この記事について
LPIC-102のセキュリティ分野における、sshの公開鍵認証の設定についてまとめる。
設定手順
公開鍵認証の場合、通常であれば認証のたびに秘密鍵のパスワード入力を求められる。ssh-agentによる認証では、認証におけるパスワード入力のプロセスをカットできる。
認証方式を公開鍵認証に設定（サーバー）
- /etc/ssh/sshd_config をエディタで開く
[root@localhost ~]# vi /etc/ssh/sshd_config
2.以下行のコメントアウトを外し、値を「yes」にする
PubkeyAuthentication yes
3.sshdの再起動を行う
[root@localhost ~]# systemctl restart sshd
鍵ペアの作成（クライアント）
- ssh-keygenコマンドを実行し、公開鍵と秘密鍵のペアを作成する
[root@localhost ~]# ssh-keygen
Generating public/private rsa key pair.
Enter file in which to save the key (/root/.ssh/id_rsa):
Created directory '/root/.ssh'.
Enter passphrase (empty for no passphrase):
Enter same passphrase again:
Your identification has been saved in /root/.ssh/id_rsa.
Your public key has been saved in /root/.ssh/id_rsa.pub.
The key fingerprint is:
SHA256:oiLCbH8bddiR+dOsgmmwT2ohL0YpbQpMWX7P1y6oVDs root@localhost.localdomain
The key's randomart image is:
+---[RSA 3072]----+
| |
| . o |
| + + |
| o . . o o o |
|o . o.++So.o o |
|+o * o=+=. .o |
|++* ++.Eo... |
|oo.+.+*..... |
| ..++o. . |
+----[SHA256]-----+
ssh-agentの設定に必要になるため、必ず任意のパスワードを設定する
2.ホームディレクトリの.ssh/配下に公開鍵と秘密鍵のペアが作成されたことを確認する
[root@localhost ~]# ll ~/.ssh/
合計 8
-rw------- 1 root root 2655 4月 10 15:46 id_rsa
-rw-r--r-- 1 root root 580 4月 10 15:46 id_rsa.pub
サーバーに公開鍵を配布
- どうにかして、クライアント側で作成した公開鍵を、サーバーに配布する。
メディア経由による配布が理想のよう。
注意しなければならないのは、他方へ鍵を渡す際の方法です。 暗号化されていないネットワーク上をFTP やメールなどで渡すのは最も危険であり、暗号化されているSCP やSFTP の利用も望ましいものではありません。 鍵を渡す際には、ネットワークを一切経由しないメディア経由が最も安全です。 但し、鍵を渡した後にメディア（FD など）を紛失したならば意味はありませんので、メディア内の鍵を厳重に保管するなどの対策が必要です。
参考：鍵配布の注意点
2.どうにかして、サーバーに配布した公開鍵を~/.ssh/authorized_keysとしてコピーする
ssh-agentの設定（クライアント）
- ssh-agentを起動する
ssh-agent bash
ssh-agentコマンドをそのまま実行すると、サービスに必要な環境変数を表示する。引数にシェルを指定することで、子シェルのスコープ内でのみ必要な環境変数が定義される。子シェルが終了すると、ssh-agentは停止し環境変数の設定も消える。
2.ssh-agentの環境変数を確認する
[root@localhost ~]# ssh-agent
SSH_AUTH_SOCK=/tmp/ssh-2Eefr3kjLdQ4/agent.5739; export SSH_AUTH_SOCK;
SSH_AGENT_PID=5740; export SSH_AGENT_PID;
echo Agent pid 5740;
SSH_AUTH_SOCK：ssh-agentとssh-add＆sshのプロセス間インターフェースが定義されている
SSH_AGENT_PID：ssh-agentが起動してる子シェルのプロセスID
3.ssh-addコマンドでssh-agentに秘密鍵の登録を行う
鍵ペアをデフォルトパスで指定しているので、オプションは必要ない
[root@localhost .ssh]# ssh-add
Enter passphrase for /root/.ssh/id_rsa:
Identity added: /root/.ssh/id_rsa (root@localhost.localdomain)
4.登録した秘密鍵を確認する
[root@localhost .ssh]# ssh-add -l
3072 SHA256:oiLCbH8bddiR+dOsgmmwT2ohL0YpbQpMWX7P1y6oVDs root@localhost.localdomain (RSA)
ssh接続
- sshコマンドでクライアントからサーバーにssh接続を行う
接続をするか否か問われるが、yesで問題ない
[root@localhost .ssh]# ssh root@10.2.149.12 cat ~/.ssh/authorized_keys
The authenticity of host '10.2.149.12 (10.2.149.12)' can't be established.
ECDSA key fingerprint is SHA256:HdTXkO5LG3T53IYrNLpWe5oXk2gSJDuFyyTrGMstKTc.
Are you sure you want to continue connecting (yes/no/[fingerprint])? yes
Warning: Permanently added '10.2.149.12' (ECDSA) to the list of known hosts.
ssh-rsa AAAAB3NzaC1yc2EAAAADAQABAAABgQCtW5Ucl1BjAi3HGgs+IJr/aq4pCDARQxN/54VKeEwL1NJaGH6Q06RKVnj+8LvfYyKeXpKjTDtX7IWUZmQ3m9rCLwcqGdpAPFQoUgef3OUdEplnAxL3Gp1zQrhkRC7bfBS3ytsDHmD4FeZSyvJq3NGTOtTHSDPsLILZM2WY3XPHNa1a8m8nGknmqMVT2eOY2dtqlQuZQzfynNml45fQh0YwVTiNTjc5Yu+WZBSUHcTbFTbBhyTklX/BKVHdV/1/+F1PRjMLyQOI5KAM1c39dQP6NOPHKWvCaNANi9m2Dttdtl9s6ctjaQuczQX8yofrFXtsrisEVfX6Zm7id6zfPmbt9gZdO4KiwEMlFMq32ZURDoCbShoHoVlRdIJdpBNoYN1BhKKPAHCgMjeFXnGFfcdaNXlegYbajvJ0jMbxnxytUUEY39kYFcPSCS0mqF11nGeL7+1XIz99F+nzGLLjPrHBqwkq6BTRKlOHD/wgz2+x2Gd/bkN72U1CQHdADvdnLrk= root@localhost.localdomain
ssh接続時、sshサーバーはクライアントに自身の公開鍵を送信する。クライアントは、受け取った公開鍵と~/.ssh/known_hostsファイルに格納されているsshサーバーの公開鍵を比べることで、正しいホストかどうかを検証する。今回は初めての接続であり、~/.ssh/known_hostsファイルに接続先sshサーバーの公開鍵が格納されていなかったことが原因でwarが表示されている。
参考：当エラーについて
2.再接続してみる
ssh-agentにより、秘密鍵のパスフレーズを入力せずにログインができた、以上。
[root@localhost .ssh]# ssh root@10.2.149.12
Last login: Thu Apr 10 15:04:43 2025 from 10.0.15.101