Как сгенерировать ssh-ключи в Linux

Обновлено: 21.11.2024

Ключи SSH можно использовать для установки безопасного соединения с Bitbucket Data Center and Server для:

когда вы выполняете операции Git с локального компьютера
когда другой системе или процессу требуется доступ к репозиториям в Bitbucket (например, вашему серверу сборки)

Ключ SSH необходимо добавить в Bitbucket, и ваш администратор Bitbucket должен включить доступ SSH к репозиториям Git, прежде чем вы сможете использовать этот ключ.

Bitbucket поддерживает типы ключей DSA, RSA2 и Ed25519. RSA1 не поддерживается

Вы можете использовать существующий ключ SSH с Bitbucket, если хотите, и в этом случае вы можете сразу перейти либо к ключам пользователя SSH для личного использования, либо к ключам доступа SSH для использования в системе.

На этой странице:

Похожие страницы:

Создание ключа SSH в Windows

1. Проверить существующие ключи SSH

Вы должны проверить наличие существующих ключей SSH на локальном компьютере. Вы можете использовать существующий ключ SSH с Bitbucket, если хотите, и в этом случае вы можете сразу перейти к ключу пользователя SSH для личного использования или ключу доступа SSH для использования в системе.

Откройте командную строку и выполните:

Если вы видите сообщение "Нет такого файла или каталога", значит ключей нет: перейдите к шагу 3.

Проверьте, есть ли у вас ключ:

Если есть существующие ключи, вы можете использовать их: перейдите либо к ключам пользователя SSH для личного использования, либо к ключам доступа SSH для системного использования.

2. Резервное копирование старых ключей SSH

Если у вас есть существующие ключи SSH, но вы не хотите использовать их при подключении к Bitbucket, вам следует создать их резервную копию.

В командной строке на локальном компьютере запустите:

3. Создайте новый SSH-ключ

Если у вас нет существующего ключа SSH, который вы хотите использовать, создайте его следующим образом:

В командной строке запустите:

Связывание ключа с вашим адресом электронной почты поможет вам идентифицировать ключ позже.

Обратите внимание, что команда ssh-keygen доступна только в том случае, если вы уже установили Git (с Git Bash).
Вы увидите примерно такой ответ:

Введите и повторите ввод парольной фразы при появлении запроса. Все взаимодействие будет выглядеть примерно так:

Создание ключа SSH в Linux и macOS

1. Проверить существующие ключи SSH

Вы должны проверить наличие существующих ключей SSH на локальном компьютере. Вы можете использовать существующий ключ SSH с Bitbucket, если хотите, и в этом случае вы можете сразу перейти к ключам пользователя SSH для личного использования или ключам доступа SSH для использования в системе.

Откройте терминал и выполните следующее:

перейдите к шагу 3.

Проверьте, есть ли у вас ключ:

2. Резервное копирование старых ключей SSH

Сделайте это в терминале на локальном компьютере, запустив:

3. Создать новый ключ

Если у вас нет существующего ключа SSH, который вы хотите использовать, создайте его следующим образом:

Откройте терминал на локальном компьютере и введите следующее:

Связывание ключа с вашим адресом электронной почты поможет вам идентифицировать ключ позже.

Вы увидите примерно такой ответ:

Введите парольную фразу, а затем повторите ее при появлении запроса.
Все взаимодействие будет выглядеть примерно так:

После того, как вы проверили существующие ключи SSH, вы можете сгенерировать новый ключ SSH для аутентификации, а затем добавить его в ssh-agent.

О создании ключа SSH

Если у вас еще нет ключа SSH, необходимо создать новый ключ SSH для аутентификации. Если вы не уверены, есть ли у вас ключ SSH, вы можете проверить наличие существующих ключей. Дополнительные сведения см. в разделе «Проверка существующих ключей SSH».

Если вы хотите использовать аппаратный ключ безопасности для аутентификации на GitHub, вам необходимо сгенерировать новый ключ SSH для вашего аппаратного ключа безопасности. Вы должны подключить свой аппаратный ключ безопасности к компьютеру при аутентификации с помощью пары ключей. Дополнительные сведения см. в примечаниях к выпуску OpenSSH 8.2.

