Come configurare una connessione SSH

Cos’è SSH

SSH (Secure Shell) è un protocollo di rete crittografico che permette di collegarsi in modo sicuro a un computer remoto e inviare comandi attraverso una connessione cifrata. In pratica, è lo strumento standard per amministrare server e dispositivi di rete da remoto, sostituendo protocolli insicuri come Telnet.

Predisporre l’host di produzione all’uso di SSH (nuovo WePanel)

Per chi si utilizza Register.it per l’hosting del proprio sito web, per poter attivare il protocollo SSH è necessario acquistare l’hosting Linux “advanced”; costa un po’ di più, ma permette di gestire fino a 10 diversi domini, invece dei 5 permessi dall’hosting “base”.
Una volta acquistata l’opzione “advanced”, nel pannello di controllo WePanel compare la voce “Accesso SSH”.

Cliccando sulla voce si apre la pagina di Accesso SSH.

Nella finestra “Accesso SSH” sono indicati il nome dell’Host e la Porta a cui connettersi (nella Figura 1. sono stati nascosti i valori di questi campi), queste informazioni saranno utili durante la configurazione del client SSH.

La pagina permette dei generare una coppia di chiavi, di cui una (detta “pubblica”) rimane sul server e una (detta “privata”) dev’essere copiata sul computer client, ovvero quello che deve accedere via SSH all’host (per maggiori informazioni sulle chiavi pubbliche/private vedere cos’è la crittografia asimmetrica).

• Posizionare la slitta “Accesso SSH Risorsa” nella posizione “ON” (verde).
• Cliccare sul bottone Genera nuova chiave. Viene aperta la corrispondente finestra:

Valorizzare i seguenti campi:

• il nome della chiave (il valore predefinito è “id_rsa”, io utilizzo “id_rsa_4096_nomeutente” (dove nomeutente è l’utente che utilizzo per accedere all’hosting linux);
• una password sicura (in terminologia SSH “passphrase”), questa frase dovrà essere inserita al momento della connessione al server, perciò è meglio evitare le password generate automaticamente e sceglierne una complessa, ma più facile da ricordare e digitare.
• il tipo e la lunghezza della chiave che sarà generata (io lascio i valori predefiniti RSA e 4096).

Cliccare sul bottone “Genera chiave”. Verranno generate sia la chiave pubblica che quella privata. Ritornando sulla pagina di Accesso SSH le due nuove chiavi si trovano nella parte bassa dello schermo (nella Figura 4. sono stati parzialmente nascosti i nomi).

• Nella riga della chiave pubblica, trascinare la slitta “Risorsa” nella posizione ON (verde).
• Fare il download della chiave privata (bottone Opzioni sul lato destro dello schermo).

Predisporre l’host di produzione all’uso di SSH (vecchio cPanel)

Per chi si utilizza Register.it per l’hosting del proprio sito web, per poter attivare il protocollo SSH è necessario acquistare l’hosting Linux “advanced”; costa un po’ di più, ma permette di gestire fino a 10 diversi domini, invece dei 5 permessi dall’hosting “base”.
Una volta acquistata l’opzione “advanced”, nel pannello di controllo cPanel compare la voce “Accesso SSH”, che permette l’accesso alla pagina di configurazione di SSH:

Nella pagina di configurazione sono indicati il nome dell’host e della porta per la connessione SSH e si viene subito avvisati che l’accesso via password non è consentito, mentre è consentito quello via chiave.

Ciò significa che deve essere generata una coppia di chiavi, di cui una (detta “pubblica”) rimane sul server e una (detta “privata”) dev’essere copiata sul computer client, ovvero quello che deve accedere via SSH all’host (per maggiori informazioni sulle chiavi pubbliche/private vedere cos’è la crittografia asimmetrica).

