

Varför allt detta? Ja, det är ett alternativ i nödfall. Detta är en baksida som låter dig få åtkomst till din server om ingenting annat fungerar av någon anledning.

Varför använda certifikat istället för öppna/privata nycklar för akut åtkomst?

• Till skillnad från öppna nycklar kan giltighetstiden för certifikat vara mycket kort. Du kan generera ett certifikat som är giltigt i 1 minut eller till och med 5 sekunder. Efter denna tidsperiod blir certifikatet ogiltigt för nya anslutningar. Detta är perfekt för akut åtkomst.
• Du kan skapa ett certifikat för vilket konto som helst på dina värdar och vid behov skicka sådana "engångs"-certifikat till kollegor.

Vad du behöver

• Säkerhetstangenter som stöder residenta nycklar.
  Residenta nycklar är kryptografiska nycklar som helt lagras inuti säkerhetstangenten. Ibland skyddas de av en alfanumerisk PIN-kod. Den öppna delen av den residenta nyckeln kan exporteras från säkerhetstangenten, vid behov tillsammans med en deskriptor för den privata nyckeln. Stöd för residenta nycklar har till exempel USB-tangenter i Yubikey 5-serien. Det är önskvärt att de endast används för akut åtkomst till värden. För detta inlägg kommer jag att använda en enda nyckel, men du bör ha en extra för backup.
• En säker plats för att förvara dessa nycklar.
• OpenSSH version 8.2 eller senare på din lokala dator och på servrarna som du vill få akut åtkomst till. Ubuntu 20.04 kommer med OpenSSH 8.2.
• (valfritt, men rekommenderas) CLI-verktyg för att verifiera certifikat.

Förberedelse

För att börja måste du skapa ett certifikatcentrum som kommer att finnas på säkerhetstangenten. Sätt in nyckeln och kör:

$ ssh-keygen -t ecdsa-sk -f sk-user-ca -O resident -C [security key ID]

Som kommentar (-C) angav jag yubikey-9-512-742@smallstep.com, för att inte glömma vilken säkerhetsnyckel som hör till detta certifikatcenter.

Förutom att lägga till nyckeln till Yubikey kommer två filer att genereras lokalt:

1. sk-user-ca, en nyckeldeskriptor som refererar till den privata nyckeln som lagras i säkerhetsnyckeln,
2. sk-user-ca.pub, som kommer att vara den offentliga nyckeln för ditt certifikatcenter.

Men oroa dig inte, det finns en annan privat nyckel som lagras på Yubikey, vilket är omöjligt att extrahera. Så det är säkert här.

På värdarna under användarnamnet root, lägg till (om det inte redan är tillagt) följande i din SSHD-konfiguration (\/etc\/ssh\/sshd_config):

TrustedUserCAKeys \/etc\/ssh\/ca.pub

Lägg sedan till den offentliga nyckeln (sk-user-ca.pub) i \/etc\/ssh\/ca.pub

Starta om tjänsten:

# /etc/init.d/ssh restart

Nu kan vi försöka få åtkomst till värden. Men först behöver vi ett certifikat. Skapa ett nyckelpar som kommer att kopplas till certifikatet:

$ ssh-keygen -t ecdsa -f emergency

Certifikat och SSH-par
Ibland är man sugen på att använda ett certifikat som ersättning för ett öppet/privat nyckelpar. Men för användarauthentisering är ett certifikat inte tillräckligt. Varje certifikat har också en privat nyckel kopplad till sig. Det är därför vi behöver generera detta "nödnings" nyckelpar innan vi utfärdar ett certifikat till oss själva. Viktigt är att vi visar den signerade certifikatet för servern, med angivelse av nyckelpar som vi har den privata nyckeln för.

Således är utbytet av offentliga nycklar fortfarande vid liv. Detta fungerar även med certifikat. Certifikat befriar bara servern från att behöva lagra offentliga nycklar.

