MacからYubiKeyを使用してUbuntuへSSH接続する手順をまとめる。
環境
- macOS Mojave
- Yubikey 5C: Firmware 5.2.4
- yubico-piv-tool: 1.7.0
- Ubuntu 16.04.3 LTS
必要なツールを入れる
-
https://www.yubico.com/products/services-software/download/smart-card-drivers-tools/
- ダウンロードして適当な場所へ置き、PATHを通す
brew install opensc
YubikeyをMacに接続
挙動を確認。接続に失敗しているとエラーが出る。
yubico-piv-tool -a status
PIN, PUK, Management Keyを変更・登録
Yubikeyを安全に使用するためにPIN等を独自のものに変更する必要がある。
GUIのYubikey Managerを使うとやりやすい。
デフォルトPIN/PUK
- PIN: 123456
- PUK: 12345678
CLIでやる場合
# PIN
yubico-piv-tool -a change-pin -P 123456
# PUK
yubico-piv-tool -a change-puk -P 12345678
# Management Keyを生成(48桁の英数字。ほんとはもっとちゃんと作るべき)
date | sha256sum | cut -c 1-48
# Management Keyを登録
yubico-piv-tool -a set-mgm-key
公開鍵の準備
# 秘密鍵を生成しPEMファイルを書き出す
yubico-piv-tool -s 9a -a generate -o id_rsa.pem
# 自己証明書を作成
yubico-piv-tool -a verify-pin -a selfsign-certificate -s 9a -S "/CN=SSH key/" -i public.pem -o cert.pem
# 証明書をインポート(失敗する場合はGUIのYubikey Managerを使う)
yubico-piv-tool -a import-certificate -s 9a -i cert.pem
# OpenSSH形式の公開鍵を書き出す
ssh-keygen -D opensc-pkcs11.so > id_rsa.pub
その後、 id_rsa.pub をサーバの authorized_keys へ登録する。
SSH接続
以下で接続できることを確認。途中、先ほど登録したPINを入力する。
ssh -I opensc-pkcs11.so ubuntu@xx.xx.xx.xx
さらに、YubikeyをMacから外して、接続ができないことを確認しておく。
~/.ssh/config の設定
Host TargetHostName
HostName xx.xx.xx.xx
User ubuntu
PKCS11Provider opensc-pkcs11.so
備考
- YubiKeyで秘密鍵を生成することで、一切YubiKeyの外に秘密鍵を出さずに公開鍵認証によるSSHが実現可能
- MacがYubiKeyを認識しない場合は何度か抜き差しすると認識する場合がある