Die SSH-Key-Authentifizierung ist die Anmeldung am Server über ein Schlüsselpaar statt über ein Passwort. Der öffentliche Teil liegt auf dem Server, der private auf dem eigenen Rechner. Der Server stellt eine Aufgabe, die nur mit dem privaten Teil zu lösen ist.
- SSH-Key-Authentifizierung
Anmeldung am Server über ein Schlüsselpaar statt über ein Passwort.
Beispiel: „Nach der Umstellung auf SSH-Key-Authentifizierung wurde die Passwortanmeldung abgeschaltet.“Auch: Public-Key-Authentifizierung, Schlüsselanmeldung. Der öffentliche Teil steht auf dem Server in der Datei
~/.ssh/authorized_keys.Abgrenzung zum Passwort: Ein Passwort wird übertragen und lässt sich erraten. Der private Schlüssel verlässt den eigenen Rechner nie, über die Leitung geht nur der Nachweis, dass er vorhanden ist.
Wie die beiden Teile des SSH-Keys zusammenspielen
Der Server verschlüsselt eine Zufallszahl mit dem öffentlichen Teil. Entschlüsseln kann sie nur, wer den privaten hat, und genau das weist die Gegenseite nach.
Damit wird nie ein Geheimnis übertragen. Selbst wer die Verbindung mitschreibt, hat am Ende nichts in der Hand, das sich ein zweites Mal verwenden ließe.
Was den privaten Schlüssel schützt
Eine Passphrase. Sie verschlüsselt die Schlüsseldatei auf der Platte, sodass ein gestohlener Rechner nicht gleich einen offenen Serverzugang bedeutet.
Damit die Passphrase nicht bei jedem Aufruf nötig ist, hält ein Agent den entschlüsselten Schlüssel für die Sitzung. Eingegeben wird sie einmal am Tag und nicht einmal je Verbindung.
Was nach der Umstellung auf SSH-Key-Authentifizierung noch zu tun ist
Die Passwortanmeldung abschalten, sonst bleibt der alte Weg offen und mit ihm die Versuche aus dem Netz. In den Server Logs zeigt sich danach, wie viele davon täglich eintreffen.
Dazu gehört ein zweiter Schlüssel für den Fall, dass der erste verloren geht, und eine Liste, welcher Schlüssel zu welcher Person gehört. Ohne diese Liste bleibt beim Ausscheiden ein Zugang zurück.