المفتاح العام لـ SSH

ما هو المفتاح العام لـ SSH في الكريبتو؟

المفتاح العام لـ SSH هو الجزء القابل للمشاركة من زوج مفاتيح SSH، ويتيح للخادم التحقق من أن المستخدم يمتلك المفتاح الخاص المطابق قبل السماح بالوصول عن بُعد.

في العملات المشفرة، تهم المفاتيح العامة لـ SSH لأن مشغلي العقد والمدققين وعمليات التعدين ومهندسي البنية التحتية والمطورين يستخدمون SSH غالبًا للوصول إلى الخوادم التي تشغل برمجيات البلوكشين.

SSH اختصار لـ Secure Shell، وهو بروتوكول يُستخدم لتسجيل الدخول الآمن عن بُعد وتنفيذ الأوامر ونقل الملفات وإدارة الخوادم.

توضح وثائق GitHub حول SSH أن SSH يوفر قناة آمنة عبر شبكة غير آمنة.

لا يساوي المفتاح العام لـ SSH المفتاح العام لمحفظة، أو عنوان بلوكشين، أو عبارة استرداد، أو مفتاح توقيع مدقق.

إنه بيانات اعتماد للتحكم في الوصول إلى أجهزة الكمبيوتر والخوادم، وليس مفتاحًا يُستخدم لإنفاق أصول الكريبتو على السلسلة.

يمكن عادةً مشاركة المفتاح العام بأمان لأنه لا يكشف المفتاح الخاص.

يجب أن يظل المفتاح الخاص المطابق سريًا لأنه يثبت هوية المستخدم أثناء مصادقة SSH.

توضح وثائق Microsoft حول المصادقة المستندة إلى مفاتيح OpenSSH أن المفتاح العام يوضع على خادم SSH ويمكن مشاركته دون المساس بالمفتاح الخاص.

ببساطة، المفتاح العام لـ SSH هو معرّف تسجيل الدخول إلى الخادم الآمن والقابل للمشاركة، ويساعد مشغلي بنية الكريبتو التحتية على الوصول إلى الأجهزة دون الاعتماد على كلمات المرور العادية.

أهمية المفاتيح العامة لـ SSH في الكريبتو

تكتسب المفاتيح العامة لـ SSH أهمية في الكريبتو لأن بنية البلوكشين التحتية تُدار غالبًا عبر خوادم Linux أو خوادم سحابية عن بُعد.

قد يستخدم مشغل المدقق SSH لتحديث عميل الإجماع أو فحص السجلات أو إعادة تشغيل خدمة أو تدوير الشهادات أو مراقبة استخدام القرص أو تصحيح نظام التشغيل.

وقد يستخدم مشغل العقدة الكاملة SSH لإدارة عميل التنفيذ وتكوين الشبكات وإدارة التخزين وحماية نقاط نهاية RPC.

وقد يستخدم مشغل التعدين SSH لإدارة خوادم المجمعات وأدوات المراقبة ووحدات التحكم بالبرامج الثابتة أو البنية التحتية الداعمة لعمليات التعدين.

وقد يستخدم المطور مفاتيح SSH لنشر التعليمات البرمجية أو الاتصال بمنصات التحكم بالمصدر أو الوصول إلى البنية التحتية للإنتاج.

يوضح دليل Ethereum لتشغيل عقدة أن تشغيل العقد والمدققين يتطلب برمجيات وعملاء ومزامنة وواجهات API وإعدادات تشغيلية.

ولأن هذه الخوادم قد تتحكم في بنية كريبتو قيّمة، يمكن أن يصبح ضعف أمان الوصول خطرًا ماليًا جسيمًا.

قد تتعرض عمليات تسجيل الدخول بكلمات المرور لهجمات التخمين بالقوة الغاشمة وإعادة استخدام كلمات المرور والتصيد الاحتيالي والبرامج الضارة أو المشاركة العرضية.

تقلل المصادقة المستندة إلى مفاتيح SSH الاعتماد على كلمات المرور باستخدام التشفير غير المتماثل.

بالنسبة إلى عمليات الكريبتو، يمكن أن يكون المفتاح العام لـ SSH المُدار جيدًا جزءًا أساسيًا، وإن كان بسيطًا، من أمن البنية التحتية.

كيف تعمل مصادقة المفتاح العام لـ SSH

تعمل مصادقة المفتاح العام لـ SSH باستخدام مفتاح عام ومفتاح خاص متطابقين.

