{"id":145,"date":"2017-04-05T21:00:03","date_gmt":"2017-04-06T00:00:03","guid":{"rendered":"https:\/\/www.linuxpro.com.br\/2017\/04\/ssh-sem-senha\/"},"modified":"2026-09-08T02:31:58","modified_gmt":"2026-09-08T05:31:58","slug":"ssh-sem-senha","status":"publish","type":"post","link":"https:\/\/www.linuxpro.com.br\/es\/2017\/04\/ssh-sem-senha\/","title":{"rendered":"Usando chaves de autentica\u00e7\u00e3o no SSH"},"content":{"rendered":"

\"Mascote<\/p>\n

Nota (2026):<\/strong> O howto de 2017 gerava RSA (ssh-keygen -t rsa<\/code>) e desligava senha com UsePAM no<\/code> + \/etc\/init.d\/ssh restart<\/code>. Hoje o default \u00e9 Ed25519<\/strong>; PAM permanece ligado; o drop-in vai em sshd_config.d<\/code>; s\u00f3 se corta senha depois de testar a chave numa segunda sess\u00e3o.<\/div>\n

Senha no SSH ainda cai em brute-force. O par de chaves \u2014 p\u00fablica no servidor, privada na sua m\u00e1quina, protegida por passphrase \u2014 \u00e9 o login de 2026. O OpenSSH do Ubuntu 24.04\/26.04 j\u00e1 gera Ed25519 se voc\u00ea chamar ssh-keygen<\/code> sem flags (desde o 9.5). O resto \u00e9 permiss\u00e3o, ssh-copy-id<\/code> e n\u00e3o se trancar do lado de fora.<\/p>\n