Если вы не хотите повторно вводить парольную фразу каждый раз, когда используете ключ SSH, вы можете добавить свой ключ в агент SSH, который управляет вашими ключами SSH и запоминает вашу парольную фразу.

Создание нового ключа SSH

Открыть Терминал Терминал Git Bash.

Вставьте приведенный ниже текст, заменив его своим адресом электронной почты GitHub.

Примечание. Если вы используете устаревшую систему, которая не поддерживает алгоритм Ed25519, используйте:

При этом создается новый ключ SSH с использованием предоставленного адреса электронной почты в качестве метки.

Когда вам будет предложено "Введите файл для сохранения ключа", нажмите Enter. Это принимает расположение файла по умолчанию.

По запросу введите безопасную парольную фразу. Дополнительную информацию см. в разделе «Работа с парольными фразами SSH».

Добавление ключа SSH в ssh-agent

Прежде чем добавлять новый ключ SSH в ssh-agent для управления вашими ключами, вы должны проверить наличие существующих ключей SSH и сгенерировать новый ключ SSH. При добавлении ключа SSH в агент используйте команду ssh-add по умолчанию для macOS, а не приложение, установленное macports, homebrew или каким-либо другим внешним источником.

Запустите ssh-агент в фоновом режиме.

В зависимости от вашей среды вам может понадобиться использовать другую команду. Например, вам может понадобиться использовать root-доступ, запустив sudo -s -H перед запуском ssh-agent, или вам может понадобиться использовать exec ssh-agent bash или exec ssh-agent zsh для запуска ssh-agent.

Если вы используете macOS Sierra 10.12.2 или более позднюю версию, вам потребуется изменить файл ~/.ssh/config, чтобы ключи автоматически загружались в ssh-agent и сохранялись пароли в цепочке ключей.

Сначала проверьте, существует ли ваш файл ~/.ssh/config в папке по умолчанию.

Если файл не существует, создайте его.

Откройте файл ~/.ssh/config, затем внесите в него следующие строки. Если ваш файл ключа SSH имеет другое имя или путь, чем пример кода, измените имя файла или путь, чтобы они соответствовали вашим текущим настройкам.

Примечание. Если вы решили не добавлять кодовую фразу к своему ключу, вам следует опустить строку UseKeychain.

Примечание. Если вы видите такую ошибку

добавьте дополнительную строку конфигурации в раздел Host *:

Добавьте свой закрытый ключ SSH в ssh-agent и сохраните парольную фразу в цепочке ключей. Если вы создали свой ключ с другим именем или если вы добавляете существующий ключ с другим именем, замените id_ed25519 в команде на имя файла вашего закрытого ключа.

Примечание. Параметр -K — это стандартная версия Apple ssh-add , которая сохраняет парольную фразу в вашей цепочке ключей, когда вы добавляете ключ SSH в ssh-agent. Если вы решили не добавлять парольную фразу к своему ключу, запустите команду без параметра -K.

Если у вас не установлена стандартная версия Apple, вы можете получить сообщение об ошибке. Дополнительные сведения об устранении этой ошибки см. в разделе «Ошибка: ssh-add: недопустимая опция — K».

В MacOS Monterey (12.0) флаги -K и -A устарели и заменены флагами --apple-use-keychain и --apple-load-keychain соответственно.

Добавьте ключ SSH в свой аккаунт на GitHub. Дополнительные сведения см. в разделе «Добавление нового ключа SSH в вашу учетную запись GitHub».

Если у вас установлен GitHub Desktop, вы можете использовать его для клонирования репозиториев, а не для работы с ключами SSH.

Убедитесь, что агент ssh запущен. Вы можете воспользоваться инструкциями «Автозапуск ssh-agent» в разделе «Работа с парольными фразами SSH» или запустить его вручную:

Добавьте свой закрытый ключ SSH в ssh-agent. Если вы создали свой ключ с другим именем или если вы добавляете существующий ключ с другим именем, замените id_ed25519 в команде на имя файла вашего закрытого ключа.

Запустите ssh-агент в фоновом режиме.

