SSH (Secure Shell)

Login: ssh [email protected]

Key-Based Auth (Der Profi-Weg):

1. Lokal Schlüssel erzeugen: ssh-keygen.
2. Public Key auf Server kopieren: ssh-copy-id user@host.
3. Login ohne Passwort: ssh user@host.

Config (~/.ssh/config): Damit du dir keine IPs merken musst:

Host meinserver
    HostName 1.2.3.4
    User admin
    IdentityFile ~/.ssh/id_ed25519

Jetzt reicht: ssh meinserver.

1. Tunneling (Port Forwarding)

• Local Forwarding (-L): "Mach, dass Port 8080 auf meinem Laptop auf Port 80 vom Server zeigt." (Zugriff auf internes Intranet).
• Remote Forwarding (-R): "Mach, dass Port 80 auf dem Server auf meinen Laptop zeigt." (Dem Kunden lokal laufende Webseiten zeigen: ngrok Prinzip).
• Dynamic Forwarding (-D): SOCKS-Proxy. Leite allen Browser-Traffic durch den Server.

2. SSH Agent Forwarding (-A)

Du bist auf PC A. Loggst dich auf Server B ein. Willst von B auf Github zugreifen. Dein Key liegt aber auf A. Du willst ihn nicht auf B kopieren (unsicher!). Agent Forwarding leitet die Krypto-Challenge von B zurück an A. A unterschreibt, B sendet an Github. Der Private Key verlässt nie PC A. Vorsicht: Wenn Admin auf B "böse" ist, kann er den Agenten nutzen, solange du eingeloggt bist.

3. Hardening

Standard-Einstellungen sind oft okay, aber für High-Security:

• PermitRootLogin no (Nur als User rein, dann sudo).
• PasswordAuthentication no (Nur Keys erlauben. Brute Force zwecklos).
• AllowUsers peter (Whitelist).

1. SSH Multiplexing (ControlMaster)

Wenn du viele Befehle hintereinander an einen Server schickst (z.B. per Skript), dauert jeder SSH-Verbindungsaufbau (Handshake) ca. 1-2 Sekunden. Mit Multiplexing bleibt die erste Verbindung im Hintergrund offen. Weitere Befehle "rutschen" durch die bereits stehende Leitung. In der ~/.ssh/config:

Host *
    ControlMaster auto
    ControlPath ~/.ssh/sockets/%r@%h-%p
    ControlPersist 10m

Das beschleunigt Tools wie Ansible massiv, da der klobige Krypto-Handshake nur einmal pro Session stattfinden muss.

2. Zertifikatsbasierte Authentifizierung

Key-based Auth (Public Keys in authorized_keys) ist mühsam bei 1000 Servern. Große Firmen (Netflix, Facebook) nutzen SSH Certificates. Dabei wird nicht jeder Key auf jeden Server kopiert. Stattdessen vertrauen alle Server einer zentralen Certificate Authority (CA). Der Entwickler fragt die CA: "Unterschreibe meinen Key für 8 Stunden." Der Server prüft nur die Unterschrift der CA und lässt den Entwickler rein. Vorteil: Keine verwaisten Keys auf alten Servern, automatische Ablaufdaten und zentrales Logging, wer wann wo war.

3. Ed25519 vs. RSA 4096

Früher war RSA der Goldstandard. Doch RSA-Keys sind groß (4096 Bit für hohe Sicherheit) und mathematisch anfälliger für zukünftige Angriffe. Heute nutzt man fast immer Ed25519 (Elliptic Curve). Vorteile:

• Kürzer (nur 256 Bit) bei gleicher oder höherer Sicherheit wie RSA 4096.
• Viel schneller beim Signieren und Verifizieren.
• Resistenter gegen Seitenkanalangriffe (z.B. Messung der CPU-Zeit zur Key-Extraktion). Wer heute ssh-keygen -t ed25519 nutzt, ist auf dem Stand der Technik.