Cách tạo SSH Key trong Linux: Hướng dẫn từng bước dễ dàng Ai cũng làm được

ssh-keygen

Output

Generating public/private rsa key pair.
Enter file in which to save the key (/home/username/.ssh/id_rsa):

Ghi chú: bạn có thể thay “username” bằng id đăng nhập của bạn

Tiện ích sẽ yêu cầu bạn chọn vị trí lưu trữ các key được tạo ra. Mặc định, các key sẽ được lưu trong thư mục ~/.ssh trong thư mục home của người dùng. Private key sẽ có tên là id_rsa và public key tương ứng có tên là id_rsa.pub.

Thông thường, tốt nhất là giữ nguyên vị trí mặc định ở bước này. Việc này giúp SSH client tự động tìm thấy SSH key khi cố gắng xác thực. Nếu bạn muốn chọn một đường dẫn không chuẩn, hãy nhập ngay lúc này, nếu không, nhấn ENTER để chấp nhận mặc định.

Nếu bạn đã tạo cặp SSH key trước đó, bạn có thể thấy thông báo như sau:

Output

/home/username/.ssh/id_rsa already exists.
Overwrite (y/n)?

Created directory '/home/username/.ssh'.
Enter passphrase (empty for no passphrase):
Enter same passphrase again:

Bạn có thể tự hỏi: nếu vẫn cần nhập passphrase thì SSH key mang lại lợi ích gì? Một số ưu điểm là:

• Bảo mật từ xa: Private SSH key (phần có thể được bảo vệ bằng passphrase) không bao giờ bị tiết lộ qua mạng. Passphrase chỉ được sử dụng để giải mã key trên máy cục bộ. Điều này có nghĩa là các cuộc tấn công brute-force dựa trên mạng sẽ không thể tấn công vào passphrase.
• Bảo vệ theo quyền truy cập: Private key được lưu trong một thư mục có quyền truy cập hạn chế. SSH client sẽ không nhận diện những private key không được lưu trong thư mục hạn chế. Key cũng cần có quyền truy cập hạn chế (chỉ có chủ sở hữu được đọc và ghi). Điều này đảm bảo rằng các người dùng khác trên hệ thống không thể đọc lén.
• Khó khăn khi tấn công trực tiếp: Bất kỳ kẻ tấn công nào muốn phá giải passphrase của private key đều phải có quyền truy cập vào hệ thống trước. Nghĩa là, kẻ tấn công đã có quyền truy cập vào tài khoản người dùng hoặc tài khoản root của bạn. Nếu trường hợp đó xảy ra, passphrase có thể ngăn kẻ tấn công đăng nhập ngay vào các máy chủ khác của bạn, giúp bạn có thời gian tạo và triển khai một cặp SSH key mới cũng như loại bỏ quyền truy cập từ key bị xâm phạm.

Vì private key không bao giờ được truyền qua mạng và được bảo vệ bởi quyền truy cập tập tin, nên tập tin này không nên cho bất kỳ ai khác (ngoại trừ người dùng và root) truy cập. Passphrase là một lớp bảo vệ bổ sung trong trường hợp các điều kiện bảo mật này bị xâm phạm.

Passphrase là một bổ sung tùy chọn. Nếu bạn nhập passphrase, bạn sẽ phải cung cấp nó mỗi khi sử dụng key (trừ khi bạn sử dụng phần mềm SSH agent lưu trữ key đã được giải mã). Chúng tôi khuyến nghị nên sử dụng passphrase, nhưng nếu không muốn, bạn có thể nhấn ENTER để bỏ qua bước này.

Output

Your identification has been saved in /home/username/.ssh/id_rsa.
Your public key has been saved in /home/username/.ssh/id_rsa.pub.
The key fingerprint is:
SHA256:CAjsV9M/tt5skazroTc1ZRGCBz+kGtYUIPhRvvZJYBs username@hostname
The key's randomart image is:
+---[RSA 3072]----+
|o   ..oo.++o ..  |
| o o +o.o.+...   |
|. . + oE.o.o  .  |
| . . oo.B+  .o   |
|  .   .=S.+ +    |
|      . o..*     |
|        .+= o    |
|        .=.+     |
|       .oo+      |
+----[SHA256]-----+

Bây giờ, bạn đã có cặp public key và private key để xác thực. Bước tiếp theo là đưa public key lên máy chủ của bạn để có thể đăng nhập bằng SSH key.