Создание нового ключа SSH для аппаратного ключа безопасности

Если вы используете macOS или Linux, вам может потребоваться обновить клиент SSH или установить новый клиент SSH перед созданием нового ключа SSH. Дополнительные сведения см. в разделе «Ошибка: неизвестный тип ключа».

Вставьте аппаратный ключ безопасности в свой компьютер.

Открыть Терминал Терминал Git Bash.

Вставьте приведенный ниже текст, заменив адрес электронной почты своей учетной записи на GitHub.

Примечание. Если команда завершается сбоем и вы получаете сообщение об ошибке недопустимый формат или функция не поддерживается, возможно, вы используете аппаратный ключ безопасности, который не поддерживает алгоритм Ed25519. Вместо этого введите следующую команду.

При появлении запроса нажмите кнопку на аппаратном ключе безопасности.

Когда вам будет предложено "Введите файл, в котором нужно сохранить ключ", нажмите Enter, чтобы принять расположение файла по умолчанию.

Когда вам будет предложено ввести кодовую фразу, нажмите Enter.

"О SSH"
"Работа с парольными фразами SSH"
"Авторизация ключа SSH для использования с единым входом SAML" в документации GitHub Enterprise Cloud

Помогите нам сделать эти документы лучше!

Все документы GitHub имеют открытый исходный код. Видите что-то неправильное или непонятное? Отправьте запрос на вытягивание.

Эта страница посвящена версии ssh-keygen для OpenSSH. Информацию о Tectia SSH см. здесь. Если вы хотите сгенерировать ключи для PuTTY, см. PuTTYgen в Windows или PuTTYgen в Linux.

Содержание

Что такое ssh-keygen?

Ssh-keygen — это инструмент для создания новых пар ключей аутентификации для SSH. Такие пары ключей используются для автоматизации входа в систему, единого входа и аутентификации хостов.

Ключи SSH и аутентификация с открытым ключом

Протокол SSH использует криптографию с открытым ключом для аутентификации хостов и пользователей. Ключи аутентификации, называемые ключами SSH , создаются с помощью программы keygen.

SSH представила аутентификацию с открытым ключом как более безопасную альтернативу старой аутентификации .rhosts. Это повысило безопасность, избавив от необходимости хранить пароль в файлах и устранив возможность кражи пароля пользователя взломанным сервером.

Однако ключи SSH являются учетными данными для аутентификации точно так же, как и пароли. Таким образом, ими нужно управлять примерно так же, как именами пользователей и паролями. У них должен быть надлежащий процесс закрытия, чтобы ключи удалялись, когда они больше не нужны.

Создание пары ключей SSH для аутентификации пользователя

Самый простой способ сгенерировать пару ключей — запустить ssh-keygen без аргументов. В этом случае он запросит файл для хранения ключей. Вот пример:

Сначала инструмент спросил, где сохранить файл. Ключи SSH для аутентификации пользователя обычно хранятся в каталоге пользователя .ssh в домашнем каталоге. Однако в корпоративных средах расположение часто отличается. Имя файла ключа по умолчанию зависит от алгоритма, в данном случае id_rsa при использовании алгоритма RSA по умолчанию. Это также может быть, например, id_dsa или id_ecdsa .

Затем он просит ввести кодовую фразу . Парольная фраза используется для шифрования ключа, поэтому ее нельзя использовать, даже если кто-то получит файл закрытого ключа. Парольная фраза должна быть криптографически стойкой. Наш онлайн-генератор случайных паролей — один из возможных инструментов для создания надежных паролей.

