Cum configurezi autentificarea cu cheie SSH pe un VPS

Înlocuiește autentificarea cu parolă cu o pereche de chei SSH: generezi o cheie, copiezi jumătatea publică pe server, o testezi și oprești autentificarea cu parolă. Cel mai mare câștig de securitate pentru orice VPS nou, în câteva comenzi.

Autentificarea cu parolă e cea mai slabă parte a unui server nou: boții scanează internetul și lovesc portul 22 cu încercări zi și noapte. Înlocuirea parolelor cu o pereche de chei SSH elimină complet suprafața asta de atac și e primul lucru care merită făcut pe orice VPS nou. Iată tot procesul, în câteva comenzi.

Cum funcționează cheile SSH

Generezi o pereche: o cheie privată care rămâne pe calculatorul tău și o cheie publică pe care o pui pe server. Serverul îi pune o provocare oricui se conectează; doar cine are cheia privată pereche poate răspunde. Cheia publică o poți da liniștit oricui — pe cea privată o protejezi.

1. Generează o pereche de chei (pe propriul calculator)

ssh-keygen -t ed25519 -C "you@example.com"
# press Enter to accept the default path (~/.ssh/id_ed25519)
# set a passphrase for extra safety, or leave empty

Asta creează două fișiere: ~/.ssh/id_ed25519 (privată — nu o da nimănui) și ~/.ssh/id_ed25519.pub (publică).

2. Copiază cheia publică pe server

Calea ușoară, dacă te mai poți autentifica cu parolă:

ssh-copy-id root@YOUR.SERVER.IP

N-ai ssh-copy-id? Fă-o de mână:

cat ~/.ssh/id_ed25519.pub | ssh root@YOUR.SERVER.IP \
  "mkdir -p ~/.ssh && chmod 700 ~/.ssh && cat >> ~/.ssh/authorized_keys && chmod 600 ~/.ssh/authorized_keys"

3. Testează cheia înainte să schimbi ceva

Deschide un terminal nou și autentifică-te — nu ar trebui să ți se ceară parola serverului:

ssh root@YOUR.SERVER.IP

Dacă merge, ține sesiunea asta deschisă cât faci pasul următor, ca o greșeală să nu te poată încuia afară.

4. Oprește autentificarea cu parolă

Pe server, editează /etc/ssh/sshd_config:

sudo sed -i 's/^#\?PasswordAuthentication.*/PasswordAuthentication no/' /etc/ssh/sshd_config
sudo systemctl restart ssh    # on some distros the service is named sshd

De acum intră doar cheia ta, iar zgomotul constant de brute-force de pe portul 22 pur și simplu se lovește de zid.

Avertismente cinstite

Nu dezactiva niciodată parolele înainte să meargă cheia. Confirmă întâi autentificarea cu cheie într-un al doilea terminal — e singura regulă care previne încuierea pe dinafară.
Fă backup cheii private și gândește-te să adaugi o a doua cheie (un laptop și o copie de rezervă), ca pierderea unui dispozitiv să nu te încuie afară.
Dacă totuși te încui afară, o consolă de la furnizor te readuce înăuntru — EQVPS îi dă fiecărui VPS o consolă în browser exact pentru asta.

Pașii următori

O cheie SSH e primul pas spre un server întărit. Combin-o cu un firewall — vezi cum configurezi un firewall UFW și cum configurezi fail2ban — și parcurge toată lista de securitate pentru un VPS nou înainte să expui ceva. Pe un VPS fără KYC, plătit cu cripto, o cheie e și felul în care accesul rămâne cu adevărat al tău.

Cum transferi fișiere pe un VPS: scp, rsync și SFTP →

Întrebări frecvente

De ce o cheie SSH în loc de parolă?

O parolă poate fi ghicită sau spartă prin brute-force; boții lovesc portul 22 continuu. O pereche de chei SSH e practic imposibil de ghicit, iar după ce dezactivezi autentificarea cu parolă, încercările brute-force pur și simplu eșuează. E și mai comod — te autentifici fără să tastezi parola de fiecare dată.

Care e diferența dintre cheia publică și cea privată?

Perechea se generează împreună. Cheia privată (id_ed25519) rămâne pe propriul calculator și nu se dă nimănui. Cheia publică (id_ed25519.pub) se copiază pe server. Oricine îți poate ține în siguranță cheia publică; doar cheia privată pereche poate autentifica, așa că păzește-o pe cea privată.

ed25519 sau RSA — ce să generez?

ed25519 pentru orice e modern: chei mai scurte, mai rapide și sigure. Folosește RSA (cel puțin 4096 de biți) doar dacă trebuie să te conectezi la sisteme vechi care nu suportă ed25519. Comenzile de mai jos folosesc ed25519.

Ce fac dacă îmi pierd cheia privată?

Pierzi calea aceea de intrare. Dacă autentificarea cu parolă e încă pornită, folosește-o ca să adaugi o cheie nouă; dacă ai dezactivat-o, folosește consola furnizorului (EQVPS are o consolă în browser) ca să intri și să adaugi o cheie publică nouă. Păstrează un backup al cheii private și gândește-te să adaugi o a doua cheie, ca o singură pierdere să nu te încuie afară.

E sigur să dezactivez complet autentificarea cu parolă?

Da — după ce cheia merge și ai confirmat că te poți autentifica cu ea. Testează cheia într-un al doilea terminal înainte să închizi sesiunea curentă, ca o greșeală să nu te încuie niciodată afară. După asta, dezactivarea parolelor elimină toată suprafața de atac brute-force.

Comentarii

Încă nu există comentarii. Fii primul.