Bước 2 — Copy Public Key Lên Máy Chủ

Lưu ý: Phiên bản trước của hướng dẫn này có các chỉ dẫn thêm public key vào tài khoản DigitalOcean của bạn. Những chỉ dẫn đó hiện đã được cập nhật trong phần SSH Keys của tài liệu sản phẩm DigitalOcean.

Có nhiều cách để tải public key của bạn lên máy chủ SSH từ xa. Phương pháp bạn chọn phụ thuộc chủ yếu vào các công cụ sẵn có và cấu hình hiện tại của bạn. Các phương pháp dưới đây đều cho cùng một kết quả cuối cùng. Phương pháp đơn giản và tự động nhất được mô tả đầu tiên, các phương pháp sau yêu cầu thêm một số bước thủ công. Bạn chỉ nên theo các bước sau nếu không thể sử dụng phương pháp tự động.

Copy Public Key Sử Dụng ssh-copy-id

Cách đơn giản nhất để copy public key lên máy chủ hiện có là sử dụng tiện ích ssh-copy-id. Vì tính đơn giản của nó, phương pháp này được khuyến nghị nếu có sẵn. Công cụ ssh-copy-id thường được tích hợp trong các gói OpenSSH của nhiều bản phân phối, vì vậy có thể bạn đã có sẵn nó trên máy cục bộ.

Để sử dụng tiện ích này, bạn cần chỉ định máy chủ từ xa mà bạn muốn kết nối, cùng với tài khoản người dùng có quyền truy cập SSH bằng mật khẩu. Đây sẽ là tài khoản nơi public SSH key của bạn sẽ được sao chép.

Cú pháp như sau:

ssh-copy-id username@remote_host

Bạn có thể thấy thông báo như sau:

Output

The authenticity of host '203.0.113.1 (203.0.113.1)' can't be established.
ECDSA key fingerprint is fd:fd:d4:f9:77:fe:73:84:e1:55:00:ad:d6:6d:22:fe.
Are you sure you want to continue connecting (yes/no)? yes

Tiếp theo, tiện ích sẽ quét tài khoản cục bộ của bạn để tìm key id_rsa.pub mà bạn đã tạo trước đó. Khi tìm thấy, nó sẽ yêu cầu bạn nhập mật khẩu của tài khoản người dùng trên máy chủ từ xa:

Output

/usr/bin/ssh-copy-id: INFO: attempting to log in with the new key(s), to filter out any that are already installed
/usr/bin/ssh-copy-id: INFO: 1 key(s) remain to be installed -- if you are prompted now it is to install the new keys
username@203.0.113.1's password:

Nhập mật khẩu (lưu ý, ký tự bạn nhập sẽ không hiển thị để đảm bảo bảo mật) và nhấn ENTER. Tiện ích sẽ kết nối với tài khoản trên máy chủ từ xa sử dụng mật khẩu bạn vừa cung cấp. Sau đó, nó sẽ sao chép nội dung của key ~/.ssh/id_rsa.pub vào tập tin có tên authorized_keys nằm trong thư mục ~/.ssh của tài khoản từ xa.

Bạn sẽ thấy thông báo như sau:

Output

Number of key(s) added: 1

Now try logging into the machine, with:   "ssh 'username@203.0.113.1'"
and check to make sure that only the key(s) you wanted were added.

Tại thời điểm này, key id_rsa.pub của bạn đã được tải lên tài khoản từ xa. Bạn có thể tiếp tục sang bước tiếp theo.

Copy Public Key Sử Dụng SSH

Nếu bạn không có ssh-copy-id nhưng có quyền truy cập SSH bằng mật khẩu vào tài khoản trên máy chủ, bạn có thể tải key lên bằng cách sử dụng phương pháp SSH thông thường.

Bạn có thể xuất nội dung của public SSH key trên máy cục bộ và chuyển nó qua kết nối SSH đến máy chủ từ xa. Ở phía máy chủ, đảm bảo thư mục ~/.ssh đã tồn tại trong tài khoản và sau đó ghi nội dung được chuyển vào tập tin authorized_keys trong thư mục đó.

Chúng ta sẽ sử dụng ký hiệu chuyển hướng >> để thêm nội dung mà không ghi đè lên các key đã có. Điều này cho phép bạn thêm key mà không làm mất đi các key đã được thêm trước đó.