يُنسخ المفتاح العام إلى حساب الخادم الذي ينبغي أن يسمح بالوصول.

ويبقى المفتاح الخاص على الكمبيوتر المحلي للمستخدم أو جهاز عتادي أو مدير مفاتيح آمن.

عند اتصال المستخدم بالخادم، يثبت عميل SSH امتلاكه للمفتاح الخاص دون إرسال المفتاح الخاص إلى الخادم.

يفحص الخادم هذا الإثبات مقابل المفتاح العام المخزن.

إذا كان الإثبات صالحًا وكانت أذونات الحساب صحيحة، يسمح الخادم بتسجيل الدخول.

إذا لم يطابق المفتاح الخاص المفتاح العام المخزن، تفشل المصادقة.

توضح وثائق OpenSSH من Microsoft أن خادم SSH والعميل يقارنان المفتاح العام من جهة الخادم بالمفتاح الخاص من جهة العميل أثناء المصادقة المستندة إلى المفاتيح.

هذا النموذج قوي لأن المفتاح الخاص لا يحتاج إلى الانتقال عبر الشبكة.

لكنه خطير أيضًا إذا سُرق المفتاح الخاص، إذ قد يتمكن المهاجم من تسجيل الدخول إلى أي مكان مُصرح فيه بالمفتاح العام المطابق.

المفتاح العام مقابل المفتاح الخاص

يُنشأ المفتاح العام لـ SSH والمفتاح الخاص لـ SSH معًا كزوج.

صُمم المفتاح العام لنسخه إلى الخوادم وحسابات استضافة الأكواد والأنظمة الأخرى التي تحتاج إلى التعرف على المستخدم.

وصُمم المفتاح الخاص ليبقى سريًا على جهاز المستخدم أو في تخزين مفاتيح آمن.

يوضح دليل OpenBSD لـ ssh-keygen أن ssh-keygen ينشئ مفاتيح مصادقة لـ SSH ويخزن المفتاح العام بالاسم نفسه للمفتاح الخاص مع امتداد .pub.

إذا حصل شخص على المفتاح العام فقط، فلا يمكنه عمومًا تسجيل الدخول باسم المستخدم.

وإذا حصل شخص على المفتاح الخاص وأي عبارة مرور لازمة، فقد يتمكن من تسجيل الدخول باسم المستخدم إلى الخوادم التي تثق بالمفتاح العام.

ولهذا يمكن مشاركة المفتاح العام، بينما يجب حماية المفتاح الخاص كسِر عالي القيمة.

في بنية الكريبتو التحتية، قد يؤدي سرقة مفتاح SSH خاص إلى اختراق الخادم أو توقف المدقق أو العبث بالتكوين أو تثبيت برمجيات ضارة أو سرقة ملفات حساسة.

المفتاح العام هو علامة الهوية، والمفتاح الخاص هو الإثبات.

لا ترفع مفتاحًا خاصًا أبدًا إلى خادم أو تطبيق دردشة أو نظام تذاكر أو مستودع عام أو مستند مشترك.

المفتاح العام لـ SSH مقابل المفتاح العام لمحفظة كريبتو

يختلف المفتاح العام لـ SSH عن المفتاح العام لمحفظة كريبتو.

يُستخدم المفتاح العام لـ SSH لمصادقة الخادم.

ويُستخدم المفتاح العام للمحفظة في تشفير البلوكشين ويرتبط بالعناوين والتوقيعات وملكية الأصول.

لا يستقبل المفتاح العام لـ SSH العملات المشفرة على البلوكشين.

ولا يسجل المفتاح العام للمحفظة أو العنوان المشتق منه عادةً الدخول إلى خادم عبر SSH.

يستخدم المفهومان تشفير المفتاح العام، لكنهما ينتميان إلى نظامين مختلفين.

وقد يؤدي الخلط بينهما إلى أخطاء جسيمة.

لا ينبغي للمستخدم لصق عبارة استرداد المحفظة في أداة SSH.

ولا ينبغي استخدام مفتاح توقيع المدقق كمفتاح SSH عادي.

ينبغي للمستخدم الاحتفاظ بمفاتيح الوصول إلى البنية التحتية منفصلة عن مفاتيح المحفظة ومفاتيح المدقق ومفاتيح السحب ومفاتيح API.

المفتاح العام لـ SSH مقابل عنوان البلوكشين

المفتاح العام لـ SSH ليس عنوان بلوكشين.

