作为软件开发人员,我们可能需要经常使用 SSH 密钥。 进行系统管理或将提交推送到 GitHub 或 GitLab 等源代码控制被认为是通过 SSH 使用公钥身份验证而不是密码的最佳实践。

而且因为我们在此学习路径中同时进行(服务器管理和将代码移动到源代码控制存储库),我们应该首先设置自己的 SSH 密钥。 如果大家已经有一个现有的密钥,请不要立即跳过并先阅读下一部分。

DSA 和 RSA 1024 已过时!

大家是否已有 SSH 密钥? 好吧,酷!

时光荏苒,SSH 密钥已过时。 如果大家很久以前生成了 SSH 密钥,则各位的密钥可能很弱,并且与远程系统的开放式不安全连接。 大家可能很幸运远程系统拒绝 DSA 或 RSA 1024 密钥,但不能依赖它。

检查 SSH 密钥

使用以下命令验证 SSH 密钥的强度。 它希望我们的 SSH 密钥位于 ~/.ssh 文件夹中。 我们应该能够在 Mac 和 Linux 上执行以下命令而不会出现任何问题。 在 Windows 上,我们可以使用“Git Bash”来支持所需的关键字。

for keyfile in ~/.ssh/id_*; do ssh-keygen -l -f "${keyfile}"; done | uniq  

输出可能如下所示:

4096 SHA256:0wGMlgS9ZM/bH0A0E1VTIOqw9eFt3RF5wOxb5hCAqgQ marcus@email.com (RSA)  
4096 SHA256:qkyWBs354/tMXxryQnV9V2zVC6/7q6SsZW8Ycp/W15E Marcus@MXC-NB04 (RSA)  

注意:此命令搜索文件名以 id_ 开头的 SSH 密钥。 如果我们的键不以该前缀开头,请调整命令。 例如,使用上面的命令将找不到名为 github 的密钥。

像这样验证我们的输出:

  • DSA 或 RSA 1024 位:不安全! 绝对是一个危险信号。
  • RSA 2048:黄旗,我们应该更新密钥
  • RSA 3072/4096:没问题。 Ed25519有一些好处!
  • ECDSA:你最好改变。
  • Ed25519:安全着陆。 如果你正在使用这个:你很幸运。

在我的机器上,我设置了多个键。 运行命令来验证所有密钥会输出如下结果:

$ for keyfile in ~/.ssh/id_*; do ssh-keygen -l -f "${keyfile}"; done | uniq

256 SHA256:M1N2O3P4 139823321@qq.local (ED25519)  
2048 SHA256:A/bcde jiyik_onmpw@163.com (RSA)  
4096 SHA256:abcde jiyik_onmpw@126.com (RSA)  

应用上面的指标,我需要关注 2048 位的 RSA 密钥。 中期,至少升级到 RSA 4096 或更好地升级到 Ed25519 要安全得多。

请注意第一个 256 位的密钥。 一开始你可能会想:嗯,把它放在验证选项列表的哪里,没有256位? 在这里,我们必须检查行尾的密钥类型:ED25519。 可以映射密钥类型,使用此密钥绝对安全 🙂

如果我们使用的是 DSA 或 RSA 1024 密钥,请考虑升级! 此学习路径的目标是在生产环境中安全地自行托管自己的 Node.js 应用程序。 我们希望自己的应用程序是安全的,并且需要先从自己的机器开始。 下一节将向大家展示如何生成新的安全 SSH 密钥。


生成 SSH 密钥

在生成新密钥对期间,系统会要求我们输入密码。 此密码用于加密我们的私钥。 如果我们丢失了私钥,这应该可以保护其他人不会因为强密码而冒充我们。 确保选择的密码不容易暴力破解。

SSH 密钥生成器允许使用两种选项来抵御暴力破解密码:使用新的 RSA 密钥格式和由 bcrypt 提供支持的最新密钥派生功能。 Bcrypt 是一个密码散列函数,包含一个 salt(随机字符串)来保护我们的实际密码免受暴力攻击。

ssh-keygen -o -a 100 -t ed25519

生成ssh密钥

运行 ssh-keygen 时,为新的 RFC4716 密钥格式应用 -o 选项,并将 bcrypt 作为现代密钥生成函数。 -a <num> 选项指定轮数。 使用 -t <name> 定义密钥创建方式。

在生成新密钥对时,系统会要求我们提供密码。 这是我们的密码管理器第一次展示其实力的机会。 我们无需记住的自动生成的密码。

新生成的 SSH 密钥对位于显示的目录中。 在我的例子中,它是 /Users/jiyik/.ssh/id_ed25519 。 现有的 SSH 密钥在 ~/.ssh 中的新密钥旁边。

太好了,我们已经更新或创建了最新的 SSH 密钥对。 现在我们的系统已准备好使用 SSH 安全地打开和使用与其他系统的远程连接。

免责声明:
1.本站所有内容由本站原创、网络转载、消息撰写、网友投稿等几部分组成。
2.本站原创文字内容若未经特别声明,则遵循协议CC3.0共享协议,转载请务必注明原文链接。
3.本站部分来源于网络转载的文章信息是出于传递更多信息之目的,不意味着赞同其观点。
4.本站所有源码与软件均为原作者提供,仅供学习和研究使用。
5.如您对本网站的相关版权有任何异议,或者认为侵犯了您的合法权益,请及时通知我们处理。
火焰兔 » 生成安全 SSH 密钥