7 SERVEUR PROXY
7. 1. L'authentification en SSH
La commande de base pour lancer une connexion SSH est :
user@pc-client ]$ ssh -l login pc-serveur
Ce qui équivaut à :
sevadministratif@pc-daf ]$ ssh login@pc-occgoma
- l'utilisateur servadministratif de la machine pc-daf va se
connecter sur le compte de l'utilisateur login sur la machine distante
pc-serveur occgoma.
De plus toute connexion SSH repose sur une authentification,
l'utilisateur qui lance la connexion depuis une machine locale doit en effet
s'identifier sur la machine distante. Pour cela il existe deux
possibilités la première est de taper chaque fois le mot de passe
correspondant au nom d'utilisateur donné dans la commande de connexion
et qui est login.
user@pcdaf ]$ ssh -l login pc-occgoma login@pc-occgoma
password:
La seconde beaucoup plus fiable, l'utilisation d'une clef de
chiffrement (parfois appelée à tort clef de cryptage).
Cette clef est le garant de l'identité électronique
et permet de se passer de mot de passe lors de la connexion.
La technique présentée dans ce document pour faire
« rebondir » une connexion SSH sur une machine proxy est basée
sur l'utilisation des clefs de chiffrement.
7.2. Génération de clef de chiffrement
la clef de chiffrement est la suivante :
user@pc-client]$ ssh-keygen -t rsa -b 4096
Generating public/private rsa key pair.
Enter file in which to save the key (/home/user/.ssh/id_rsa):
Ce dossier est toujours par défaut le dossier ~/.ssh qui
est un dossier caché dans le répertoire de connexion de
l'utilisateur, le ~ est la syntaxe abrégée de /home/user et
désigne le répertoire de connexion par défaut de
l'utilisateur dans un système Linux/Unix. En tapant entrée pour
conserver cette valeur par défaut il vient :
Enfin un résumé du travail effectué pour
générer les clefs est affiché :
Your identification has been saved in /home/user/.ssh/id_rsa.
Your public key has been saved in /home/user/.ssh/id_rsa.pub. The key
fingerprint is:
49:99:10:a8:80:a0:80:99:34:09:3b:1a:86: cf: 1d: 6b
login@pc-client
|
Partie publique d'une clef de chiffrement 4096 bits de type rsa
pour l'utilisateur user sur la machine pc-client :
|
ssh-rsa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 user@pc-client
L'instruction user@pc-client est facultative, il est possible
de la remplacer par l'adresse IP ou un vide ce qui est utile lorsque que
l'ordinateur ne se connecte pas sur le web en utilisant une adresse ip fixe
(cas d'un ordinateur personnel avec connexion par modem
réinitialisée à chaque mise en fonction).
BEGIN RSA PRIVATE KEY
MIIJJQIBAAKCAgEAsAQld3wDloQxCC/ANMMAFS8/p1tYqMOKNinmb+f9EUV6WXsb
IOrlF104LVa1hcduowroDKLxOYczdB7FW+TnFCuUdstCCajOdr0lg+tjw7qtGAG3
Bv16V45vnBAPq2NP00Y942yhasAbt7U1yRbHXMHYZu2dKSongh/tUrcO66thIRyH
rNZD7pDrg+jc7REMW2JhPGukstjaH4+pJo+p0ML4+d5IoegOIIMlxANTqysaCSqI
/QfbzN5JZgJEtWUYgEA9Vsb4EO/dGwSdDaoZ8aKfKUvGDGR6HpmRJH2qAeztoi42
kiBxRMRlHedsQg8PphvGi+6VDTf8uKY4OW7BUWV7MBIfIJj+gf4shIeQWs7zaLx4
k9zeTwspFQTN7jYdFTotNelJWEmNBKj+TwEZj7Vd8mM157xt/lGp5Rx9EdrcNsGJ
3+xvYumqLdTuPJkslqIW9WjvB6mJLcKgkYe6URi+JKif47YdXeI6CcFcd5BVEjJn
