Små fällor i SSH

I den här artikeln har vi samlat våra bästa tips för att använda SSH på ett mer effektivt sätt. Här får du veta hur:

• Lägga till en andra faktor till SSH-inloggningen
• Säkert använda agent forwarding
• Avsluta en hängande SSH-session
• Spara en permanent terminal öppen
• Dela en fjärrterminalsession med en vän (utan Zoom!)

Lägga till en andra faktor till din SSH

Du kan lägga till en andra autentiseringsfaktor till dina SSH-anslutningar på fem olika sätt:

1. Uppdatera din OpenSSH och använda en krypteringsnyckel. I februari 2020 tillade OpenSSH stöd för FIDO U2F (Universal Second Factor) krypteringsnycklar. Detta är en fantastisk ny funktion, men det finns en fälla: endast de klienter och servrar som har uppdaterats till version OpenSSH 8.2 eller högre kan använda krypteringsnycklar, eftersom februari-uppdateringen inför nya typer av nycklar för dem. Med kommandot ssh –V kan du kontrollera klientversionen av SSH, och serverversionen med kommandot nc [servername] 22
   
   Februari-versionen tillade två nya typer av nycklar — ecdsa-sk och ed25519-sk (tillsammans med motsvarande certifikat). För att generera en nyckelfil räcker det med att sätta in din krypteringsnyckel och köra kommandot:

   $ ssh-keygen -t ecdsa-sk -f ~\/ssh/id_ecdsa_sk

   Det kommer att skapa en offentlig och sekret nyckel och koppla dem till din U2F-enhet. Syftet med den hemliga nyckeln på U2F-enheten är att avkryptera den hemliga nyckeldeskriptorin på disken med den krypteringsnyckeln aktiverad.

   Dessutom kan du som en andra faktor ge en kodfråga för dina nycklar.

   Resident key är en annan typ av nyckel -sk-nycklar som stöds av OpenSSH. Med denna metod lagras nyckeldeskriptorn på U2F-enheten, vilket låter dig använda den med krypteringsnyckeln vid behov. En resident key kan skapas med kommandot:

   $ ssh-keygen -t ecdsa-sk -O resident -f ~\/ssh/id_ecdsa_sk

   Sedan, för att återlämna deskriptoren i minnet på en ny enhet, sätt in krypteringsnyckeln och kör kommandot:

   $ ssh-add -K

   Vid anslutning till värden måste du fortfarande aktivera krypteringsnyckeln.

2. Använda PIV+PKCS11 och Yubikey. För att ansluta till enheter med tidigare versioner av SSHD med hjälp av en krypteringsnyckel behövs en annan metod. Det finns en guide från Yubico för att använda U2F+SSH med PIV/PKCS11 (eng). Detta är inte samma sak som FIDO U2F, och även om metoden fungerar kräver det mycket arbete att förstå vilken magi som driver den.
3. Använda en personlig yubikey-agent ssh-agent. Filippo Valsorda skrev en SSH-agent för Yubikeys. Den är helt ny och innehåller ett minimum av funktioner.
4. Använda Touch ID och sekey. Sekey är en öppen källkod SSH-agent som lagrar hemliga nycklar i Mac:ens skyddade enclava och gör det möjligt att använda Touch ID för åtkomstfunktioner.
5. Använda Single Sign On SSH. Jag har skrivit en handledning för att hjälpa till med att ställa in denna metod (eng). En av fördelarna med single sign on SSH är möjligheten att använda säkerhetspolicyn från din certifikatleverantör - inklusive stöd för multifaktorsautentisering (MFA).

Säker användning av agent forwarding

I SSH tillåter agent forwarding att en fjärrenhet får tillgång till SSH-agenten på din lokala enhet. När du använder SSH med aktiverad agent forwarding (vanligtvis via ssh -A) kommer det att finnas två kanaler i anslutningen: din interaktiva session och en kanal för agent forwarding. Genom denna kanal kopplar den Unix-socket som skapats av din lokala SSH-agent till den fjärrenheten. Detta är en riskfylld metod, eftersom en användare med root-behörighet på den fjärrenheten kan få tillgång till din lokala SSH-agent och potentiellt utge sig för att vara dig i nätverket. Genom att använda den standardiserade SSH-agenten i Open SSH-paketet visar du inte ens att det händer. Att ha en U2F-nyckel (eller Sekey) kan hjälpa dig att effektivt blockera alla försök att utnyttja din SSH-agent utifrån.

Även med denna försiktighetsåtgärd kan det vara en bra idé att använda agent forwarding så sällan som möjligt. Använd det inte vid varje session - använd agent forwarding endast när du är säker på dess nödvändighet för den aktuella sessionen.

Avsluta en fryst session

Nätverksavbrott, okontrollerat programbeteende eller en kontrollsekvens som blockerar tangentbordsinmatning är alla möjliga orsaker till att en SSH-session kopplas bort.