Câu lệnh đầy đủ sẽ như sau:

cat ~/.ssh/id_rsa.pub | ssh username@remote_host "mkdir -p ~/.ssh && cat >> ~/.ssh/authorized_keys"

Bạn có thể thấy thông báo như sau:

Output

The authenticity of host '203.0.113.1 (203.0.113.1)' can't be established.
ECDSA key fingerprint is fd:fd:d4:f9:77:fe:73:84:e1:55:00:ad:d6:6d:22:fe.
Are you sure you want to continue connecting (yes/no)? yes

Sau đó, bạn sẽ được yêu cầu nhập mật khẩu của tài khoản trên máy chủ từ xa:

username@203.0.113.1's password:

Sau khi nhập mật khẩu, nội dung của id_rsa.pub sẽ được thêm vào cuối tập tin authorized_keys của tài khoản từ xa. Nếu thành công, bạn có thể chuyển sang bước tiếp theo.

Copy Public Key Thủ Công

Nếu bạn không có quyền truy cập SSH bằng mật khẩu vào máy chủ, bạn sẽ phải thực hiện quy trình trên một cách thủ công.

Bạn cần lấy nội dung của file id_rsa.pub và thêm nó vào tập tin ~/.ssh/authorized_keys trên máy chủ từ xa theo cách nào đó.

Để hiển thị nội dung của key id_rsa.pub, gõ:

cat ~/.ssh/id_rsa.pub

Bạn sẽ thấy nội dung của key, có thể trông như sau:

~/.ssh/id_rsa.pub
ssh-rsa AAAAB3NzaC1yc2EAAAADAQABAAACAQCqql6MzstZYh1TmWWv11q5O3pISj2ZFl9HgH1JLknLLx44+tXfJ7mIrKNxOOwxIxvcBF8PXSYvobFYEZjGIVCEAjrUzLiIxbyCoxVyle7Q+bqgZ8SeeM8wzytsY+dVGcBxF6N4JS+zVk5eMcV385gG3Y6ON3EG112n6d+SMXY0OEBIcO6x+PnUSGHrSgpBgX7Ks1r7xqFa7heJLLt2wWwkARptX7udSq05paBhcpB0pHtA1Rfz3K2B+ZVIpSDfki9UVKzT8JUmwW6NNzSgxUfQHGwnW7kj4jp4AT0VZk3ADw497M2G/12N0PPB5CnhHf7ovgy6nL1ikrygTKRFmNZISvAcywB9GVqNAVE+ZHDSCuURNsAInVzgYo9xgJDW8wUw2o8U77+xiFxgI5QSZX3Iq7YLMgeksaO4rBJEa54k8m5wEiEE1nUhLuJ0X/vh2xPff6SQ1BL/zkOhvJCACK6Vb15mDOeCSq54Cr7kvS46itMosi/uS66+PujOO+xt/2FWYepz6ZlN70bRly57Q06J+ZJoc9FfBCbCyYH7U/ASsmY095ywPsBo1XQ9PqhnN1/YOorJ068foQDNVpm146mUpILVxmq41Cj55YKHEazXGsdBIbXWhcrRf4G2fJLRcGUr9q8/lERo9oxRm5JFX6TCmj6kmiFqv+Ow9gI0x8GvaQ== username@hostname

Sau đó, truy cập vào máy chủ từ xa bằng bất kỳ phương thức nào bạn có (có thể là qua console web của nhà cung cấp hạ tầng).

Khi đã truy cập vào tài khoản trên máy chủ từ xa, hãy đảm bảo rằng thư mục ~/.ssh đã được tạo. Lệnh sau sẽ tạo thư mục nếu cần, hoặc không làm gì nếu đã tồn tại:

mkdir -p ~/.ssh

Bây giờ, bạn có thể tạo hoặc chỉnh sửa tập tin authorized_keys trong thư mục này. Thêm nội dung của file id_rsa.pub vào cuối tập tin authorized_keys (tạo mới nếu chưa có) bằng lệnh:

echo public_key_string >> ~/.ssh/authorized_keys

Trong lệnh trên, thay thế public_key_string bằng nội dung mà bạn nhận được từ lệnh cat ~/.ssh/id_rsa.pub. Nội dung này thường bắt đầu bằng ssh-rsa AAAA... hoặc tương tự. Nếu lệnh thực hiện thành công, bạn có thể kiểm tra xác thực SSH bằng key mới.

Bước 3 — Xác Thực Máy Chủ Sử Dụng SSH Keys

Nếu bạn đã hoàn tất thành công một trong các quy trình ở trên, bạn sẽ có thể đăng nhập vào máy chủ từ xa mà không cần mật khẩu.

