{"id":380,"date":"2023-09-07T09:05:30","date_gmt":"2023-09-07T09:05:30","guid":{"rendered":"https:\/\/blog.nibelheim.fr\/?p=380"},"modified":"2023-09-07T11:49:58","modified_gmt":"2023-09-07T11:49:58","slug":"configurer-ssh-pour-se-connecter-via-une-cle-ssh-raspberry-pi","status":"publish","type":"post","link":"https:\/\/blog.nibelheim.fr\/?p=380","title":{"rendered":"Configurer SSH pour se connecter via une cl\u00e9 SSH (Raspberry Pi)"},"content":{"rendered":"\n

Parmi les bonnes pratiques permettant de se pr\u00e9munir des attaques ext\u00e9rieures, notamment celles de botnets qui tentent en boucle de se connecter \u00e0 vous, se trouve d\u00e9sactiver le login par nom d’utilisateur et mot de passe, pour seulement autoriser le login par cl\u00e9 SSH.
Nous allons mettre cela en place sur un Raspberry Pi, mais \u00e7a fonctionnera de la m\u00eame fa\u00e7on sur un PC Linux classique.
C’est certes lourdingue, mais bien plus s\u00e9curis\u00e9 que le login\/password classique. En avant.<\/p>\n\n\n\n

Note : il existe plusieurs mani\u00e8res de g\u00e9n\u00e9rer la paire de cl\u00e9s. La m\u00e9thode que j’utilise g\u00e9n\u00e8re la cl\u00e9 depuis le serveur, puis n\u00e9cessite le transfert de la cl\u00e9 priv\u00e9e <\/strong><\/em>vers le PC. La m\u00e9thode la plus r\u00e9pandue est d’utiliser la g\u00e9n\u00e9ration de cl\u00e9 depuis votre client, puis de propager la cl\u00e9 publique <\/strong><\/em>vers le serveur. Ayant eu quelques soucis notamment \u00e0 cause du formalisme de PuTTYGen, j’ai opt\u00e9 pour le transfert de la cl\u00e9 priv\u00e9e. Comme \u00e7a vous savez!<\/p>\n\n\n\n

1- G\u00e9n\u00e9rer la cl\u00e9<\/h4>\n\n\n\n

Connectez-vous sur votre Pi en SSH classiquement, puis g\u00e9n\u00e9rez votre paire de cl\u00e9s (une publique et une priv\u00e9e) :<\/p>\n\n\n\n

