SSH

Definicja SSH

SSH (Secure Shell) to kryptograficzny protokół sieciowy umożliwiający bezpieczne logowanie, zarządzanie serwerami i przesyłanie danych przez niezaufane sieci. Używany jest głównie przez administratorów systemów i specjalistów DevOps do zarządzania infrastrukturą z poziomu wiersza poleceń.

Kluczowe funkcje SSH

• Zdalne logowanie - bezpieczny dostęp do powłoki systemu (shell) na serwerze.
• Tunelowanie (port forwarding) - szyfrowanie połączeń innych aplikacji (np. VNC, RDP).
• Transfer plików - poprzez SCP i SFTP.
• Uwierzytelnianie kluczami publicznymi - bezpieczniejsza alternatywa dla haseł.
• Komendy zdalne - uruchamianie poleceń bez pełnej sesji terminala.

Architektura działania

1. Klient SSH - uruchamiany na stacji roboczej; inicjuje połączenie z serwerem.
2. Serwer SSH (np. OpenSSH) - nasłuchuje na porcie 22 i obsługuje sesje.
3. Uwierzytelnianie - hasło lub klucz publiczny/klucz prywatny.
4. Kanał szyfrowany - cała komunikacja jest szyfrowana symetrycznie po uzgodnieniu klucza.

Typowe zastosowania

• Zdalne zarządzanie serwerami Linux i BSD.
• Automatyzacja zadań poprzez skrypty (np. Ansible, rsync przez SSH).
• Przekierowanie portów (tunelowanie aplikacji, SSH socks proxy).
• Przesyłanie plików (backup, synchronizacja danych).
• Logowanie bez hasła z wykorzystaniem kluczy SSH.

Zalety SSH

• Szyfrowanie end-to-end - zapewnia poufność i integralność danych.
• Bezpieczne uwierzytelnianie - wspiera uwierzytelnianie asymetryczne.
• Brak potrzeby dodatkowych usług VPN - wystarczy port 22.
• Integracja z narzędziami CI/CD i devops - powszechnie obsługiwany.

Wyzwania i ograniczenia

1. Zarządzanie kluczami - wymaga dobrej polityki rotacji i przechowywania.
2. Brak GUI - praca odbywa się wyłącznie w terminalu.
3. Ryzyko ataków brute-force - szczególnie przy uwierzytelnianiu hasłem.
4. Złośliwe skrypty SSH (np. ssh-copy-id w phishingu) - ryzyko socjotechniczne.

Dobre praktyki bezpieczeństwa

• Używanie kluczy RSA/ED25519 zamiast haseł.
• Ograniczenie dostępu tylko z wybranych adresów IP.
• Włączenie uwierzytelniania dwuskładnikowego (np. U2F).
• Monitorowanie logów /var/log/auth.log pod kątem nieautoryzowanych prób logowania.
• Automatyczne blokowanie IP po wielokrotnych błędnych próbach (np. Fail2Ban).

Powiązane narzędzia

SSH vs inne protokoły