Quá trình khá đơn giản:

ssh username@remote_host

Nếu đây là lần đầu tiên bạn kết nối tới máy chủ này (đặc biệt nếu bạn dùng phương pháp thủ công ở trên), bạn có thể thấy thông báo như sau:

Output

The authenticity of host '203.0.113.1 (203.0.113.1)' can't be established.
ECDSA key fingerprint is fd:fd:d4:f9:77:fe:73:84:e1:55:00:ad:d6:6d:22:fe.
Are you sure you want to continue connecting (yes/no)? yes

Thông báo trên cho biết máy tính cục bộ của bạn chưa nhận diện được máy chủ từ xa. Nhập “yes” và nhấn ENTER để tiếp tục. Nếu bạn không đặt passphrase cho private key, bạn sẽ được đăng nhập ngay lập tức. Nếu có, bạn sẽ được yêu cầu nhập passphrase. Sau đó, một phiên shell mới sẽ được tạo cho tài khoản của bạn trên máy chủ từ xa. Nếu đăng nhập thành công, hãy tiếp tục để tìm hiểu cách bảo mật máy chủ.

Bước 4 — Vô Hiệu Hóa Xác Thực Bằng Mật Khẩu Trên Máy Chủ

Nếu bạn có thể đăng nhập vào tài khoản bằng SSH mà không cần mật khẩu, bạn đã cấu hình thành công xác thực dựa trên SSH key. Tuy nhiên, cơ chế xác thực bằng mật khẩu vẫn còn hoạt động, điều này khiến máy chủ dễ bị tấn công brute-force.

Trước khi thực hiện các bước trong phần này, hãy chắc chắn rằng bạn đã cấu hình xác thực SSH key cho tài khoản root trên máy chủ, hoặc tốt hơn là cho một tài khoản có quyền sudo. Bước này sẽ vô hiệu hóa đăng nhập bằng mật khẩu, do đó cần đảm bảo bạn vẫn có quyền truy cập quản trị.

Khi đã đảm bảo điều kiện trên, đăng nhập vào máy chủ từ xa bằng SSH key (dưới quyền root hoặc tài khoản có quyền sudo). Mở tập tin cấu hình của SSH daemon:

sudo nano /etc/ssh/sshd_config

Bên trong tập tin, tìm dòng có từ khóa PasswordAuthentication. Dòng này có thể đang bị comment (được đánh dấu bằng dấu # ở đầu dòng). Hãy bỏ comment và thay đổi giá trị thành no để vô hiệu hóa đăng nhập bằng mật khẩu:

/etc/ssh/sshd_config
PasswordAuthentication no

Lưu và đóng tập tin khi hoàn tất. Để áp dụng các thay đổi, bạn cần khởi động lại dịch vụ SSH. Trên hầu hết các bản phân phối Linux, gõ lệnh:

sudo systemctl restart ssh

Sau bước này, SSH daemon của bạn sẽ chỉ phản hồi với các kết nối sử dụng SSH key.

Sử Dụng Hardware Security Modules (HSMs) Để Lưu Trữ SSH Key

Hardware Security Modules (HSMs) cung cấp một lớp bảo mật bổ sung cho SSH key bằng cách lưu private key trong phần cứng chống giả mạo. Thay vì lưu private key trong file, HSM lưu trữ chúng một cách an toàn, ngăn chặn truy cập trái phép.

Cách Sử Dụng HSM Cho Xác Thực SSH?

1. Kiểm Tra Tương Thích HSM: Đảm bảo HSM của bạn hỗ trợ xác thực SSH.

2. Sử Dụng PKCS#11 Module: Tải HSM với module PKCS#11 tương thích.
PKCS#11 là tiêu chuẩn mật mã định nghĩa API để truy cập các token mật mã như HSM, thẻ thông minh và USB security keys. Nó cho phép các ứng dụng (bao gồm SSH, OpenSSL và GnuPG) sử dụng thiết bị mật mã để xác thực an toàn.

3. Tạo SSH Key Trên HSM: Thay vì sử dụng ssh-keygen, tạo key trực tiếp trên HSM:

ssh-keygen -D /usr/lib/opensc-pkcs11.so -s user-hsm-key

4. Trích Xuất Public Key:

ssh-keygen -D /usr/lib/opensc-pkcs11.so -e > ~/.ssh/id_hsm.pub

Thêm public key id_hsm.pub vào tập tin authorized_keys trên máy chủ từ xa.

