Come impostare le chiavi SSH con YubiKey come autenticazione a due fattori (U2F/FIDO2)

{Contenuto dei sostenitori di nixCraft Patreon}

UNTutti i server Linux e Unix sono gestiti manualmente o da strumenti di automazione come Ansible tramite ssh. Ad esempio, supponiamo che tu abbia un server su Linode o AWS. Quindi copi la tua chiave ssh pubblica su un server cloud remoto. Una volta copiato, ora puoi accedere a quei server senza una password purché le chiavi ssh siano abbinate. È la migliore pratica. Sfortunatamente, non stai proteggendo le chiavi ssh memorizzate su un desktop locale o su una macchina di sviluppo nella directory $HOME/.ssh/. Se le tue chiavi vengono rubate, un utente malintenzionato può accedere a tutti i tuoi server cloud, inclusi i server di backup. Per evitare questo disordine, possiamo proteggere le nostre chiavi ssh archiviate su macchine di sviluppo/desktop locali utilizzando chiavi di sicurezza fisiche come YubiKey.

In entrambi i casi è necessario inserire la propria YubiKey (o qualsiasi chiave hardware compatibile FIDO2) in una porta USB e completare l’autenticazione. In altre parole, l’accesso ssh non funzionerà quando il malware o l’attaccante ha rubato la tua passphrase e le chiavi ssh poiché non possono inserire YubiKey e premere il pulsante su di essa per completare l’OTP per le chiavi ssh.
Nell’ambiente aziendale, abbiamo un host bastion che consente l’accesso ssh con Yubikey. È un server per scopi speciali su una rete specificamente progettata e configurata per resistere agli attacchi. Il server generalmente ospita un processo sshd e tutti gli altri servizi vengono rimossi. Una volta effettuato l’accesso al bastion host, puoi accedere facilmente a tutti gli altri server cloud. Questa guida tratterà i seguenti argomenti:

Il post Come impostare le chiavi SSH con YubiKey come autenticazione a due fattori (U2F/FIDO2) è apparso per la prima volta su Opensource Flare✨.