Das hervorstechende neue Feature für OpenSSH 8.2 ist der Support für Fido/U2F. Damit lässt sich für SSH künftig eine Zwei-Faktor-Authentisierung über einen Hardware-Token einrichten.
U2F steht für Universal Second Factor, einem Industriestandard der Fido-Allianz, deren Anfänge bereits auf das Jahr 2009 zurückgehen. Ziel der Allianz ist es, eine möglichst einfach nutzbare Form einer Zwei-Faktor-Authentisierung anzubieten. Dabei genügt zum Anmelden nicht allein ein Passwort, sondern als zweiter Faktor kommt ein Hardware-Token zum Einsatz, etwa ein lokaler USB-Stick. Um den Token für eine Transaktion zu aktivieren, muss der Anwender ihn berühren, um seine physische Anwesenheit vor dem Rechner zu belegen.
Diese Form der Authentisierung klappt nun auch mit SSH. Das generiert für die Token die Public-Key-Typen “ecdsa-sk” und “ed25519-sk” zusammen mit den ergänzenden Zertifikat-Typen. Das erledigt “ssh-keygen”, der Nutzer schiebt die Keys dann auf den entsprechenden Token. Der folgende Befehl würde ein Schlüsselpaar generieren: “ssh-keygen -t ecdsa-sk -f ~/.ssh/id_ecdsa_sk”. Die SSH-Entwickler weisen darauf hin, dass der Hardware-Support für Ed25519 weniger verbreitet ist. Auch unterstützt nicht jede Hardware Resident Keys oder die “ssh-keygen”-Option “no-touch-required”, die es erlaubt, die Berührungsaktivierung eines Token zu umgehen.
Resident Keys
Die erwähnten Resident Keys sind ein Feature von Fido2, das OpenSSH 8.2 ebenfalls unterstützt. Gewöhnlich generiert SSH für Fido/U2F einen privaten Key für den Rechner und einen für den Token, der auf diesem verbleibt, sich also nicht vom USB-Gerät exportieren lässt. Möchte jemand den Token mit einem anderen Rechner verwenden, muss er dafür den Private Key des Rechners A auf den Rechner B kopieren, was umständlich ist. Resident Keys erlauben es, private Schlüssel für einen Token zu erzeugen, die sich auf einem anderen System direkt vom Token herunterladen lassen. Wie Nutzer diese Resident Keys generieren und später auf anderen Rechnern beziehen, verrät die Ankündigung zu OpenSSH 8.2. Sie erläutert auch die weniger spektakulären Neuerungen an Tools wie “sshd”, “ssh-keygen” oder “ssh”.