Därefter skapar du själva certifikatet. Jag behöver autentisering av användaren ubuntu inom en 10-minutersintervall. Du kan göra det på ditt sätt.

$ ssh-keygen -s sk-user-ca -I test-key -n ubuntu -V -5m:+5m emergency

Du kommer att bli ombedd att signera certifikatet med hjälp av fingeravtryck. Du kan lägga till flera användarnamn, åtskilda med kommatecken, exempelvis -n ubuntu,carl,ec2-user

Så, nu har du ett certifikat! Därefter måste du ange rätt behörigheter:

$ chmod 600 emergency-cert.pub

Efter detta kan du titta på innehållet i ditt certifikat:

$ step ssh inspect emergency-cert.pub

Så här ser mitt ut:

emergency-cert.pub
        Typ: ecdsa-sha2-nistp256-cert-v01@openssh.com användarcertifikat
        Offentligt nyckel: ECDSA-CERT SHA256:EJSfzfQv1UK44/LOKhBbuh5oRMqxXGBSr+UAzA7cork
        Signerings-CA: SK-ECDSA SHA256:kLJ7xfTTPQN0G/IF2cq5TB3EitaV4k3XczcBZcLPQ0E
        Nyckel-ID: "test-key"
        Serienummer: 0
        Giltig: från 2020-06-24T16:53:03 till 2020-06-24T17:03:03
        Principals:
                ubuntu
        Kritiska alternativ: (inga)
        Tillägg:
                permit-X11-forwarding
                permit-agent-forwarding
                permit-port-forwarding
                permit-pty
                permit-user-rc

Här är den offentliga nyckeln — det är den emergency-nyckel som vi har skapat, och den är kopplad till certifikatutfärdaren sk-user-ca.

Äntligen är vi redo att köra SSH-kommandot:

$ ssh -i emergency ubuntu@my-hostname
ubuntu@my-hostname:~$

1. Nu kan du skapa certifikat för vilken användare som helst på värden som litar på din certifikatutfärdare.
2. Du kan ta bort emergency. Du kan behålla sk-user-ca, men du behöver det inte, eftersom det också finns på säkerhetsnyckeln. Du kanske också vill ta bort den ursprungliga PEM-offentlig nyckel från dina värdar (t.ex. i ~/.ssh/authorized_keys för användaren ubuntu) om du har använt den för nödkontakt.

Nödkontakt: handlingsplan

Sätt i säkerhetsnyckeln och kör kommandot:

$ ssh-add -K

På så sätt lägger du till den offentliga nyckeln från certifikatutfärdaren och nyckelbeskriver i SSH-agenten.

Exportera nu den offentliga nyckeln för att skapa certifikatet:

$ ssh-add -L | tail -1 > sk-user-ca.pub

Skapa ett certifikat som är giltigt, till exempel, högst en timme:

$ ssh-keygen -t ecdsa -f emergency
$ ssh-keygen -Us sk-user-ca.pub -I test-key -n [username] -V -5m:+60m emergency
$ chmod 600 emergency-cert.pub

Och nu SSH igen:

$ ssh -i emergency username@host

Om din fil .ssh/config orsakar problem vid anslutning kan du köra ssh med parametern -F none för att undvika det. Om du behöver skicka certifikatet till en kollega, är det enklaste och säkraste alternativet — Magic Wormhole. För detta behövs bara två filer — i vårt fall är det emergency och emergency-cert.pub.

Vad jag gillar med detta tillvägagångssätt är hårdvarustödet. Du kan förvara säkerhetsnycklarna i ett kassaskåp, och de försvinner ingenstans.

I reklamens namn

Episk server — detta är billiga VPS med kraftfulla processorer från AMD, CPU-kärnfrekvens upp till 3.4 GHz. Den maximala konfigurationen klarar nästan alla uppgifter — 128 CPU-kärnor, 512 GB RAM, 4000 GB NVMe. Gå med!

Källa: habr.com