SSH und scp

SSH, was ist das?

SSH ist ein Telnetdienst, der eine verschlüsselte Leitung vom Arbeitsplatz zum Zielrechner aufbaut. Für die Verschlüsselung wird eine Public-Key-Algorithmus verwendet.

Warum SSH?

Da das Internet nicht unbedingt vertrauenswürdig ist, sollten sensible Daten -wie Benutzername und Passwort- nicht im Klartext über das Netz gehen. Darum ist es zwingend erforderlich, wenigstens diesen Teil der Verbindung vor Mitlesen auf der Netzwerkleitung zu schützen. Ein geeigneter Schutz ist eine Verschlüsselung wie sie von SSH angeboten wird.

Sicheres FTP = scp

Da die oben genannten Sicherheitsprobleme genauso auf FTP wie auf Telnet zutreffen, bietet die SSH auch ein zweites Tool an, mit dem Sie sicher Dateien von einem Rechner zum anderen transportieren können, inklusive gesicherter Authentifizierung.

SSH bietet dazu einen erweiterten Kopierbefehl (scp) an, der analog zu SSH die Authentifizierung durchführt, dann aber statt einer Shell einen einfachen Dateitransfer durchführt.
wobei
Ein Beispiel:

Sie wollen rekursiv Ihr lokales .public_html - Verzeichnis auf den Webserver spiegeln:
oder Sie wollen vom Arbeitsgruppenserver eine Datei auf ihren lokalen Rechner kopieren:

Einlogen ohne Passwortabfrage

SSH kennt zwei Authentisierungsverfahren: Passwort- und Schlüsselaustausch. Oben haben wir schon den Passwortaustausch kennengelernt. Der Schlüsselaustausch baut allein auf der Tatsache auf, dass die Rechner gegenseitig bereits etwas mehr kennen und daraufaufbauend eine Kommunikation aufbauen können. hierfür ist es allerdings notwendig, dass man bereits einmal auf diesem Rechner eingelogt war.

Einrichtung Schritt für Schritt:

• Erstellung eines eigenen Schlüsselpaares
• Einrichten der Konfiguration
• Test durchführen

Vorab eine kurze Erläuterung des Testszenarios:
Der Benutzername alfons sei auf dem Computer pc_source (z.B. ihrem lokalen Arbeitsplatz) gültig, während auf einem zweiten Rechner pc_destination (z.B. dem Arbeitsgruppenserver) ihr Login a.mueller sei. Im weiteren gehen wir davon aus, dass Sie, da Sie sich häufig auf dem Server einloggen, nicht bei jeder SSH-Sitzung das Passwort eingeben wollen.

Erstellung eines eigenen Schlüsselpaares

Voraussetzungen: In der SSH Serverkonfiguration ist die public key basierende Validierung zu aktivieren.
Prüfen Sie in der Datei /etc/ssh/sshd_config ob die Einstellung aktiviert ist:

Loggen Sie sich dann wie gewohnt (z.B. als User "Alfons") auf Ihrem Arbeitsplatzrechner (pc_source) ein. Wechseln Sie in das .ssh Verzeichnis mittels "cd ; cd .ssh". Sollte das Verzeichnis nicht existieren (es kann auch .ssh2 heißen, je nach Version) müssen es erst anlegen: "mkdir .ssh".

Nun müssen Sie sich ein Schlüsselpaar mit "ssh-keygen -t [rsa|dsa]" erstellen. Ein Schlüsselpaar besteht aus einem öffentlichen (public) und einem geheimen (private) Schlüssel. Rufen Sie dazu "ssh-keygen -t dsa" auf.
Es erscheint ein Dialog (um die Standardwerte zu übernehmen, einfach "Return" drücken):
Sie werden aufgefordert einen Verzeichnisnamen anzugeben, in dem das Schlüsselpaar erstellt werden soll. Drücken Sie hier einfach die Eingabetaste um den Standardwert zu übernehmen. Anschließend werden Sie aufgefordert, ein Kennwort einzugeben und zu bestätigen. Dieses Passwort wird verwendet, um Ihren privaten Schlüssel vor Missbrauch durch Fremde zu schützen (das Passwort kann natürlich auch leer bleiben, dass wird aber nicht empfohlen). Jetzt liegen zwei neue Dateien in Ihrem .ssh - Verzeichnis:

Einrichten der Konfiguration

Den nun angelegten öffentlichen Schlüssel müssen Sie nun auf dem Zielrechner hinterlegen. Dies erledigen Sie mit folgenden Schritten:
Kopieren des Keys auf den Server:

Tipp: Gibt es auf Ihrem System den Befehl ssh-copy-id können sie das Kopieren des Public Keys mit der Eingabe von auch abkürzen (Default ist ~/.ssh/id_rsa.pub, ansonsten mit ssh-copy-id -i ~/.ssh/id_dsa.pub [user@]machine ausführen ). Der Befehl kopiert den Public Key automatisch nach ".ssh/authorized_keys".

Test durchführen

Versuchen Sie nun einen Login auf a.mueller@pc_destination von alfons@pc_source aus. Sie werden kein Passwort mehr eingeben müssen. z.B.:
ssh a.muller@pc_destination

Möglicher Fehler: Authentication refused: bad ownership or modes for directory

Solle nach dem Test trotzdem noch ein Passwort erscheinen, liegt wahrscheinlich noch ein Rechtsproblem mit dem "/home/username" oder ".ssh" Verzeichnis vor. Dazu sucht man in den entsprechenden Logfiles z.B. nach der Meldung "Authentication refused: bad ownership or modes for directory /home/username" (bei Ubuntu z.B. in /var/log/auth.log).

Sollte diese Fehlermeldung erscheinen können sie das Problem mit den folgenden Befehlen lösen:
Danach sollte es funktionieren.

Viel Spaß damit

scp -P 1234 user@server:/Verzeichnis/Quelle ~/Ziel

Host MeinServer1
Port 1234
User MeinLoginName

Host MeinServer2
Port 4321
User MeinLoginName2