M3102 - TP 1
Configuration interface réseau - Utilisation de SSH

Lisez la page de manuel ssh(1) et trouvez la ligne de commande nécessaire pour vous connecter de la machine physique de TP vers le serveur virtuel de TP en tant que l'utilisateur user.

En exécutant cette commande, un message similaire au message suivant devrait apparaître :

The authenticity of host '192.168.194.10 (192.168.194.10)' can't be established.
ECDSA key fingerprint is SHA256:SQd8rO9+kH/WsLj2A4O1KkBj5FKw9dVYEqmiH42YDUQ.
Are you sure you want to continue connecting (yes/no)? 

Ce message indique que votre client ssh ne s'est jamais connecté au serveur virtuel de TP. Il vous demande alors de vérifier si l'empreinte (fingerprint en anglais) du certificat de la machine correspond bien à la machine à laquelle vous voulez vous connecter.

Le but de cette vérification est de vous assurer que vous vous connectez bien à une machine de confiance. En effet, si la machine à laquelle vous tentez de vous connecter n'est pas la votre, mais une machine contrôlée par un tiers malveillant, il pourrait récupérer votre mot de passe.

Lisez la page ssh-keygen(1) et trouvez comment afficher, sur votre serveur virtuel de TP, l'empreinte de la clé de type ECDSA du, stockée dans le fichier /etc/ssh/ssh_host_ecdsa_key.pub.

Vérifiez que cette empreinte correspond à celle que vous avez obtenue, sur votre machine physique de TP, en tentant de vous connecter au serveur virtuel de TP.

Si c'est le cas, vous pouvez saisir yes et établir la connexion.

Déconnectez vous du serveur virtuel de TP et effectuez à nouveau la connexion. Devez-vous à nouveau vérifier l'empreinte ? Pourquoi ?

Vous allez simuler ce qui se passerait si un tiers malveillant avait modifié le réseau pour que votre connexion n'aboutisse pas sur votre serveur mais sur un autre (en truquant les réponses du serveur DNS par exemple) ?

Pour cela vous allez modifier les clés du serveur virtuel de TP.

À l'aide de la commande ssh-keygen, générez, sur le serveur virtuel de TP, un nouvel ensemble de clés, de type ECDSA, puis redémarrez ensuite son serveur ssh à l'aide de la commande service ssh restart (ou systemctl restart ssh).

Refaites une tentative de connexion. Que se passe-t-il ? Pourquoi ?

Sur votre machine physique de TP, utilisez la commande ssh-keygen pour supprimer l'empreinte de l'ancienne clé.

Comme vous avez pu le voir dans les exercices précédents, il est possible de se connecter à une machine distante avec ssh en fournissant son login et son mot de passe.

Il existe une autre solution pour prouver votre identité au serveur. Cette solution est de vous authentifier à l'aide d'une paire de clés. C'est le même principe que celui utilisé pour la vérification de l'identité du serveur.

Dans cet exercice, vous allez donc vous fabriquer une paire de clés (publique et privée) que vous utiliserez ensuite pour vous connecter à votre serveur, sans avoir à donner votre mot de passe.

Sur votre machine physique de TP et seulement si vous n'avez pas déjà des clés SSH, fabriquez une paire de clés en utilisant la commande ssh-keygen pour fabriquer des clés de type RSA. Cette clé devra être générée dans le fichier par défaut : ~/.ssh/id_rsa.

Quand la commande vous le demande, saisissez une passphrase pour cette clé. Ce sera le mot de passe de la clé. En effet, pour plus de sécurité, cette clé sera stockée dans un fichier chiffré. La passphrase sert alors de clé de chiffrement.

La commande que vous avez utilisée a produit deux fichiers :

• id_rsa : c'est votre clé privée. Comme son nom l'indique, elle est privée et ne doit jamais être communiquée à quiconque ;
• id_rsa.pub : c'est votre clé publique. Vous pouvez communiquer cette clé. Elle permettra de vérifier, par des moyens cryptographiques, que vous possédez bien la clé privée associée.

Pour utiliser cette paire de clés, vous devez fournir à la machine sur laquelle vous voulez vous connecter votre clé publique. Dans le cas de ssh, un utilisateur peut autoriser une connexion en ajoutant une clé publique au fichier ~/.ssh/authorized_keys de la machine sur laquelle il veut se connecter.

Lisez la page de ssh-copy-id(1) et trouvez comment ajouter la clé publique que vous venez de créer au compte user de votre serveur virtuel de TP.

Connectez-vous à votre serveur virtuel de TP en tant que user depuis votre machine physique de TP.

Sous Debian et par défaut on peut se connecter en tant que l'utilisateur root via ssh uniquement si l'authentification n'est pas faite par l'échange de mot de passe. Cette politique de sécurité est fixée par une valeur fixée à la clé PermitRootLogin dans le fichier /etc/ssh/sshd_config. Elle est justifiée par le choix d'éviter les authentifications interactives (via la saisie d'un mot de passe au clavier par exemple).

Après avoir lu la page sshd_config(5) rédigez une procédure vous permettant d'ajouter votre clé publique comme clé autorisée pour l'utilisateur root de votre serveur virtuel de TP. La politique de sécurité de Debian doit être la même avant et après l'application de votre procédure.

Faites valider votre procédure par votre enseignant puis appliquez votre procédure et vérifiez que vous pouvez vous connecter depuis votre machine physique de TP vers votre serveur virtuel de TP en tant que root.