Выбор алгоритма и размера ключа

SSH поддерживает несколько алгоритмов открытого ключа для ключей аутентификации. К ним относятся:

rsa — старый алгоритм, основанный на сложности факторизации больших чисел. Для RSA рекомендуется размер ключа не менее 2048 бит; 4096 бит лучше. RSA устаревает, а в факторинге делаются значительные успехи. Может быть целесообразным выбор другого алгоритма. Вполне возможно, что в обозримом будущем алгоритм RSA станет практически взломанным. Все клиенты SSH поддерживают этот алгоритм.

dsa – старый алгоритм цифровой подписи правительства США. Он основан на сложности вычисления дискретных логарифмов. Обычно с ним используется размер ключа 1024. DSA в исходном виде больше не рекомендуется.

ecdsa – новый алгоритм цифровой подписи, стандартизированный правительством США и использующий эллиптические кривые. Вероятно, это хороший алгоритм для текущих приложений. Поддерживаются только три размера ключа: 256, 384 и 521 (sic!) бит. Мы бы рекомендовали всегда использовать его с 521 битом, так как ключи все еще маленькие и, вероятно, более безопасные, чем ключи меньшего размера (хотя они также должны быть безопасными). Большинство клиентов SSH теперь поддерживают этот алгоритм.

ed25519 — это новый алгоритм, добавленный в OpenSSH. Поддержка его в клиентах пока не универсальна. Таким образом, его использование в приложениях общего назначения пока нецелесообразно.

Алгоритм выбирается с помощью параметра -t, а размер ключа — с помощью параметра -b. Следующие команды иллюстрируют:

Указание имени файла

Обычно инструмент запрашивает файл, в котором нужно сохранить ключ. Однако его также можно указать в командной строке с помощью параметра -f.

Копирование открытого ключа на сервер

Чтобы использовать аутентификацию с открытым ключом, открытый ключ необходимо скопировать на сервер и установить в файл author_keys. Это удобно сделать с помощью инструмента ssh-copy-id. Вот так:

После того как открытый ключ будет настроен на сервере, сервер позволит любому подключающемуся пользователю, у которого есть закрытый ключ, войти в систему. В процессе входа в систему клиент подтверждает владение закрытым ключом, подписывая цифровую подпись при обмене ключами.

Добавление ключа в агент SSH

ssh-agent – это программа, которая может хранить закрытый ключ пользователя, поэтому парольную фразу для закрытого ключа нужно указать только один раз. Соединение с агентом также можно перенаправить при входе на сервер, что позволяет командам SSH на сервере использовать агент, работающий на рабочем столе пользователя.

Дополнительную информацию об использовании и настройке агента SSH см. на странице ssh-agent.

Создание ключей хоста

Этот инструмент также используется для создания ключей аутентификации хоста. Ключи хоста хранятся в каталоге /etc/ssh/.

Ключи хоста — это обычные пары ключей SSH. Каждый хост может иметь один ключ хоста для каждого алгоритма. Ключи хоста почти всегда хранятся в следующих файлах:

Ключи хоста обычно генерируются автоматически при установке сервера SSH. Их можно регенерировать в любое время. Однако, если ключи хоста изменены, клиенты могут предупредить об изменении ключей. Об измененных ключах также сообщается, когда кто-то пытается выполнить атаку «человек посередине». Таким образом, не рекомендуется обучать ваших пользователей слепо принимать их. Таким образом, изменение ключей лучше всего выполнять с помощью инструмента управления ключами SSH, который также изменяет их на клиентах, или с помощью сертификатов.

Использование сертификатов X.509 для аутентификации хоста

OpenSSH не поддерживает сертификаты X.509. Tectia SSH поддерживает их. Сертификаты X.509 широко используются в крупных организациях, поскольку позволяют легко менять ключи хоста на периодической основе, избегая при этом ненужных предупреждений от клиентов. Они также позволяют использовать строгую проверку ключа хоста, что означает, что клиенты сразу откажутся от подключения, если ключ хоста изменился.

Использование собственных сертификатов OpenSSH

OpenSSH имеет собственный собственный формат сертификата, который можно использовать для подписи сертификатов хоста или сертификатов пользователей. Что касается аутентификации пользователей, отсутствие высоконадежных центров сертификации в сочетании с невозможностью проверить, кто может получить доступ к серверу, путем проверки сервера, заставляет нас не использовать сертификаты OpenSSH для аутентификации пользователей.

Однако сертификаты OpenSSH могут быть очень полезны для проверки подлинности сервера и дают те же преимущества, что и стандартные сертификаты X.509. Однако им нужна собственная инфраструктура для выдачи сертификатов. Дополнительную информацию об аутентификации сертификата см. .