<\/p>\n

Gere a chave no cliente<\/h2>\n

Como o seu usu\u00e1rio, nunca como root:<\/p>\n

ssh-keygen -t ed25519 -a 64 -C \"$(whoami)@$(hostname)-2026\"\n<\/code><\/pre>\n
Aceite ~\/.ssh\/id_ed25519<\/code>. Coloque uma passphrase de verdade \u2014 a chave privada sem frase \u00e9 um login em arquivo. -a 64<\/code> aumenta as rodadas KDF. Servidor velho que n\u00e3o fala Ed25519 (raro): ssh-keygen -t rsa -b 4096<\/code>. DSA est\u00e1 morto no OpenSSH 7+.<\/p>\n
chmod 700 ~\/.ssh\nchmod 600 ~\/.ssh\/id_ed25519\nchmod 644 ~\/.ssh\/id_ed25519.pub\n<\/code><\/pre>\n
Instale a p\u00fablica no servidor<\/h2>\n
ssh-copy-id<\/code> cria ~\/.ssh<\/code>, acerta permiss\u00e3o e anexa a linha em authorized_keys<\/code>:<\/p>\n
ssh-copy-id -i ~\/.ssh\/id_ed25519.pub usuario@servidor\n# porta n\u00e3o padr\u00e3o:\nssh-copy-id -i ~\/.ssh\/id_ed25519.pub -p 2222 usuario@servidor\n<\/code><\/pre>\n
Sem ssh-copy-id<\/code>:<\/p>\n
ssh usuario@servidor 'mkdir -p ~\/.ssh && chmod 700 ~\/.ssh'\ncat ~\/.ssh\/id_ed25519.pub | ssh usuario@servidor 'cat >> ~\/.ssh\/authorized_keys && chmod 600 ~\/.ssh\/authorized_keys'\n<\/code><\/pre>\n
Teste antes<\/strong> de mexer no sshd<\/code>:<\/p>\n
ssh -i ~\/.ssh\/id_ed25519 -o IdentitiesOnly=yes usuario@servidor\n<\/code><\/pre>\n
Tem que entrar sem a senha da conta (a passphrase da chave, se tiver, o agent pergunta). Deixe essa sess\u00e3o aberta. Abra outro terminal para o endurecimento.<\/p>\n
Desligue senha \u2014 sem UsePAM no<\/h2>\n
No Ubuntu, UsePAM no<\/code> (o conselho de 2017) quebra outros caminhos do PAM. Mantenha PAM. Use drop-in, n\u00e3o edite o sshd_config<\/code> inteiro:<\/p>\n
sudo tee \/etc\/ssh\/sshd_config.d\/99-keys-only.conf <<'EOF'\nPasswordAuthentication no\nKbdInteractiveAuthentication no\nPubkeyAuthentication yes\nPermitRootLogin prohibit-password\nEOF\nsudo sshd -t && sudo systemctl reload ssh\n<\/code><\/pre>\n
No RHEL\/Rocky o servi\u00e7o \u00e9 sshd<\/code>: sudo systemctl reload sshd<\/code>. Confirme na sess\u00e3o que ficou aberta, e numa nova<\/em>:<\/p>\n
ssh usuario@servidor\n<\/code><\/pre>\n
Se a nova falhar, a sess\u00e3o antiga ainda salva. N\u00e3o feche o console at\u00e9 a chave funcionar duas vezes.<\/p>\n
Agent, config, chave f\u00edsica<\/h2>\n
ssh-agent<\/code> (ou o gnome-keyring) segura a privada destrancada na sess\u00e3o gr\u00e1fica:<\/p>\n
eval \"$(ssh-agent -s)\"\nssh-add ~\/.ssh\/id_ed25519\n<\/code><\/pre>\n
Um ~\/.ssh\/config<\/code> evita flag:<\/p>\n
Host lab\n  HostName 192.0.2.10\n  User nilton\n  IdentityFile ~\/.ssh\/id_ed25519\n  IdentitiesOnly yes\n<\/code><\/pre>\n
YubiKey \/ FIDO2: ssh-keygen -t ed25519-sk<\/code> (OpenSSH 8.2+). A privada n\u00e3o sai do token. ssh-copy-id -i ~\/.ssh\/id_ed25519_sk.pub usuario@servidor<\/code>.<\/p>\n
O que ficou<\/h2>\n
Ed25519, ssh-copy-id<\/code>, testar, s\u00f3 ent\u00e3o cortar senha. O diagrama de 2017 (cliente, sess\u00e3o, chaves) continua v\u00e1lido; o algoritmo e o init.d<\/code> n\u00e3o. Man page: man ssh-keygen<\/code>, man sshd_config<\/code>.<\/p>","protected":false},"excerpt":{"rendered":"
Senha no SSH ainda cai em brute-force. O par de chaves \u2014 p\u00fablica no servidor, privada na sua m\u00e1quina, protegida por passphrase \u2014 \u00e9 o login de 2026. O OpenSSH do Ubuntu 24.04\/26.04 j\u00e1 gera Ed25519 se voc\u00ea chamar ssh-keygen … Read more<\/a><\/p>","protected":false},"author":0,"featured_media":0,"comment_status":"closed","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[2],"tags":[14,4],"class_list":["post-145","post","type-post","status-publish","format-standard","hentry","category-linux","tag-howto","tag-linux"],"_links":{"self":[{"href":"https:\/\/www.linuxpro.com.br\/es\/wp-json\/wp\/v2\/posts\/145","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/www.linuxpro.com.br\/es\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/www.linuxpro.com.br\/es\/wp-json\/wp\/v2\/types\/post"}],"replies":[{"embeddable":true,"href":"https:\/\/www.linuxpro.com.br\/es\/wp-json\/wp\/v2\/comments?post=145"}],"version-history":[{"count":4,"href":"https:\/\/www.linuxpro.com.br\/es\/wp-json\/wp\/v2\/posts\/145\/revisions"}],"predecessor-version":[{"id":1077,"href":"https:\/\/www.linuxpro.com.br\/es\/wp-json\/wp\/v2\/posts\/145\/revisions\/1077"}],"wp:attachment":[{"href":"https:\/\/www.linuxpro.com.br\/es\/wp-json\/wp\/v2\/media?parent=145"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/www.linuxpro.com.br\/es\/wp-json\/wp\/v2\/categories?post=145"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/www.linuxpro.com.br\/es\/wp-json\/wp\/v2\/tags?post=145"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}