Secure shell

Secure shell (ssh) se používá při práci na vzdálených strojích - umožňuje totiž šifrovat posílané znaky, takže např. nelze odchytit heslo. Ssh musí být samozřejmě nainstalován na lokálním i vzdáleném stroji, abychom ho mohli využívat.

Ke kompletní instalaci potřebujeme obvykle tyto balíčky:

sarge:

ssh a ssh-askpass

etch:

balíček ssh byl rozdělen na server ( openssh-server) a klienta (openssh-client), balíček ssh-askpass zůstává

Existují dva způsoby využití:

• Základní - chová se navenek podobně jako telnet (s výše uvedenými výhodami). Příklad:
  ssh -l username hp01.troja.mff.cuni.cz
  Při každém logování je nutné uvést heslo. Je-li uživatelské jméno stejné jako na lokálním stroji, není ho třeba specifikovat.
• Pro pokročilé - umožňuje na začátku autorizovat uživatele na lokálním stroji a pak se již na ostatní stroje (na kterých je to povoleno) lze logovat bez zadávání hesla. Postup je následující:
  1. Povolení přístupu na vzdálený stroj: pomocí ssh-keygen -t [rsa$\vert\,$dsa] vygenerujeme soubor $HOME/.ssh/id_rsa.pub (protokol SSH-1) či $HOME/.ssh/id_dsa.pub (protokol SSH-2) na lokálním stroji a zadáme tzv. passphrase (autorizační heslo). Obsah tohoto souboru pak vložíme do souboru $HOME/.ssh/authorized_keys na vzdáleném stroji. Pozor na přístupová práva - soubor nesmí být čitelný pro ostatní uživatele!
  2. Autorizace uživatele: příkazem ssh-agent <proces> spustíme proces, jehož všichni potomci budou mít platnou autorizaci, pokud bude autorizační heslo (zadává se následně v programu ssh-add) platné. Jak tohle zařídit:
     • obsah souboru $HOME/.xsession

       ssh-agent $HOME/.xclients
       

     • obsah souboru $HOME/.xclients

       #!/bin/sh
       ssh-add < /dev/null
       exec fvwm2           # or other WM, e.g. GNOME, KDE, IceWM, ...
       

  Tímto způsobem zadáme jen jednou autorizační heslo a můžeme pak pomocí ssh bezpečně pracovat na vzdálených strojích, aniž by bylo nutné při každém logování zadávat heslo.

Další výhodou ssh je možnost předávání ssh-autorizace a automatického zajištění přístupu oken grafických aplikací na lokální displej (pak není třeba provádět příkaz xhost na lokálním a nastavení proměnné $DISPLAY na vzdáleném stroji). Tyto funkce lze aktivovat buď globálně pro všechny vzdálené stroje (což nemusí být příliš bezpečné), nebo pouze pro vybrané stroje. Lze to provést buď na úrovni instalace (tj. pro všechny uživatele) úpravou konfiguračního souboru /etc/ssh/ssh_config nebo u jednotlivých uživatelů v souboru $HOME/.ssh/config přidáním řádek (např.):

Host nc*.troja.mff.cuni.cz
    ForwardAgent yes
    ForwardX11 yes

Toto nastavení je ekvivalentní řádkovému příkazu

ssh -A -X ncXX.troja.mff.cuni.cz

To samozřejmě předpokládá, že vzdálený server má tuto funkci povolenu, tj. v konfiguračním souboru /etc/ssh/sshd_config je nastaveno:

X11Forwarding yes
X11DisplayOffset 10

Navíc na vzdáleném serveru musí být nainstalován balíček xbase-clients.

Od distribuce woody je implementována nová verze ssh, která umožňuje spojení přes protokol SSH-2. Chceme-li však umožnit přístup i ze strojů se starší verzí ssh, je vhodné zachovat též protokol SSH-1. Příslušné nastavení v souboru /etc/ssh/sshd_config pak vypadá:

Protocol 2,1
PasswordAuthentification yes