SSH FIDO2 Login

Ein SSH-Login kann ebenfalls durch 2FA mittels U2F FIDO2-Token abgesichert werden. In einem solchen Umfeld kann der Zielserver nur erreicht werden, wenn auf dem Client-Rechner (SSH-Client) das hinterlegte Token eingesteckt und aktiviert wird.

Das Verfahren ist analog zu dem klassischen SSH-Public/Private-Key Verfahren, nur dass in diesem Fall der Private Key durch das Token und einer entsprechenden Kommunikation zwischen Server und Client ersetzt wird.

Ziel ist hier wiederum durch ein "Besitz"-Objekt einen sensiblen Zugriff zu schützen

Voraussetzung:

• Auf dem Ziel-Server muss ein openssh-Server der Version 8.2 oder höher laufen, wie auch auf dem Client ein openssh-client Version 8.2 oder höher installiert sein. Erst ab dieser Version werden die notwendigen Keys unterstützt. Die Distribution Ubuntu enthält diese seit der Version 20.04 LTS.
• Ein FIDO2-kompatibles U2F-Token (Yubikey, Winkeo-A FIDO2, …) ist am Client eingesteckt

Generierung des Schlüsselpaares:

Die Generierung erfolgt auf dem Client, in dem Das U2F-Token eingesteckt ist.

Hier wird ssh-keygen verwendet, um das Schlüsselpaar zu generieren.

Beispiel:
 

Für die Generierung muss das Touch-Feld des Tokens berührt werden.

Sofern nichts anderes angegeben wird, entstehen hieraus 2 Dateien, die im eigenen ".ssh" Verzeichnis abgelegt werden:

Übertragung zum Ziel-Server

Ist der Ziel-Server noch per Passwort erreichbar, kann der Befehl "ssh-copyid" verwendet werden:

Alternativ kann der Inhalt dieser Datei auch manuell auf dem Zielserver in die Datei  "~/.ssh/authorized_keys" eingetragen werden, also analog zu dem klassischen Verfahren.

Authentifizierung

Wird nun SSH verwendet, um den Ziel-Server zu erreichen, wird das Token und der U2F-Key erwartet:

Ab diesem Zeitpunkt können andere Authentifizierungsverfahren abgeschaltet werden. Es empfiehlt sich natürlich ein zweites Token entsprechend einzurichten, um den Fall des Verlustes oder Defektes abzudecken.