1t2Yyj5QNHOJbzVvvOLH9OKvdIl7V5S29/dkUz9CO/WpoSJRzUsQdXMocHTS0Jc0
siz9op1Ii2h2nyPkJsvlzopIOBd5zW9UZj2u/VTjKNKCSHoeiJVqrLt/CmwlTPXv
V053nmYa+MF/HAogVP7OwHaecxz0SNwNUou4YOu/GuO6SNKEWyy2ydQdM9sCASMC
ggIAeLJi1Zbd443YeqRmipRX1AMkVYB3Tyb/sBy7RWvgu2LXjdDCJTNbQzibjM2+
TRsKCWaQfbGPd+euQP8oPwNcoB3iJZKw8K5Ebq2WEVDz8+24hX2E0Zfe3PP0wskv
UPOkc53hS32wg7bub1ev2ljDOEpogRf2vSQ4WTp22aIY3B2+8iIxJg9EhlS+wNox
F5apYzwla0J/kJSy09A5eYcVW/No5dpAbwWGB6pjChDo6mayxHTwOHpq1Z+9TUNi
UH/WSVCfFu7V/Pw/2AMp3Xv0iG+DFQDCUaP797nCnK3w62Ci8t3cRvGswXC6XaYB
F1rI5u55hIZXlAkiUrsfPVNCulVgXEoWBo5W5aa2IrOa6husLrb+M4bMC8Aqp5hA
ihR8UV+cNAAm8q/W+s+QwDnEnK/7PWElIZOJJO9uVpd3WNYwvTEzMASUSjlwVN8w
nzJIp0xNWqZ9PZyKvRHMwEn0cKiZ8kJ7rpncMFJpEWIRBSb2kxlSx0R8F9b3nwN+
mUmXyCHyVeQPdff7W3hcQrzeCB6Vy1GEEnRK9EZRvflekMcdkOA9ZDUwR2rqDGBw
Q0+vCux8TOlWWm3UxXyiqI4b9Xrf+O+eEYgYTQNutInwEV90zcZHb/AFL+8P4sxr
WosVnRlCgd0DVmlcGKftpYBu+s5lF/UbW6jsPdueYIEp3AsCggEBAN4A64C63bt6
+V9q+fh/ndwOC6n/NpSaLNBONnZW5lKMuAe2WfRrbzMyGLSisSx3kqSRFxJrD9GU
OfmIlBlSs61haI6ZyNuRtdooME0iX8XluBZ3hRtDj0caCl+3AcsYzP0F9fcjbr6Y
rlKhH8KlwYMSummDMs7LOaKxytUH7sXEybtuf9V9T08qhAhdhCNMNt3gyNcHjjDb
RAtwA3z79qUPWH5TVRFfYvLtnTMxpTVJCJiqBUJoi7/cpHmrO0uTmgXJILKORndh
c0YWiUOUNUezJcIbQVsIq8yhHXaFnjetrZ8dkkAC8Kkw5KaFoPkSk3TDhMEochbF
IZqEdI3IpIMCggEBAMr4aKVZeU3vebZNQp55fN/fmPJGp3kFO8KcqiXDk9sFu9xd
usn6cdXsE4WohYBjQzrTzHh0sZ5cbnr1vWZG/J/JD6CFcQowFiZo1xek9KnyP+cD
9sWKKTN6JP5JoftyX9CCWBCIFlcjk8IVBfpd498awUP2lsrt7dd1TGQTi48C70st
YnXw7oYCQ3zS59X++zTG//JsIrKJOlkT55UtPAK4WicygE4NLNka8X32l8URLkUG
g8jsaHdxiPU79SLdR/vovRfYKHGZpP+oBtlsu86Sex1WkrVnYgeCsIuHmcedzPAw
MNRL+cTHwECidYyun7SoKIfJ8RARX1yWCIn3g8kCggEAUnVeyWn6lhe7tboFEygW
D+f1tCuX7g1hGiut1C7n1YS5YfNF+7LgKPVZoi3Mx1+c3goBQVr3PzcOOBzJSzv5
mCt+m12xARjdJSTevZBstzgRLOqQhngt5zWO0xgWm+Sj6POV33OPiJ8cLVHJ99cq
nmYKuXnfq+UVaFCqbGIIOtQQajBbXey3DsamEbxVprXofkwtVy6xKBbtY1V9o3OH
fyL0+7iNT5h1Nai2uz5TTk5TpmsJRI07OKJo+f3FkRmQ+tWtDx7m+SQyIVjT5eaX
cmccpy6x3/voCi021EBCFK45LHiyqg+4eVtNnO/OE16rzEifBepzhMzgmHpXLVkn
KQKCAQBilemvZfkXOc1nLNc3B87wZUpJyovbshW2TBgg+JhFz5XCznCrPyFZRsen
Udpxj0yKSZ3UG2w2+bIBNYfhOGwTGIPu4bqP63h5DlnYSM6bsquMhRUbw9kxlI
T6Zy0Sc5Y+GhoS9sJzkjwRGIPDt6/l3fLqEDeuE8w/HndzUoNKAdM00UttpBFwrW
Oo3c+DDfHtQWqY0yJWV7uTX4AAc0hW2eApYXSDpa0pKNo6jNbr6zz/bd7yttNyVD
6ewYP5f+A1SH7KXuCMx8LQqkHt7grYxBczFQy9CHThs8dRAtwayvLVmLr9+3WbUm
tU8J0Sj/+efM7Q6wCHAlp/WE106jAoIBAEpQelrj6WbnkweT1m8eN1ZVlfIFRLdY
NQbZPxKw85hy8NEeyfAdg6r24AytOa/qtYuNnsDqtSJfwPL2h7aeS10Aeo34K643
MQFazjRLZOwPxlLftTXL4xqppsx0aCKtKUTtlcNr1jl3NO2FIudIuOfUbCoR/dBb
EByseaTX1VR/FAT5h/BaegxW5uhJSf/5LCDZ1l6Lj/KOdQpeU33L0a8lUjvVXr2p
YQZ
O/HIKCTvhKp6sTjuZz7BqMfUl0fpEpVQCCEkgeJhfMynmbdpHYeVbdZD0pV85
duRCCc0CfqVr5b0QFzH9XXhgwPeMiSThT+KK6YiSX/EJ7XICVI8Yaew=
END RSA PRIVATE KEY
La partie privée de la clef de chiffrement ne doit en
aucun cas être partagée, elle est la propriété
exclusive d'utilisateur qui l'a créé.
Il ne faut jamais la déplacer, modifier les conditions
d'accès ou le contenu du fichier lui même.
Le degré de complexité de ces clefs est
évident et est assez impressionnant en comparaison de celui d'un mot de
passe classique.
| 