• Per generare le chiavi, cliccare sul bottone “Gestisci chiavi SSH” in fondo alla pagina.
• Il sito apre la nuova pagina “Gestisci chiavi SSH” in cui si deve cliccare su “Genera una nuova chiave”.
• Il sito apre la nuova pagina “Generazione di una chiave pubblica” in cui si deve inserire:
  • il nome della chiave (il valore predefinito è “id_rsa”, io utilizzo “id_rsa_2048_nomeutente” (dove nomeutente è l’utente che utilizzo per accedere all’hosting linux);
  • una password sicura (in terminologia SSH “passphrase”), che deve essere ripetuta nel campo successivo della form e salvata in un cassetto protetto della propria scrivania (si è caldamente invitati a utilizzare il generatore di password presente nella pagina);
  • il tipo e la lunghezza della chiave che sarà generata (io lascio i valori predefiniti RSA e 2048).
• Infine, cliccare sul bottone “Genera chiave” per ottenere la coppia di chiavi pubblica/privata, che vengono salvate nella cartella “.ssh” nella root del proprio sito.
• Il sito fornisce una pagina con l’esito dell’operazione; cliccare su “”indietro”.
• Il sito ritorna sulla pagina “Gestisci chiavi SSH”, dove adesso compaiono i nomi delle due chiavi generate.
• Nella sezione “Chiavi pubbliche” cliccare sul link “Gestione” a destra della chiave, quindi il bottone “Authorize” nella nuova pagina e infine il bottone “Indietro” dopo la risposta “Per la chiave “id_rsa_2048_nomeutente.pub” è stata concessa l’autorizzazione”.
• Il sito ritorna sulla pagina “Gestisci chiavi SSH”, dove adesso a destra del nome della chiave compare la scritta “authorized”.

Creare la chiave .ppk sul server

Si deve ora configurare il client per accedere all’host via SSH e poter digitare i comandi di GIT. Innanzitutto si deve scaricare la chiave privata sul proprio computer.

• Nella sezione “Chiavi private” cliccare il link “Visualizza/scarica” in fondo a destra nella riga della chiave.
• Il sito apre la pagina  “Visualizza o scarica chiavi SSH”. Cliccare il bottone “Scarica chiave” e salvare la chiave “id_rsa_2048_nomeutente” in una cartella sicura (ovvero di cui viene tenuto un backup) del proprio computer.
• Salvare anche la chiave in formato .ppk (viene utilizzata dal tool PuTTY, trattato più avanti): inserire nell’apposito campo la password generata in precedenza (la passphrase) e cliccare su  “Converti”.
• Il sito apre una pagina con visualizzata la chiave in formato .ppk; cliccare su “Scarica chiave” e salvare la chiave .ppk nella stessa cartella sicura dove è stata salvata la chiave privata, quindi cliccare su “Torna a gestisci chiavi”.

Predisporre il computer client all’uso di SSH (ambiente Windows)

Si deve ora configurare il client SSH. Il software più diffuso a questo scopo in ambiente Windows è il tool gratuito PuTTY,  scaricabile da qui sia a 32-bit che a 64-bit.
L’installazione rende disponibili tre programmi: pageant.exe, putty.exe, puttygen.exe.
Lo strumento PuTTY (putty.exe) non utilizza direttamente la chiave privata generata sul server, ma una propria chiave (un file con estensione .ppk che significa appunto PuTTY Private Key). Per generare questa chiave si utilizza il programma PuTTY Key Generator (puttygen.exe).

Creare la chiave .ppk sul client Windows

Quando lo si esegue, il programma PuTTY Key Generator presenta la finestra principale.

• Scegliere le voci di Menu: File > Load private key.
• Nella finestra di selezione del file, scegliere l’opzione All files (*.*) invece dell’opzione Putty Private Key Files (*.ppk) e selezionare la chiave privata scaricata dal server. Il programma presenta la finestra per l’inserimento della passphrase:

• Fornire la passphrase (queslla usata quando sono state generate le chiavi sul server) e cliccare su OK. Il programma conferma l’esito del caricamento della chiave con l’apposita finestra.

• Cliccare il bottone OK. Il programma presenta nuovamente la finestra principale.
• Cliccare sul bottone “Save private key”. A questo punto la chiave .ppk è stata impostata.

Configurare PuTTY

Avviare e configurare il programma PuTTY, impostando le seguenti opzioni:

• Sezione “Session”: impostare il nome e la porta dell’host (quelli indicati nella pagina di Accesso SSH sul server di produzione):

• Sezione “Connection > Data”: impostare lo username per l’Auto-login (lo stesso utilizzato per accedere al pannello di controllo sul server di produzione). Dato che l’autenticazione è fatta via chiave, il nome utente serve solo ad indicare all’host a quale directory utente accedere.

• Sezione “Connection > SSH > Auth”: inserire il nome della chiave .ppk generata in precedenza, completo dell’intero path:

• Tornare alla sezione “Session”, inserire un nome per la sessione appena configurata nel campo “Saved session” (io inserisco un mnemonico dell’host di produzione, ad esempio “register.it”) e cliccare sul bottone “Save” (per le sessioni successive, cliccare su “Load”, per ricaricare i parametri).

