SSH

SSH (Secure Shell) je způsob, jak se bezpečně přihlásit do shellu na cizím počítači, přes síť, ale šifrovaně. Sedneš u svého notebooku, napíšeš jeden příkaz a najednou píšeš příkazy na serveru vzdáleném tisíce kilometrů, jako bys u něj seděl. Všechno mezi tebou a serverem je přitom zašifrované, takže po cestě nikdo nepřečte tvé heslo ani to, co děláš. SSH je základní nástroj každého, kdo spravuje servery, bez něj se ke vzdálenému Linuxu prakticky nedostaneš.

Pár pojmů na úvod

• Klient vs server = na tvém počítači běží SSH klient (ssh), na vzdáleném stroji SSH server (démon sshd). Klient se připojí, server rozhodne, zda tě pustí.
• Shell = program, který čte tvé příkazy a spouští je (bash, zsh…). SSH ti otevře shell na tom druhém stroji, píšeš lokálně, běží to vzdáleně.
• Port 22 = číslo „dveří", na kterých sshd naslouchá. Výchozí je 22; jiný port se dá nastavit.
• Asymetrická kryptografie = dvojice klíčů (veřejný + soukromý), které patří k sobě. Co zašifruje jeden, rozšifruje jen ten druhý. Na tomhle stojí přihlašování klíčem, vysvětlíme níž.
• Fingerprint (otisk) = krátký „podpis" veřejného klíče serveru. Slouží k tomu, aby sis ověřil, že se bavíš se správným serverem a ne s podvrhem.

Jak vypadá přihlášení

Nejjednodušší forma je jeden příkaz:

ssh user@host

• user = uživatelské jméno na vzdáleném stroji (např. root, matej, deploy).
• host = adresa serveru. IP (100.65.217.18) nebo doménové jméno (server.example.com).

Když server naslouchá na jiném než výchozím portu, přidáš -p:

ssh -p 2222 user@host

Poprvé se tě SSH zeptá, jestli věříš tomuhle serveru (viz known_hosts níž). Pak se ověříš, buď heslem, nebo (lépe) klíčem a jsi ve vzdáleném shellu. Odejdeš příkazem exit nebo Ctrl+D.

Klíče vs heslo, proč jsou klíče lepší

Přihlásit se jde dvěma způsoby a je to zásadní rozdíl:

• Heslem: napíšeš heslo, server ho ověří. Problém: heslo se dá uhádnout, odchytit nebo brute-force nabít (roboti nonstop zkoušejí root + slovníková hesla na každý server na internetu).
• Klíčem: použiješ asymetrickou dvojici klíčů. Vygeneruješ si dva soubory, které patří k sobě:
  • soukromý klíč (~/.ssh/id_ed25519), zůstává jen u tebe, nikdy ho nikam neposíláš.
  • veřejný klíč (~/.ssh/id_ed25519.pub), ten smíš rozdávat, nakopíruješ ho na servery.

Při přihlášení server pošle výzvu, kterou dokáže správně zodpovědět jen držitel soukromého klíče. Soukromý klíč přitom nikdy neopustí tvůj počítač, po síti se neposílá, takže není co odchytit. Klíč je navíc dlouhý a náhodný, takže se nedá uhádnout jako heslo admin123.

💡 Přirovnání: veřejný klíč je visací zámek, který můžeš rozdat komukoli a nechat ho zamknout na dveře serveru. Soukromý klíč je jediný klíč od toho zámku, ten si necháváš. Kdokoli si může pověsit tvůj zámek, ale otevřít ho umíš jen ty.

Vytvoření klíče a nasazení na server

Klíč si vyrobíš jednou a používáš pro všechny servery. Doporučený typ je ed25519 (moderní, krátký, bezpečný):

ssh-keygen -t ed25519 -C "matej@notebook"

• -t ed25519 = typ klíče (starší návody říkají rsa, ed25519 je dnes lepší volba).
• -C "..." = komentář, ať poznáš, čí klíč to je (typicky email nebo user@stroj).
• Zeptá se na passphrase, heslo, kterým se zašifruje samotný soukromý klíč na disku. Rozhodně ji nastav: kdyby ti někdo ukradl soubor s klíčem, bez passphrase je mu k ničemu.

Vzniknou dva soubory v ~/.ssh/: id_ed25519 (soukromý) a id_ed25519.pub (veřejný).

Veřejný klíč pak dostaneš na server jedním příkazem:

ssh-copy-id user@host

Ten se připojí (naposledy heslem) a přidá tvůj veřejný klíč do souboru ~/.ssh/authorized_keys na serveru. Od té chvíle se přihlašuješ klíčem, bez hesla.

• ~/.ssh/authorized_keys = seznam veřejných klíčů, které smějí do tohohle účtu. Jeden řádek = jeden povolený klíč. Klidně jich tam může být víc (víc tvých strojů, víc lidí).
• Kdyby ssh-copy-id nebyl k dispozici, přidáš řádek ručně, obsah .pub souboru zkopíruješ na nový řádek do authorized_keys na serveru.

~/.ssh/config, aliasy hostů

Psát pořád ssh -p 2222 [email protected] je otrava. Řešení je konfigurační soubor ~/.ssh/config na tvém počítači, kde si pojmenuješ zkratky:

Host server1
    HostName 100.65.217.18
    User deploy
    Port 2222
    IdentityFile ~/.ssh/id_ed25519

Pak se připojíš prostě:

ssh server1

SSH si domyslí adresu, uživatele, port i který klíč použít. Do jednoho souboru si takhle uložíš všechny své servery a nemusíš nic pamatovat.

ssh-agent, odemkni passphrase jen jednou

Passphrase u klíče je bezpečná, ale otravné psát ji při každém připojení. Od toho je ssh-agent, program, který si po zadání passphrase podrží odemčený klíč v paměti a při dalších připojeních ho použije za tebe.

ssh-add ~/.ssh/id_ed25519

Zadáš passphrase jednou, agent klíč drží, a dokud jsi přihlášený, další ssh už se neptá. Na desktopu (KDE, GNOME) agent typicky běží automaticky a napojuje se na klíčenku. Výhoda je nejlepší z obou světů: klíč je na disku šifrovaný passphrase, ale ty ji píšeš jen jednou za sezení.

known_hosts a proč se tě SSH poprvé ptá na „fingerprint"

Při prvním připojení k serveru uvidíš něco jako:

The authenticity of host 'server1 (100.65.217.18)' can't be established.
ED25519 key fingerprint is SHA256:abc123...
Are you sure you want to continue connecting (yes/no)?

SSH tím říká: „Tenhle server jsem ještě neviděl. Tady je jeho otisk, je to opravdu ten, kam se chceš připojit?" Když odsouhlasíš yes, uloží se otisk serveru do ~/.ssh/known_hosts. Při dalších připojeních SSH otisk tiše porovná a nikdy se už neptá.

Proč to celé? Aby tě někdo nepodvrhl. Kdyby se mezi tebe a server vecpal útočník (MITM, man in the middle) a tvářil se jako tvůj server, měl by jiný otisk a SSH by hlasitě zaječelo. Ta první otázka je jediné místo, kde otisk „posvětíš"; ideálně si ho ověříš jiným kanálem (od poskytovatele serveru).

Tunely, -L a -R v kostce

SSH umí kromě shellu i protunelovat porty skrz šifrované spojení. Hodí se, když chceš dosáhnout na službu, která není přímo vystavená na internet:

• -L (local forward) = „přines mi vzdálený port k sobě". Např. databáze běží na serveru jen na localhost:5432, tímhle si ji zpřístupníš na svém počítači:

  ssh -L 5432:localhost:5432 server1
  

  
  Pak se na localhost:5432 u sebe připojíš, jako by DB běžela lokálně.
• -R (remote forward) = opačný směr, „vystav můj lokální port na serveru". Užitečné pro zpřístupnění něčeho, co běží u tebe, vzdálenému stroji.

Zatím ber tunely jen jako „že to jde"; v praxi je nejčastější -L pro bezpečný přístup k databázi nebo interní administraci bez otevírání portů do světa.

Kopírování souborů přes SSH

Přes stejné šifrované spojení se dají i přenášet soubory:

scp soubor.txt user@host:/cesta/na/serveru/
rsync -av ./slozka/ user@host:/cil/

• scp = jednoduché kopírování „sem–tam", syntaxe jako cp, jen s user@host: u vzdálené strany.
• rsync = chytřejší, přenáší jen změny, umí pokračovat, ideální na zálohy a opakovaný deploy.

📎 Podrobněji se přenosu souborů věnuje samostatná kapitola o přenosu dat; tady stačí vědět, že scp i rsync jedou po tomtéž SSH spojení a používají stejné klíče a ~/.ssh/config aliasy.

Failure modes, časté průšvihy

• Špatná práva na ~/.ssh a klíči. SSH je záměrně paranoidní: pokud může do tvého soukromého klíče nebo authorized_keys číst někdo jiný, odmítne je použít (WARNING: UNPROTECTED PRIVATE KEY). Musí platit chmod 700 ~/.ssh a chmod 600 ~/.ssh/id_ed25519. Je to funkce, ne buzerace, soukromý klíč čitelný pro ostatní = kompromitovaný klíč.
• Spoléhání na heslovou autentizaci. Hesla se dají brute-forcovat a roboti to na každém serveru dělají nonstop. Nasaď klíče a heslovou auth na serveru vypni (PasswordAuthentication no). ⚠️ Moderní sshd_config obsahuje Include /etc/ssh/sshd_config.d/*.conf, takže hodnota z drop-in souboru přebije hlavní soubor, edituj proto raději sshd_config.d/10-hardening.conf. A změna se projeví až po sudo sshd -t (test syntaxe) + sudo systemctl restart sshd, nejdřív si ale z druhého okna ověř, že se přihlásíš klíčem, ať se nezamkneš ven.
• Povolený root login. Přihlašování přímo jako root přes SSH je klasická díra, útočník zná jméno účtu předem, zbývá mu jen heslo. Nech PermitRootLogin no a přihlašuj se běžným uživatelem, root řeš přes sudo.
• Ztracený soukromý klíč. Soukromý klíč je jako klíč od bytu, když ho ztratíš nebo unikne, kdokoli se za tebe přihlásí. Musíš jeho veřejný protějšek smazat z authorized_keys na všech serverech a vygenerovat nový. Proto passphrase + neposílej ho nikam.
• Ignorování změny fingerprintu. Když SSH najednou zařve REMOTE HOST IDENTIFICATION HAS CHANGED, neber to jako otravu a slepě to nemaž. Buď server dostal nový klíč (reinstalace), nebo tě někdo podvrhuje (MITM). Nejdřív zjisti proč, teprve pak upravuj known_hosts.

🛠️ Cvičení

1. Vyrob si klíč. Vygeneruj ed25519 klíč s passphrase a rozmysli si, který ze vzniklých dvou souborů smíš rozdat a který nikdy nesmí opustit tvůj počítač. Podle čeho to poznáš?
2. Zkrať si přístup. Napiš do ~/.ssh/config alias Host pro nějaký (klidně smyšlený) server s jiným portem a uživatelem, aby stačilo psát ssh <alias>. Které čtyři věci alias typicky obsahuje?
3. Oprav práva. Máš klíč ~/.ssh/id_ed25519, ale SSH ho odmítá se stížností na práva. Jakými dvěma chmod příkazy to spravíš a proč na tom SSH tak trvá?
4. Pochop fingerprint. Vysvětli vlastními slovy, proč se tě SSH při prvním připojení ptá na otisk serveru a co znamená, když se ten otisk po čase změní.
5. Klíč místo hesla na serveru. Popiš krok za krokem, co uděláš, abys na cizím serveru mohl vypnout přihlašování heslem, od vytvoření klíče až po ověření, že klíč funguje.

🧠 Otázky & odpovědi