SSH-Schlüssel: Mit ssh-keygen Linux-Server ohne Passwort absichern

Die Absicherung von Serverzugängen über das Secure Shell Protocol (SSH) gehört zu den zentralen Maßnahmen der IT-Sicherheit in Linux-Infrastrukturen. Im Mittelpunkt etablierter Sicherheitskonzepte steht dabei die Umstellung von passwortbasierten Anmeldungen auf kryptografische Schlüsselpaare.

Durch den Einsatz des Dienstprogramms ssh-keygen wird die Authentifizierung grundlegend verändert: Anstelle statischer Passwörter kommt ein asymmetrisches kryptografisches Verfahren zum Einsatz, das automatisierte Angriffe auf Zugangsdaten unterbindet und administrative Arbeitsabläufe absichert.

Funktionsweise und Verteilung der kryptografischen Schlüssel

Der technische Ablauf basiert auf der Erzeugung eines Schlüsselpaars auf dem Client-System. Bei der klassischen RSA-Variante generiert der Befehl ssh-keygen eine private Datei im Verzeichnis ~/.ssh sowie den dazugehörigen öffentlichen Schlüssel mit der Endung .pub.

Zur Autorisierung hinterlegt die Administration den öffentlichen Schlüssel in der Datei authorized_keys des jeweiligen Zielbenutzers auf dem Server. Meldet sich der Client an, verschlüsselt der Server eine zufällige Zeichenfolge mit dem hinterlegten öffentlichen Schlüssel.

Der Anmeldevorgang gelingt erst, wenn der Client diese Daten mit seinem passenden privaten Schlüssel erfolgreich entschlüsselt und verifiziert zurücksendet.

Während die Absicherung von Servern über SSH-Keys zum Standard gehört, kämpfen viele Anwender im Alltag noch mit unsicheren Passwörtern auf ihren Endgeräten. Dieser kostenlose Guide zeigt Ihnen, wie Sie mit KeePassXC die volle Kontrolle über Ihre digitalen Zugänge zurückgewinnen und alle Passwörter sicher auf dem eigenen Computer verwalten. Kostenlosen KeePassXC-Ratgeber herunterladen

Für die Übertragung des öffentlichen Schlüssels auf Zielsysteme stehen mehrere Werkzeuge bereit. Der Befehl ssh-copy-id überträgt den Schlüssel direkt und unterstützt die Angabe abweichender Netzwerkports.

Alternativ lässt sich die Datei über das Protokoll scp kopieren und manuell an die Datei authorized_keys anfügen. Bei Umgebungen mit mehreren Zielmaschinen müssen sämtliche autorisierten öffentlichen Schlüssel auf den jeweiligen Systemen eingetragen sein.

Für wiederkehrende Rollouts und Remote-Batch-Operationen lässt sich die Schlüsselerzeugung und Verteilung auch über Skripte automatisieren. Der schlüsselbasierte Ansatz schützt Netzwerke vor Brute-Force-Attacken und ermöglicht automatisierte Abläufe ohne interaktive Passworteingabe.

Protokollstandards, Härtung und moderne Algorithmen

Das SSH-Protokoll operiert standardmäßig auf TCP-Port 22 und wird in Rechenzentren primär durch Implementierungen wie OpenSSH oder Dropbear bereitgestellt. Während die veraltete Protokollversion 1 durch fehleranfällige Prüfsummenverfahren als unsicher eingestuft wird, nutzt Version 2 moderne Diffie-Hellman-Schlüsselaustausche.

In gängigen Linux-Distributionen variieren die Versionsstände: openSUSE Leap 15.6 arbeitet mit OpenSSH 9.6p1, Debian 13.7 aktualisierte seinen Softwarestand im September, und neuere Distributionen wie Ubuntu führen OpenSSH 10.5. Anfang Oktober erschien zudem die Version OpenSSH 10.6, die unter anderem den hybriden Post-Quanten-Signaturalgorithmus ssh-mldsa44-ed25519 einführte sowie strengere Kontrollen vor der Authentifizierung durchsetzt.

Wer die Sicherheitsvorteile moderner Linux-Systeme wie Ubuntu selbst testen möchte, kann dies ohne Risiko für die bestehende Windows-Installation tun. Ein kostenloser PDF-Report erklärt Schritt für Schritt, wie Sie Linux einfach von einem USB-Stick starten und ohne Datenverlust ausprobieren. Ubuntu risikofrei vom USB-Stick testen

Neben RSA gewinnen moderne Schlüsseltypen wie Ed25519 und hardwaregestützte FIDO2-Schlüssel zunehmend an Bedeutung. Zur Absicherung der Systeme gelten strenge Dateirechte als zwingende Voraussetzung: Das Verzeichnis ~/.ssh erfordert Zugriffsrechte nach chmod 700, der private Schlüssel darf mit chmod 600 ausschließlich für den Eigentümer lesbar sein, während der öffentliche Schlüssel mit chmod 644 bereitsteht.

Umfassende Härtungsmaßnahmen sehen zudem vor, die passwortbasierte Anmeldung in der Serverkonfiguration vollständig zu deaktivieren, direkte Root-Logins zu sperren und die Weiterleitung von Agenten einzuschränken. Auch in Programmiersprachen wie PHP ist die Verwaltung von Schlüsseln abbildbar, etwa über eigene Funktionen zur Administration von Public-Key-Subsystemen.