SSH

Definicja SSH

SSH (Secure Shell) to kryptograficzny protokół sieciowy umożliwiający bezpieczne logowanie, zarządzanie serwerami i przesyłanie danych przez niezaufane sieci. Używany jest głównie przez administratorów systemów i specjalistów DevOps do zarządzania infrastrukturą z poziomu wiersza poleceń.

Kluczowe funkcje SSH

• Zdalne logowanie – bezpieczny dostęp do powłoki systemu (shell) na serwerze.
• Tunelowanie (port forwarding) – szyfrowanie połączeń innych aplikacji (np. VNC, RDP).
• Transfer plików – poprzez SCP i SFTP.
• Uwierzytelnianie kluczami publicznymi – bezpieczniejsza alternatywa dla haseł.
• Komendy zdalne – uruchamianie poleceń bez pełnej sesji terminala.

Architektura działania

1. Klient SSH – uruchamiany na stacji roboczej; inicjuje połączenie z serwerem.
2. Serwer SSH (np. OpenSSH) – nasłuchuje na porcie 22 i obsługuje sesje.
3. Uwierzytelnianie – hasło lub klucz publiczny/klucz prywatny.
4. Kanał szyfrowany – cała komunikacja jest szyfrowana symetrycznie po uzgodnieniu klucza.

Typowe zastosowania

• Zdalne zarządzanie serwerami Linux i BSD.
• Automatyzacja zadań poprzez skrypty (np. Ansible, rsync przez SSH).
• Przekierowanie portów (tunelowanie aplikacji, SSH socks proxy).
• Przesyłanie plików (backup, synchronizacja danych).
• Logowanie bez hasła z wykorzystaniem kluczy SSH.

Zalety SSH

• Szyfrowanie end-to-end – zapewnia poufność i integralność danych.
• Bezpieczne uwierzytelnianie – wspiera uwierzytelnianie asymetryczne.
• Brak potrzeby dodatkowych usług VPN – wystarczy port 22.
• Integracja z narzędziami CI/CD i devops – powszechnie obsługiwany.

Wyzwania i ograniczenia

1. Zarządzanie kluczami – wymaga dobrej polityki rotacji i przechowywania.
2. Brak GUI – praca odbywa się wyłącznie w terminalu.
3. Ryzyko ataków brute-force – szczególnie przy uwierzytelnianiu hasłem.
4. Złośliwe skrypty SSH (np. ssh-copy-id w phishingu) – ryzyko socjotechniczne.

Dobre praktyki bezpieczeństwa

• Używanie kluczy RSA/ED25519 zamiast haseł.
• Ograniczenie dostępu tylko z wybranych adresów IP.
• Włączenie uwierzytelniania dwuskładnikowego (np. U2F).
• Monitorowanie logów /var/log/auth.log pod kątem nieautoryzowanych prób logowania.
• Automatyczne blokowanie IP po wielokrotnych błędnych próbach (np. Fail2Ban).

Powiązane narzędzia

SSH vs inne protokoły