Configurare le chiavi SSH senza perdere l’accesso

Generare e identificare la chiave in locale

Con un client OpenSSH aggiornato, crea una chiave dedicata con ssh-keygen -t ed25519 -a 100 -f ~/.ssh/vpseverywhere_admin. Inserisci una passphrase robusta quando richiesta. Il comando crea un file privato vpseverywhere_admin e un file pubblico vpseverywhere_admin.pub. Se Ed25519 non è disponibile per uno specifico vincolo di compatibilità o politica, scegli una configurazione RSA approvata per l’ambiente invece di copiare una vecchia chiave.

Visualizza l’impronta della chiave pubblica con ssh-keygen -lf ~/.ssh/vpseverywhere_admin.pub e salvala in un registro affidabile. Non mostrare o trasmettere il file privato e non incollarlo in un campo del pannello denominato SSH key: tale campo deve accettare la chiave pubblica su una riga che inizia con ssh-ed25519.

• Usa una chiave amministrativa separata invece di una chiave condivisa dal team.
• Proteggi il dispositivo locale con cifratura del disco e aggiornamenti.
• Conserva il backup della chiave privata soltanto in uno spazio cifrato e con accesso controllato.

Installare la chiave pubblica

Quando l’accesso con password è disponibile temporaneamente, installa la chiave pubblica con ssh-copy-id -i ~/.ssh/vpseverywhere_admin.pub USER@SERVER_IP, sostituendo entrambi i segnaposto. In alternativa, aggiungi la riga esatta tramite il controllo di provisioning del fornitore. Se modifichi manualmente il VPS, la directory ~/.ssh dell’utente deve appartenergli e avere normalmente modalità 700; authorized_keys deve avere normalmente modalità 600.

Connettiti esplicitamente con ssh -i ~/.ssh/vpseverywhere_admin USER@SERVER_IP. Al primo accesso, prima di accettare verifica l’impronta della chiave host del server tramite una fonte indipendente e affidabile. Una modifica può essere legittima dopo la reinstallazione, ma può anche indicare un’intercettazione o che l’indirizzo è stato riassegnato.

• Non risolvere un avviso sulla chiave host cancellando alla cieca il vecchio record.
• Quando possibile usa un amministratore nominativo non root.
• Mantieni la chiave di ciascuna persona su una riga distinta per revocarla con precisione.

Rendere affidabile l’uso quotidiano

Crea un alias nel client SSH locale in ~/.ssh/config con nome Host, indirizzo HostName, account User e IdentityFile ~/.ssh/vpseverywhere_admin. Se il sistema operativo lo richiede, rendi il file leggibile soltanto dal tuo account. Un agente SSH riduce la ripetizione della passphrase, ma sblocca le chiavi solo su dispositivi fidati e non inoltrare l’agente verso host non affidabili.

Nei team, distribuisci chiavi pubbliche individuali tramite la gestione della configurazione e rimuovile appena termina l’accesso. Non far circolare una chiave privata tramite chat o ticket. Le chiavi sostenute dall’hardware possono rafforzare l’amministrazione di alto valore quando client e server supportano il tipo scelto.

• Denomina le chiavi per ruolo e ambiente senza includere segreti.
• Rivedi le chiavi autorizzate dopo cambi di personale o automazione.
• Usa durate brevi e controllate dell’agente sulle postazioni condivise.

Disabilitare i percorsi più deboli soltanto dopo le prove

Mantieni aperta la sessione corrente, avvia un secondo terminale e verifica che la nuova chiave possa accedere ed eseguire il comando amministrativo previsto. Convalida poi ogni modifica del server SSH con sudo sshd -t prima di sudo systemctl reload ssh. Password e accesso root diretto possono essere disabilitati quando nessun utente o automazione necessari ne dipendono.

Mantieni un metodo di recupero tramite la console del fornitore e documenta come ripristinare l’accesso. Rimuovere una chiave smarrita è urgente; perdere l’unica chiave funzionante senza accesso console è un’interruzione del servizio.