Per avviare una sessione, cliccare sul bottone “Open”. PuTTY apre una bash nella quale va inserita la password con cui si è generata la chiave (“passphrase”). L’host restituisce il prompt “~” (ambiente Linux), che indica che si è posizionati nella home dell’utente.

Errore: the server host key is not cached in the registry…

Quell’avviso di PuTTY è normale la prima volta che ti colleghi a un server via SSH: significa che la chiave host del server non è ancora memorizzata nel registro di Windows.

Cosa significa

• Ogni server SSH ha una host key (chiave pubblica del server) che serve a garantire che ti stai collegando al server giusto e non a un impostore.
• PuTTY, al primo collegamento, non ha ancora questa chiave salvata, quindi ti mostra l’avviso: “The server host key is not cached in the registry…”
• Se accetti, PuTTY memorizza la chiave nel registro di Windows. Alla prossima connessione, se la chiave è la stessa, non vedrai più l’avviso.

Cosa fare

• Se hai accesso al server come amministratore (è un caso raro) puoi verificare l’autenticità del server confrontando l’impronta (fingerprint) della chiave host mostrata da PuTTY con quella configurata sul server.
  Sul server puoi ottenere la fingerprint con:

ssh-keygen -lf /etc/ssh/ssh_host_ed25519_key.pub

(o il file corrispondente alla chiave host in uso).

• Se la fingerprint coincide, puoi cliccare su Yes: la chiave verrà salvata nel registro e non riceverai più l’avviso.
• Se non sei sicuro, clicca su No e verifica con l’amministratore del server.

Attenzione

• Se in futuro PuTTY ti mostra un avviso che la chiave host è cambiata, prendilo sul serio: potrebbe essere un segnale di man‑in‑the‑middle attack o di reinstallazione del server.
• In quel caso, verifica sempre con chi gestisce il server prima di accettare la nuova chiave.

Usare PuTTY Authentication Agent (pageant.exe)

Pageant è un SSH authentication agent. Mantiene le chiavi private in memoria già decodificate, così non serve digitare ogni volta la passphrase quando ci si collega a un server.

Quando lo si esegue, il programma presenta una icona (un monitor con un cappello) nel system tray di Windows.

• Fare click sull’icona con il tasto destro del mouse, viene presentato il menu contestuale:

• Cliccare sulla voce Add Key;
• selezionare una chiave .ppk;
• fornire la passphrase quando richiesto;
• Ripetere l’operazione per tutte le chiavi .ppk

A questo punto, quando si avvia una sessione SSH, non si dovrà più digitare la passphrase, perché verrà fornita in tempo reale da Pageant.

Predisporre il computer client all’uso di SSH (ambiente Linux Ubuntu)

Su Linux l’accesso via SSH è molto più diretto rispetto a PuTTY su Windows, perché il client SSH è già integrato in Ubuntu.

Esempio di connessione:

ssh -i ~/.ssh/id_rsa utente@server.example.com

-i specifica la chiave privata da usare (qui è a scopo illustrativo: di default il client cerca in ~/.ssh/id_rsa o ~/.ssh/id_ed25519, quindi se si usano i nomi standard non serve l’opzione -i).

Per semplificare l’accesso SSH è utile creare un file di configurazione:

• avviare un Terminale;
• creare la cartella .ssh nella Home dell’utente e copiare al suo interno la chiave privata (id_rsa nell’esempio);
• limitare i permessi di accesso alla cartella .ssh e alla chiave:

# Vai nella home dell'utente
cd ~

# Crea la cartella .ssh, il parametro -p assicura che la cartella venga creata 
# solo se non esiste già.
mkdir -p ~/.ssh

# Imposta i permessi corretti
chmod 700 ~/.ssh

# dopo aver copiato la chiave id_rsa nella cartella
chmod 600 ~/.ssh/id_rsa

• creare un file config nella cartella ~/.ssh e inserire al suo interno le seguenti istruzioni :

Host nome_connessione
    HostName server.example.com
    User utente
    port 22
    IdentityFile ~/.ssh/id_rsa

A questo punto, per avviare la connessione è sufficiente digitare:

ssh nome_connessione

Risorse online

• Wikipedia: Secure Shell
• IONOS: Usare la chiave SSH con PuTTY su Windows