16. OPENSSH

• Que la máquina local admita conexiones entrantes

▪ La opción -C (mayúscula) comprime el tráfico. En conexiones rápidas es conveniente omitir esta opción

Además de para abrir una sesión en una máquina remota, ssh permite la ejecución de una única orden en la máquina remota

▪ ssh jperez@alpha ls

Ejecuta ls en la máquina remota. Muestra en la máquina local el stdout.

▪ ssh jperez@alpha 'echo hola > /tmp/prueba'

Ejecuta en alpha

echo hola > /tmp/prueba

▪ ssh jperez@alpha “echo $HOSTNAME > /tmp/prueba”
Al poner comilla doble, la variable se expande en la máquina local. La orden completa, redirección incluida, se ejecuta en la máquina remota

▪ ssh jperez@alpha echo $HOSTNAME > /tmp/prueba
Al no poner comilla, la variable se expande en la máquina local. El resultado se redirige al fichero /tmp/prueba de la máquina local

▪ ssh jperez@alpha 'echo $HOSTNAME > /tmp/prueba'
Al poner comilla simple y recta, la variable se expande en la máquina remota

Generación de claves

Para evitar teclear contraseña en cada ssh, podemos autentificarnos con claves asimétricas

Una vez configurado para ssh, también queda configurado para los servicios que corren sobre este (scp, sshfs)

▪ Se generan con ssh-keygen

▪ Se puede añadir una pass phrase. Es una contraseña adicional, tradicional. Pero no viaja por la red. Equivalente a la llave del armario de las llaves

Un usuario genera sus claves ejecutando en su home (de la máquina local) la orden ssh-keygen

▪ rsa:

orden para generar las claves:
   ssh-keygen -t rsa
fichero donde quedará (por omisión) la clave privada:
   ~/.ssh/id_rsa
fichero donde quedará (por omisión) la clave pública:
   ~/.ssh/id_rsa.pub

▪ ed25519:

orden generar las claves:
   ssh-keygen -t ed25519
fichero donde quedará (por omisión) la clave privada:
   ~/.ssh/id_ed25519
fichero donde quedará (por omisión) la clave publica:
   ~/.ssh/id_ed25519.pub

Para poder entrar en máquina remota sin emplear contraseña, llevamos la clave pública a la máquina remota, y la escribimos en el fichero

▪ ~/.ssh/authorized_keys   (Redhat, Debian)

▪ /etc/dropbear/authorized_keys   (OpenWrt)

Este fichero (de la máquina remota) en principio no existe

▪ La primera vez que añadamos una clave, podemos renombrar el fichero con la clave pública para que pase a llamarse authorized_keys

▪ Si posteriormente añadimos otras claves públicas, las pegamos inmediatamente después de las que ya existan, usando un editor de texto o una redirección de la shell

Permisos

Es necesario que el directorio ~/.ssh (local y remoto):

▪ Tenga el dueño y el grupo del usuario

▪ Tenga permisos 700

▪ Contenga todos sus ficheros con permisos 600

▪ Todos sus ficheros pertenezcan al usuario y tengan como grupo el del usuario

Es necesario que en mi home solo yo pueda escribir

▪ En OpenWrt, también es necesario que /etc/dropbear/authorized_keys tenga permisos 600

▪ En Docker, en la máquina donde corre el servidor es necesario configurar el demonio:
echo “IdentityFile ~/.ssh/id_ed25519” >> /etc/ssh/ssh_config

O bien
echo “IdentityFile ~/.ssh/id_rsa” >> /etc/ssh/ssh_config

ssh-copy-id

Se puede usar la orden ssh-copy-id, que se encarga de

▪ Copiar la clave pública a la máquina remota

▪ Crear authorized_keys si no existe

▪ Cambiar todos los permisos
ssh-copy-id [-i [identity_file]]     [user@]machine
Ejemplo:
ssh-copy-id -i id_ed25519.pub        jperez@iota34

Ejemplo: Configuración típica

Una clave privada distinta para cada uno de mis ordenadores

▪ Soy jperez, a veces trabajo localmente en pc-casa, a veces trabajo localmente en pc-oficina

▪ Desde ambos sitios quiero entrar en pc-remoto

▪ Desde casa entro en la oficina

▪ Desde la oficina, entro en casa

▪ Creo una clave privada jperez@pc-casa

▪ Creo una clave privada jperez@pc-oficina

▪ En el authorized_keys de pc-remoto:
concateno claves públicas de jperez@pc-casa y jperez@pc-oficina

▪ En el authorized_keys de pc-casa
Escribo la clave pública de jperez@pc-oficina

▪ En el authorized_keys de pc-oficina
Escribo la clave pública de jperez@pc-casa

Ejemplo: Configuración alternativa

La misma clave para todos mis ordenadores

Aunque a las claves se les pone por omisión una etiqueta usuario@máquina (que aparece como comentario al final de la clave), solo es un comentario orientativo, una misma clave privada puede usarse desde distintas máquinas

▪ Creo una clave privada jperez, y la copio en pc-casa y en pc-oficina

▪ En el authorized_keys de pc-casa, de pc-oficina y de pc-remoto escribo la clave pública de jperez

Este enfoque es menos flexible y menos seguro

Es posible usar varias claves privadas (cada una en su fichero), basta indicar a ssh cuál (o cuáles) debe emplear

ssh jperez@alpha
  # intenta autenticarse con ~/.ssh/id_rsa o ~/.ssh/id_ed25519
  # (clave por omisión)

ssh -i ~/.ssh/id_alumno alumno@pc01 #
  # lo intenta con id_alumno y con la clave por omisión

ssh -i ~/.ssh/id_alumno -i ~/.ssh/id_profe alumno@pc01
  # lo intenta con id_alumno, con id_profe y con la clave por omisión

scp también admite la opción -i
    scp -i ~/.ssh/id_alumno alumno@pc01:/tmp/test .

(sshfs no admite la opción -i)

ssh-agent

La manera habitual de autentificarse es mediante el demonio ssh-agent

▪ ssh-agent contestará por nosotros, gestionando retos y repuestas cifrados

▪ ssh-agent tiene que ser el padre de nuestra shell, o nuestra sesión x