cd ~
mkdir ~\/.ssh && chmod 700 ~\/.ssh -R
ssh-keygen -f .\/my-key -t ecdsa -b 521
<\/code><\/pre>\n\n\n\n
Il est demand\u00e9 une passphrase : c’est le mot de passe pour ouvrir la cl\u00e9 priv\u00e9e (celle avec laquelle vous vous authentifierez pour vous connecter au serveur)<\/em> : m\u00eame si le mot de passe est facultatif, je vous recommande chaudement d’en indiquer un.
Ceci fait, nous avons donc deux fichiers qui ont \u00e9t\u00e9 cr\u00e9\u00e9s : \/home\/utilisateur\/my-key<\/strong><\/em> et \/home\/utilisateur\/my-key.pub<\/em><\/strong>.<\/p>\n\n\n\n
Nous allons maintenant faire en sorte que la cl\u00e9 publique (my-key.pub)<\/em> soit reconnue par notre Raspberry Pi.
Ceci se passe via le fichier \/home\/utilisateur\/.ssh\/authorized_keys<\/em><\/strong>, que nous allons cr\u00e9er \u00e0 partir de notre cl\u00e9 publique avec les bonnes autorisations.<\/p>\n\n\n\n
cp ~\/my-key.pub ~\/.ssh\/authorized_keys
chmod 600 ~\/.ssh\/authorized_keys<\/code><\/pre>\n\n\n\n
2- Activer l’authentification par cl\u00e9<\/h4>\n\n\n\n
Maintenant, nous allons autoriser la connexion via paire de cl\u00e9s.<\/p>\n\n\n\n
sudo nano \/etc\/ssh\/sshd_config<\/code><\/pre>\n\n\n\n
Puis cherchez la ligne AllowUsers, \u00e0 laquelle vous ajoutez apr\u00e8s un espace votre nom d’utilisateur courant. Normalement, vous ne devriez avoir qu’un seul nom : le v\u00f4tre.<\/p>\n\n\n\n
AllowUsers Utilisateur<\/code><\/pre>\n\n\n\n
4 lignes plus bas, vous devriez pouvoir trouver :<\/p>\n\n\n\n
PubkeyAuthentication yes<\/strong><\/code><\/pre>\n\n\n\n
Assurez-vous du yes!
Ceci fait :<\/p>\n\n\n\n
sudo service ssh restart<\/code><\/pre>\n\n\n\n
3- Exporter la cl\u00e9 priv\u00e9e<\/h4>\n\n\n\n
Maintenant, copiez votre cl\u00e9 my-key<\/strong> (et pas my-key.pub, sauf pour votre sauvegarde)<\/em> via WinSCP ou n’importe quelle commande permettant de transf\u00e9rer des fichiers depuis votre Pi vers votre PC.<\/p>\n\n\n\n
4- Se connecter via Windows (avec PuTTY)<\/h4>\n\n\n\n
Commen\u00e7ons par t\u00e9l\u00e9charger PuTTY<\/strong><\/a> ainsi que PuTTYGen<\/strong><\/a>; le premier nous servira \u00e0 la connexion et le second \u00e0 proc\u00e9der \u00e0 une adaptation de notre cl\u00e9 priv\u00e9e.<\/p>\n\n\n\n
Lan\u00e7ons d’ailleurs PuTTYGen et cliquez sur Conversions <\/strong>(menu en haut)<\/em> puis Import key…<\/strong> et s\u00e9lectionnez my-key<\/em><\/strong>.
Puis, cliquez sur le bouton Save private key
Lan\u00e7ons d’ailleurs PuTTYGen et cliquez sur Conversions <\/strong>(menu en haut)<\/em> puis Import key…<\/strong> et s\u00e9lectionnez my-key<\/em><\/strong>.
Puis, cliquez sur le bouton Save private key<\/strong> :<\/p>\n\n\n\n
\"\"<\/figure>\n\n\n\n
Si vous n’avez pas mis de mot de passe pour votre cl\u00e9 priv\u00e9e (la passphrase)<\/em>, PuTTYGen vous le fera remarquer (et vous pourrez en rajouter un avec les champs au-dessus)<\/em>.<\/p>\n\n\n\n
Notez que votre nouvelle cl\u00e9 s’appelle maintenant my-key.ppk<\/strong>.<\/p>\n\n\n\n
Ouvrez maintenant PuTTY.
Selon les versions, la cl\u00e9 en .ppk est \u00e0 indiquer soit dans Connection > SSH > Auth<\/strong> directement, soit Connection > SSH > Auth > Credentials<\/strong>.
Il vous suffit ensuite de renseigner le chemin via le bouton Browse… <\/strong>vers votre cl\u00e9 priv\u00e9e.<\/p>\n\n\n\n
Vous pouvez maintenant tester votre login comme d’habitude (m\u00eame nom d’utilisateur)<\/em> via PuTTY, et vous devriez maintenant avoir l’indication que l’authentification passe par votre cl\u00e9, et non plus par la paire classique login\/mot de passe :<\/p>\n\n\n\n
\"\"<\/figure>\n\n\n\n
5- Le mot de la fin<\/h4>\n\n\n\n
Globalement, il s’agira peu importe le logiciel que vous utilisez pour vous connecter \u00e0 votre serveur de lui fournir la cl\u00e9 priv\u00e9e dans les r\u00e9glages de site.
Parfois, la cl\u00e9 PPK sera trop r\u00e9cente, il faudra donc bien conserver la cl\u00e9 my-key<\/strong> originale… Des fois que !<\/p>\n\n\n\n
6- Conseil de pro (ou pas)<\/h4>\n\n\n\n
J’ai eu beaucoup (BEAUCOUP) d’attaques de bots via SSH. Genre, \/var\/log\/auth.log<\/strong> \u00e9tait absolument boursoufl\u00e9 de plus de 1000 tentatives par jour… C’est une chose courante et, si votre paire classique login\/mot de passe est assez costaude, vous ne risquez pas grand-chose.
Cependant, j’ai lu et appliqu\u00e9 qu’il \u00e9tait chaudement recommand\u00e9 de :<\/p>\n\n\n\n
    \n
  • d\u00e9sactiver le login en root \u00e0 distance : dans \/etc\/ssh\/sshd_config<\/strong><\/em> :
    PermitRootLogin no<\/strong><\/li>\n\n\n\n
  • d\u00e9sactiver l’identification par login et mot de passe, ainsi que les mots de passe vides (\u00e7a inhibe un peu le spam des bots)<\/em> :
    PasswordAuthentication no
    PermitEmptyPasswords no<\/strong><\/li>\n<\/ul>\n\n\n\n
    Evidemment, cela pr\u00e9suppose que tout fonctionne comme il se doit avec la cl\u00e9 SSH…<\/p>\n","protected":false},"excerpt":{"rendered":"
    Parmi les bonnes pratiques permettant de se pr\u00e9munir des attaques ext\u00e9rieures, notamment celles de botnets qui tentent en boucle de se connecter \u00e0 vous, se trouve d\u00e9sactiver le login par nom d’utilisateur et mot de passe, pour seulement autoriser le login par cl\u00e9 SSH.Nous allons mettre cela en place sur […]<\/p>\n","protected":false},"author":1,"featured_media":0,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[5,8],"tags":[],"class_list":["post-380","post","type-post","status-publish","format-standard","hentry","category-linux","category-raspberry-pi"],"_links":{"self":[{"href":"https:\/\/blog.nibelheim.fr\/index.php?rest_route=\/wp\/v2\/posts\/380","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/blog.nibelheim.fr\/index.php?rest_route=\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/blog.nibelheim.fr\/index.php?rest_route=\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/blog.nibelheim.fr\/index.php?rest_route=\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/blog.nibelheim.fr\/index.php?rest_route=%2Fwp%2Fv2%2Fcomments&post=380"}],"version-history":[{"count":5,"href":"https:\/\/blog.nibelheim.fr\/index.php?rest_route=\/wp\/v2\/posts\/380\/revisions"}],"predecessor-version":[{"id":467,"href":"https:\/\/blog.nibelheim.fr\/index.php?rest_route=\/wp\/v2\/posts\/380\/revisions\/467"}],"wp:attachment":[{"href":"https:\/\/blog.nibelheim.fr\/index.php?rest_route=%2Fwp%2Fv2%2Fmedia&parent=380"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/blog.nibelheim.fr\/index.php?rest_route=%2Fwp%2Fv2%2Fcategories&post=380"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/blog.nibelheim.fr\/index.php?rest_route=%2Fwp%2Fv2%2Ftags&post=380"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}