Управление ключами требует внимания

Новые ключи SSH легко создавать и настраивать. В конфигурации по умолчанию OpenSSH позволяет любому пользователю настраивать новые ключи. Ключи представляют собой постоянные учетные данные для доступа, которые остаются в силе даже после удаления учетной записи пользователя.

В организациях с несколькими десятками пользователей ключи SSH с годами легко накапливаются на серверах и в сервисных аккаунтах. Мы видели предприятия с несколькими миллионами ключей, предоставляющих доступ к своим производственным серверам. Для получения доступа достаточно одного утекшего, украденного или неправильно сконфигурированного ключа.

В любой крупной организации практически необходимо использовать решения для управления ключами SSH. Ключи SSH также должны быть перемещены в места, принадлежащие root, с надлежащими процессами подготовки и завершения. Дополнительные сведения см. в разделе, как управлять ключами SSH. Широко используемым инструментом управления ключами SSH для OpenSSH является Universal SSH Key Manager.

Практически все нормативно-правовые акты по кибербезопасности требуют управления тем, кто и к чему имеет доступ. Ключи SSH предоставляют доступ и подпадают под это требование. Это означает, что организации в соответствии с мандатами должны внедрить надлежащие процессы управления ключами. NIST IR 7966 — хорошая отправная точка.

Убедитесь, что случайности достаточно

Важно обеспечить достаточную непредсказуемую энтропию в системе при создании ключей SSH. Были случаи, когда тысячи устройств в Интернете использовали один и тот же ключ хоста, когда они были неправильно настроены для генерации ключа без надлежащей случайности.

Системы общего назначения

На компьютерах общего назначения случайное генерирование ключей SSH обычно не является проблемой. Это может быть проблемой при первоначальной установке SSH-сервера и создании ключей хоста, и обычно об этом нужно беспокоиться только тем, кто создает новые дистрибутивы Linux или установочные пакеты SSH.

Мы рекомендуем собирать случайные данные во время всей установки операционной системы и сохранять эти случайные данные в случайном начальном файле. Затем загрузите систему, соберите еще немного рандома во время загрузки, подмешайте сохраненный рандом из сид-файла и только потом сгенерируйте ключи хоста. Это позволяет максимально использовать доступную случайность. И убедитесь, что файл случайного начального числа периодически обновляется, в частности убедитесь, что он обновляется после создания ключей хоста SSH.

Многие современные ЦП общего назначения также имеют аппаратные генераторы случайных чисел. Это очень помогает с этой проблемой. Лучше всего собирать некоторую энтропию другими способами, по-прежнему хранить ее в случайном начальном файле и подмешивать некоторую энтропию из аппаратного генератора случайных чисел. Таким образом, даже если один из них каким-то образом скомпрометирован, другой источник случайности должен обеспечить безопасность ключей.

Встроенные устройства и Интернет вещей

Доступная энтропия может стать серьезной проблемой для небольших устройств Интернета вещей, которые мало чем занимаются в системе.У них может просто не быть механической случайности из-за времени механического перемещения диска, прерываний, вызванных пользователем, или сетевого трафика. Кроме того, встроенные устройства часто работают на младших процессорах, которые могут не иметь аппаратного генератора случайных чисел.

Мы рекомендуем, чтобы такие устройства имели аппаратный генератор случайных чисел. Если у ЦП его нет, его следует встроить в материнскую плату. Стоимость довольно небольшая.

Сводка команд и параметров

Вот краткий обзор наиболее часто используемых параметров инструмента для создания ключей:

-b «Биты» Эта опция указывает количество битов в ключе. Правила, регулирующие вариант использования SSH, могут требовать использования ключа определенной длины. Как правило, 2048 бит считается достаточным для ключей RSA.

-e «Экспорт» Эта опция позволяет переформатировать существующие ключи между форматом файла ключа OpenSSH и форматом, описанным в RFC 4716, «Формат файла открытого ключа SSH».

-p «Изменить парольную фразу» Эта опция позволяет изменить парольную фразу файла закрытого ключа с помощью [-P старая_парольная фраза] и [-N новая_парольная фраза], [-f ключевой файл] .