Du kan avsluta en fryst session på flera sätt:

1. Automatiskt avsluta vid nätverksavbrott. Du måste lägga till följande i din .ssh/config:

   ServerAliveInterval 5
   ServerAliveCountMax 1

   ssh kommer att skicka echo till den fjärrenheten var femte ServerAliveInterval sekunder för att kontrollera anslutningen. Om mer än ServerAliveCountMax echo inte får något svar kommer ssh att avsluta anslutningen efter timeout och avsluta sessionen.

2. Koppla bort från sessionen. Som standard använder ssh tecknet ~ (tilde) som en kontrolltecken. Kommandot ~. stänger den öppna anslutningen och återför dig till terminalen. (Kontrollsekvenser kan endast skrivas in på en ny rad.) Kommandot ~? visar en fullständig lista över tillgängliga kommandon i denna session. Observera att det kan krävas att trycka på ~ två gånger på internationella tangentbord för att skriva detta tecken.

Varför inträffar det överhuvudtaget hängande sessioner? Under Internetets tidiga dagar flyttades datorer sällan. När du använder bärbara datorer och växlar mellan olika IPv4 WiFi-nätverk ändras din IP-adress. Eftersom SSH är beroende av TCP-anslutningar, som å sin sida är beroende av en ändpunkt med en stabil IP-adress, tappar dina SSH-anslutningar varje gång du växlar mellan nätverk en socketdescriptor och förloras faktiskt. När din IP-adress ändras tar det en stund för din nätverksstack att upptäcka den förlorade deskriptor. När nätverksproblem uppstår vill vi inte att en av noderna i TCP-anslutningen ska stänga den för tidigt. Därför kommer protokollet att försöka återöverföra data flera gånger innan det slutligen ger upp. Under tiden kommer sessionen i din terminal att se ut som den har stannat. IPv6 tillför flera mobilitetsrelaterade funktioner som gör det möjligt för enheten att behålla sin hemadress under nätverksbyten. Kanske kommer detta en dag inte att vara ett stort problem.

Hur man håller en konstant terminal öppen på en fjärrnod

Det finns två olika metoder för hur man kan behålla anslutningen när man växlar mellan olika nätverk eller vid önskan att koppla ifrån en stund.

1. Använd Mosh eller Eternal Terminal

Om du verkligen behöver en anslutning som inte bryts, även när du växlar mellan nätverk, använd den mobila skalen Mosh. Det är ett säkert skal som först använder SSH-handshake och sedan växlar till sin egen krypterade kanal under hela sessionen. På så sätt skapar Mosh en separat, mycket robust och säker kanal som kan klara av både internetavbrott och ändringar av din bärbara dators IP-adress, samt allvarliga nätverksavbrott och mycket mer, tack vare magin i UDP-anslutningar och den synchronisering som Mosh-protokollet tillämpar.

För att använda Mosh behöver du installera det både på klienten och servern, och öppna portarna 60000-61000 för osäker UDP-trafik till din fjärrvärd. I framtiden räcker det att använda mosh user@server.

Mosh arbetar på nivån av skärmar och tangenttryckningar, vilket ger det flera fördelar framför att vidarebefordra en binär ström av standard indatan och utgången mellan klienten och SSH-servern. Om vi behöver synkronisera endast skärmar och tangenttryckningar blir det mycket enklare att återfå en avbruten anslutning senare. Medan SSH buffrar och skickar allt som händer, räcker det för Mosh att bara buffra tangenttryckningar och synkronisera den senaste ramen av terminalfönstret med klienten.

2. Använda tmux

Om du vill kunna "komma och gå när du vill" och behålla en terminalsession på den fjärrnod, använd terminalmultiplexern tmux. Jag älskar tmux och använder det alltid. Om din SSH-anslutning bryts, är det tillräckligt att bara återansluta och skriva tmux attach. Dessutom har det fantastiska funktioner som in-terminalflikar och paneler, liknande flikarna i iOS-terminalen, samt möjligheten att dela terminaler med andra.

Många gillar att försköna sin tmux med Byobu, ett paket som avsevärt förbättrar användarvänligheten av tmux och lägger till många kortkommandon. Byobu följer med Ubuntu, och det är enkelt att installera på Mac via Homebrew.

Att dela en fjärrterminalsession med en vän

Ibland, när man felsöker komplexa problem på sina servrar, kan man känna för att dela en SSH-session med någon som inte är i samma rum som en själv. tmux är perfekt för sådana uppgifter! Du behöver bara följa några steg:

1. Se till att tmux är installerat på din bastionnod eller på en annan server som du planerar att arbeta med.
2. Båda måste ansluta via SSH till enheten med hjälp av ett gemensamt konto.
3. En av er måste starta tmux för att inleda tmux-sessionen.
4. Den andra måste köra tmux attach.
5. Voilà! Ni har en gemensam terminal.

Om du vill ha mer avancerade fleranvändarsessioner i tmux, prova tmate, en fork av tmux som gör det mycket enklare att ha gemensamma terminalsessioner.

Källa: habr.com