5. Cấu Hình SSH Sử Dụng HSM: Thêm đoạn sau vào tập tin cấu hình SSH của bạn ~/.ssh/config:

Host *
 IdentityAgent /run/user/1000/gnupg/S.gpg-agent.ssh

Bây giờ, SSH sẽ tự động sử dụng key được bảo mật bằng phần cứng để xác thực.

Lợi ích khi sử dụng HSM cho quản lý SSH Key

• Bảo mật cao hơn: Private key không bao giờ rời khỏi phần cứng.
• Bảo vệ chống trộm cắp: Ngay cả khi hệ thống bị xâm nhập, key vẫn được an toàn.
• Tuân thủ: Hữu ích để đáp ứng các yêu cầu tuân thủ an ninh trong các ngành có quy định nghiêm ngặt.

FAQs

1. Làm thế nào để tạo SSH key trong Linux?

Để tạo SSH key trong Linux, sử dụng lệnh ssh-keygen trong terminal. Mặc định, lệnh này sẽ tạo ra một cặp key RSA:

ssh-keygen -t rsa -b 4096 -C "your_email@example.com"

Để có hướng dẫn chi tiết từng bước, hãy tham khảo bài viết “How To Set Up SSH Keys.”

2. ssh-keygen trong Linux là gì?

ssh-keygen là công cụ dòng lệnh dùng để tạo, quản lý và chuyển đổi các SSH key. Nó cho phép bạn tạo các thông tin xác thực an toàn cho truy cập từ xa. Bạn có thể tìm hiểu thêm về ssh-keygen trong bài viết “How to Create SSH Keys with OpenSSH on macOS or Linux.”

3. Làm thế nào để tạo SSH-2 RSA key trên Linux?

SSH-2 là giao thức chuẩn hiện nay cho xác thực SSH. Để tạo SSH-2 RSA key, chạy lệnh:

ssh-keygen -t rsa -b 4096

Chi tiết thêm về việc thêm SSH key có thể được tìm thấy trong tài liệu “How to Add SSH Keys.

4. Làm thế nào để tạo một SSH key hợp lệ?

Một SSH key hợp lệ cần thỏa mãn các tiêu chí sau:

• Sử dụng kiểu key mạnh, ví dụ như RSA (4096-bit) hoặc Ed25519.
• Đảm bảo private key được lưu trữ và bảo vệ an toàn.
• Sử dụng passphrase để tăng cường bảo mật.
• Tránh sử dụng các thuật toán yếu như DSA.

Để hiểu sâu hơn về quy trình mã hóa và kết nối của SSH, hãy xem “Understanding the SSH Encryption and Connection Process.”

5. Làm thế nào để tạo SSH key từ terminal?

Chỉ cần chạy:

ssh-keygen

Lệnh này sẽ tạo ra cặp public và private key, thường được lưu trong thư mục ~/.ssh/.

6. Làm thế nào để tạo private key?

Lệnh ssh-keygen tự động tạo ra private key. Private key thường được lưu tại:

~/.ssh/id_rsa

hoặc đối với tiêu chuẩn mới hơn:

~/.ssh/id_ed25519

Hãy giữ tập tin này an toàn và không chia sẻ cho người khác.

7. Sự khác biệt giữa public và private SSH keys là gì?

8. Làm thế nào để vô hiệu hóa xác thực bằng mật khẩu trên máy chủ Linux?

Để tăng cường bảo mật, hãy vô hiệu hóa xác thực bằng mật khẩu bằng cách chỉnh sửa tập tin cấu hình SSH:

sudo nano /etc/ssh/sshd_config

Tìm dòng:

PasswordAuthentication yes

Thay đổi thành:

PasswordAuthentication no

Sau đó khởi động lại SSH:

sudo systemctl restart ssh

Để biết thêm chi tiết, hãy tham khảo “How to Create SSH Keys with OpenSSH on macOS or Linux.”

Kết luận

Hiện tại, bạn đã cấu hình thành công xác thực dựa trên SSH key trên máy chủ của mình, cho phép đăng nhập mà không cần sử dụng mật khẩu tài khoản. Từ đây, có rất nhiều hướng đi khác nhau. Nếu bạn muốn tìm hiểu thêm về cách làm việc với SSH, hãy xem hướng dẫn “SSH Essentials” của chúng tôi.