-i "Input" Когда ssh-keygen требуется для доступа к существующему ключу, эта опция назначает файл.

-f "Файл" Указывает имя файла, в котором будет храниться созданный ключ.

-N "Новый" Предоставляет новую парольную фразу для ключа.

-P "Парольная фраза" Предоставляет (старую) парольную фразу при чтении ключа.

-c "Комментарий" Изменяет комментарий к ключевому файлу.

-p Изменить парольную фразу файла закрытого ключа.

-q Отключить ssh-keygen.

-v Подробный режим.

-l "Fingerprint" Напечатать отпечаток указанного открытого ключа.

-B "Bubble babble" Показывает отпечаток ключевого файла в виде "пузыря" (формат Tectia).

-F Поиск указанного имени хоста в файле known_hosts.

-R Удалить все ключи, принадлежащие имени хоста, из файла known_hosts.

-y Прочитать частный файл формата OpenSSH и вывести открытый ключ OpenSSH на стандартный вывод.

Здесь перечислены только наиболее часто используемые параметры. Для полного использования, включая более экзотические и специальные параметры, используйте команду man ssh-keygen.

Вместе с нашими клиентами наша миссия состоит в том, чтобы защитить их цифровой бизнес в локальных, облачных и гибридных экосистемах экономически эффективно, в любом масштабе и без сбоев в их работе или непрерывности бизнеса.

Чтобы получить доступ к своим экземплярам службы вычислительных ресурсов с помощью SSH, создайте пару ключей SSH, свяжите открытый ключ с вашими экземплярами и используйте закрытый ключ для входа в экземпляры с помощью SSH.

Держите свои ключи SSH в безопасности. Установите политики, чтобы гарантировать, что ключи не будут потеряны или скомпрометированы, когда сотрудники увольняются из организации или переходят в другие отделы. Если вы потеряете свой закрытый ключ, вы не сможете получить доступ к своим экземплярам. Для обеспечения непрерывности бизнеса убедитесь, что в ваши экземпляры добавлены ключи SSH как минимум двух администраторов ИТ-систем.

Создание пары ключей SSH в UNIX и UNIX-подобных системах

Используйте следующую процедуру для создания пары ключей SSH в UNIX и UNIX-подобных системах:

Выполните команду ssh-keygen.

Вы можете использовать параметр -t, чтобы указать тип создаваемого ключа.

Например, чтобы создать ключ RSA, выполните:

Вы можете использовать параметр -b, чтобы указать длину (разрядность) ключа, как показано в следующем примере:

Команда предложит вам ввести путь к файлу, в котором вы хотите сохранить ключ.

Путь по умолчанию и имя файла предлагаются в скобках. Например: /home/имя_пользователя / .ssh/id_rsa. Чтобы принять путь и имя файла по умолчанию, нажмите Enter . В противном случае введите требуемый путь и имя файла, а затем нажмите Enter .

Команда предлагает ввести парольную фразу.

Парольная фраза не является обязательной, если вы хотите войти в экземпляр, созданный с использованием образа, предоставленного Oracle. Однако рекомендуется указать парольную фразу, чтобы защитить закрытый ключ от несанкционированного использования.

Для некоторых изображений, размещенных на Oracle Marketplace, использование парольной фразы может быть обязательным.

Эта команда создает пару ключей SSH, состоящую из открытого и закрытого ключей, и сохраняет их по указанному пути. Имя файла открытого ключа создается автоматически путем добавления .pub к имени файла закрытого ключа. Например, если имя файла закрытого ключа SSH — id_rsa, имя файла открытого ключа — id_rsa.pub.

Запишите путь и имена файлов закрытого и открытого ключей. При создании экземпляра необходимо указать значение открытого ключа SSH. При входе в экземпляр необходимо указать путь к соответствующему закрытому ключу SSH и при появлении запроса ввести парольную фразу.

Создание пары ключей SSH в Windows

Вы можете сгенерировать пару ключей SSH на компьютере с Microsoft Windows с помощью такого приложения, как PuTTY. См. руководство Создание ключей SSH для использования с Oracle Cloud Services.

Читайте также: