Benutzung Von Ssh-Agenten - Fujitsu BS2000 SE700 Sicherheitshandbuch, Benutzerhandbuch

Alternative Zugänge mit Secure Shell
Es gibt keine Möglichkeit, eine verlorene Passphrase wiederzugewinnen. Wenn sie verlo-
ren gegangen ist, muss ein neues Schlüsselpaar generiert und sein öffentlicher Schlüssel
an die Kommunikationspartner verteilt werden.

3.4.4 Benutzung von SSH-Agenten

I
In einem Initialisierungsvorlauf für SSH wurden die Schlüsselpaare erzeugt, in den lokalen
Dateien abgelegt und die öffentlichen Schlüssel an die Kommunikationspartner verteilt. Zu
Beginn einer interaktiven Session bzw. am Anfang eines Scripts wird der SSH-Agent mittels
eines Aufrufs des Kommandos ssh-agent (siehe http://www.openssh.com) gestartet. Dann
werden ihm die notwendigen privaten Schlüssel mittels ssh-add übergeben. Der SSH-
Agent führt diese privaten Schlüssel im Speicher in entschlüsselter Form. Für diesen Ent-
schlüsselungsprozess benötigt er die Passphrasen, falls welche spezifiziert wurden.
Von nun an bis zu seiner Beendigung kontaktieren SSH-Clients den SSH-Agenten automa-
tisch für alle Schlüssel-bezogenen Operationen. Wenn mittels eines ssh-Aufrufs eine
remote Verbindung eingerichtet werden soll, führen der lokale SSH-Agent und der remote
sshd-Dämon automatisch die erforderliche Authentifizierungsprozedur durch.
Wenn eine Passphrase verwendet wird, muss sie nur einmal eingegeben werden. Sie wird
von ssh-add vom aktuellen Terminal gelesen, falls ssh-add vom Terminal gestartet wurde.
Wenn ssh-add kein ihm zugeordnetes Terminal besitzt, aber die Variablen DISPLAY und
SSH_ASKPASS gesetzt sind, wird das durch SSH_ASKPASS spezifizierte Programm ausge-
führt und ein X11-Window zum Lesen der Passphrase geöffnet. Dies ist nützlich wenn
ssh-add in einer .Xsession oder in einem Startup-Script aufgerufen wird.
Beispiel
ssh-keygen -b 1024 -t rsa -C <comment> -N "<passphrase>"
# Erzeugt einen 1024 bit RSA key in SSH Version 2 geschützt durch eine
Passphrase
ssh-agent /bin/csh # Als Argument kann der Pfad auf eine Shell oder ein
Shell Script angegeben werden
ssh-add # Lädt standardmäßig alle Schlüssel der Identity-Datei
Es müssen die Umgebungsvariablen, die auf den Socket des SSH-Agenten zeigen, gesetzt
werden, damit der SSH-Client mit dem Agenten kommunizieren kann. Das Programm
ssh-agent liefert hierfür bei seiner Rückkehr die notwendige Information:
Beispiel
# In SSH Version 2 Notation:
SSH2_AUTH_SOCK=/tmp/ssh-JGK12327/agent.12327; export SSH2_AUTH_SOCK;
SSH2_AGENT_PID=12328; export SSH2_AGENT_PID;
36
Die Verwendung eines SSH-Agenten macht es überflüssig, dass bei jedem Aufruf
des Programms ssh die (üblicherweise lange und komplexe) Passphrase einge-
tippt werden muss.
Sicherer Zugang zu Management-Funktionen
U41856-J-Z125-1