Différences

Ci-dessous, les différences entre deux révisions de la page.

--- start:raspberry:ssh:doc [2022/11/12 17:18] – [Authentification par clés] gerardadmin
+++ start:raspberry:ssh:doc [2026/07/08 17:36] (Version actuelle) – [Authentification par clés] admin
@@ Ligne 178: / Ligne 178: @@
 <code>$ ssh-keygen</code>
+ou plus securisé
+<code>$ ssh-keygen -t rsa -b 4096 -C "your_email@example.com"</code>
 Choisissez un mot de passe "fort", du type de ceux que l'on réserve au compte root, avec des lettres, chiffres, différentes casses et des symboles éventuellement. Au minimum 10 caractères, et ni de noms propres, dates de naissances ou mot existant dans un dictionnaire (peu importe la langue), ces précautions vous prémuniront contre les attaques qui consistent à tester un grand nombre de mots de passes courants à l'aide de programmes spécialisés. Cela n'est important que si votre utilisation de ssh passe par le réseau Internet, si elle ne concerne que votre réseau local comme dans notre exemple le nom du chat fera l'affaire ! Si vous voulez générer des clés sans mot de passe, laisser blanc.\\
@@ Ligne 194: / Ligne 200: @@
 Cette commande va effectuer plusieurs tâches importantes, à commencer par la création d'un répertoire "~/.ssh" sur le serveur, avec des permissions adaptées de "700" (rwx%%------%%). À l'intérieur de ce répertoire
 sera créé un fichier "authorized_keys" avec des permissions de "600" (rw%%-------%%) qui contiendra la clé publique créée auparavant avec "ssh-keygen" sur le poste client.\\
+<note tip>Il convient également de noter qu'il est essentiel que les autorisations de fichiers soient correctes pour que l'authentification par clé SSH fonctionne. Le serveur SSH est très attentif à la sécurité et rejettera les connexions si les autorisations sont trop ouvertes. Assurez-vous que vos fichiers disposent de ces autorisations :
+</note>
+    *Votre répertoire personnel : **chmod 755 ~**.
+    *Le répertoire .ssh: **chmod 700 ~/.ssh**.
+    *Le fichier authorized_keys: **chmod 600 ~/.ssh/authorized_keys**.
 Ces opérations peuvent être effectuées manuellement, en copiant la clé publique sur le serveur, __à condition que le répertoire "~/.ssh" y existe déjà__. Un exemple pour effectuer ces opérations depuis le poste client via "ssh" (utilisé de manière simple le temps de l'opération), vers le poste serveur (ici "famille@192.168.1.2") :\\
@@ Ligne 358: / Ligne 371: @@
 Bien sûr cela fonctionne même si "salon" ne dispose normalement pas d'un accès Internet, mais simplement d'un accès au réseau local, alors que l'utilisateur "geek" sur "bureau" dispose lui d'un accès Internet. On comprend bien que ces mécanismes de "tunnel" peuvent facilement servir à contourner un pare-feu, un routeur utilisant le NAT ou même un système de filtrage basé sur un proxy (type "protection parentale"). Le "tunnel ssh" est très pratique dans certains usages, il peut être un cauchemar pour un administrateur réseau en permettant aux utilisateurs de "s'évader" du réseau local, et de créer par la même occasion des failles de sécurité... Tout dépend de l'usage qu'on en fait.\\
-<WRAP info>Le port 80 que nous avons "exporté" dans le dernier exemple est celui qui sert aux serveurs Internet comme "apache", et celui qu'utilisent les navigateurs Internet pour se connecter. Pour que "l'export" avec un "tunnel ssh" fonctionne il faut que ce port soit libre, c'est à dire qu'un navigateur Internet ou un autre service ne soit pas en fonction sur ce port.</WRAP>
+<note tip>Le port 80 que nous avons "exporté" dans le dernier exemple est celui qui sert aux serveurs Internet comme "apache", et celui qu'utilisent les navigateurs Internet pour se connecter. Pour que "l'export" avec un "tunnel ssh" fonctionne il faut que ce port soit libre, c'est à dire qu'un navigateur Internet ou un autre service ne soit pas en fonction sur ce port.</note>
-<WRAP danger>Si vous utilisez les "tunnel ssh" pour contourner un pare-feu ou un proxy à votre travail, dans votre université ou autres cas similaires, vous vous exposez à des sanctions extrêmement graves. En utilisant cette technique vous ouvrez l'ordinateur au réseau Internet, offrant une porte d'entrée potentielle à des pirates que les administrateurs réseau s'efforcent de tenir à l'écart. Si un piratage résulte de votre "bidouillage" vous pourrez être condamné à payer des dommages et intérêts colossaux, en plus d'être renvoyé bien sûr... À bon entendeur.</WRAP>
+<note warning>Si vous utilisez les "tunnel ssh" pour contourner un pare-feu ou un proxy à votre travail, dans votre université ou autres cas similaires, vous vous exposez à des sanctions extrêmement graves. En utilisant cette technique vous ouvrez l'ordinateur au réseau Internet, offrant une porte d'entrée potentielle à des pirates que les administrateurs réseau s'efforcent de tenir à l'écart. Si un piratage résulte de votre "bidouillage" vous pourrez être condamné à payer des dommages et intérêts colossaux, en plus d'être renvoyé bien sûr... À bon entendeur.</note>
@@ Ligne 376: / Ligne 389: @@
 {{ commande:ssh:firefox_sshproxy1.png?480 }}
+{{ :start:raspberry:ssh:firefox_sshproxy1.jpg?direct&600 |}}
@@ Ligne 621: / Ligne 635: @@
   * Sur Windows le logiciel "**putty**" peut agir comme un client ssh, avec une interface graphique.\\
-  * Certains gestionnaires de fichiers, comme [[konqueror:konqueror:|Konqueror]] ou [[midnight_commander:|Midnight Commander]], supportent le protocole "**fish**" basé sur ssh, tapez juste dans la barre d'url "%%fish://famille@192.168.1.2%%" (sans guillemets) et vous naviguerez dans l'arborescence de fichiers distante via ssh. Mais la ligne de commande est tellement plus simple...\\
+  * Certains gestionnaires de fichiers, comme [[https://www.linuxpedia.fr/doku.php/konqueror/konqueror|Konqueror]] ou [[https://www.linuxpedia.fr/doku.php/midnight_commander|Midnight Commander]], supportent le protocole "**fish**" basé sur ssh, tapez juste dans la barre d'url "%%fish://famille@192.168.1.2%%" (sans guillemets) et vous naviguerez dans l'arborescence de fichiers distante via ssh. Mais la ligne de commande est tellement plus simple...\\
   * Si vous testez des configurations hasardeuses, qui nécessitent un redémarrage du démon "sshd" et risquent de vous faire perdre l'accès au serveur "ssh" en cas d'erreur, vous pouvez utiliser "[[http://www.webmin.com/index.html|webmin]]" comme "assurance". "webmin" est une interface "web" de configuration de différents services, elle est accessible à distance avec un simple navigateur Internet, et couvre la configuration de ssh. Bien que "webmin" n'ait pas toujours une bonne réputation quant à sa sécurité, cela peut constituer une bonne "assurance" le temps d'être sûr de votre configuration "ssh".\\
@@ Ligne 634: / Ligne 648: @@
-[[http://www.linuxpedia.fr/forum/index.php?action=pm;sa=send;u=15|Envoyer un message au mainteneur]]
 ==================================================================