عنوان البلوكشين هو عادةً تمثيل أقصر مشتق من مفتاح عام لمحفظة أو بنية حساب.

أما المفتاح العام لـ SSH فعادةً ما يكون سلسلة نصية أطول تستخدمها برمجيات SSH لمصادقة مستخدم أو مضيف.

يمكن مشاركة عنوان البلوكشين لكي يرسل الآخرون التوكنات أو يعرضوا النشاط على السلسلة.

ويمكن مشاركة المفتاح العام لـ SSH لكي يمنح مسؤول الخادم أذونات تسجيل الدخول.

قد يؤثر نشر عنوان البلوكشين في الخصوصية المالية لأن الآخرين يستطيعون فحص السجل العام على السلسلة.

يكشف نشر مفتاح SSH عام عادةً معلومات مالية أقل، لكنه قد يعرّف شخصًا أو جهازًا في سجلات البنية التحتية.

يثبت عنوان البلوكشين المكان الذي يمكن إرسال الأصول إليه.

ويثبت المفتاح العام لـ SSH المفتاح الخاص الذي قد يصل إلى حساب خادم.

ينبغي التعامل مع كليهما بعناية، لكنهما يُستخدمان لعلاقات ثقة مختلفة.

شكل المفتاح العام لـ SSH

يكون المفتاح العام لـ SSH عادةً سطرًا نصيًا واحدًا.

وغالبًا ما يبدأ بنوع مفتاح مثل ssh-ed25519 أو ecdsa-sha2-nistp256 أو ssh-rsa.

ويكون الجزء الأوسط قيمة مفتاح طويلة مُرمزة.

وقد تحتوي النهاية على تعليق، مثل اسم مستخدم أو بريد إلكتروني أو اسم جهاز أو تسمية إنشاء.

يساعد التعليق الأشخاص على تحديد المفتاح لاحقًا.

ولا يوفر التعليق أمانًا بحد ذاته.

غالبًا ما ينتهي ملف المفتاح العام بامتداد .pub.

وقد يحمل ملف المفتاح الخاص المطابق اسمًا مشابهًا دون نهاية .pub.

يوضح دليل OpenBSD لـ ssh-keygen أن المفتاح العام يُخزن في ملف يحمل الاسم نفسه للمفتاح الخاص مع لاحقة .pub.

ينبغي للمستخدمين دائمًا التأكد من نسخ ملف .pub بدلًا من ملف المفتاح الخاص.

authorized_keys

ملف authorized_keys هو الملف الشائع من جهة الخادم الذي يسرد مفاتيح SSH العامة المسموح لها بتسجيل الدخول باسم مستخدم محدد.

في كثير من الأنظمة الشبيهة بـ Unix، يوجد هذا الملف داخل دليل .ssh الخاص بالمستخدم.

عند إضافة مفتاح عام إلى authorized_keys، يمكن للمفتاح الخاص المطابق المصادقة على ذلك الحساب إذا سمحت الأذونات وإعدادات خادم SSH بذلك.

هذا الملف بالغ الأهمية لأنه يحدد من يمكنه تسجيل الدخول عبر المصادقة المستندة إلى المفاتيح.

قد يصبح مفتاح قديم منسي في authorized_keys بابًا خلفيًا مخفيًا.

وقد يمنح المفتاح العام المنسوخ إلى حساب المستخدم الخطأ أذونات غير صحيحة.

يُعد ملف authorized_keys لحساب root حساسًا بشكل خاص لأن وصول root يمكنه التحكم بالخادم بأكمله.

ينبغي لمشغلي عقد الكريبتو مراجعة authorized_keys بانتظام وإزالة المفاتيح التي لم تعد مطلوبة.

ينبغي منح الوصول لحسابات مستخدمين محددة بالاسم تستخدم sudo حيثما أمكن، بدلًا من تسجيل الدخول المباشر إلى root.

تساعد الإدارة الجيدة لملف authorized_keys في تقليل نطاق الضرر الناتج عن سرقة مفتاح خاص.

ssh-keygen

ssh-keygen هي الأداة القياسية لإنشاء أزواج مفاتيح SSH وإدارتها في OpenSSH.

ينص دليل OpenBSD لـ ssh-keygen على أن ssh-keygen ينشئ مفاتيح المصادقة لـ SSH ويديرها ويحولها.

وينص الدليل نفسه على أن ssh-keygen ينشئ مفتاح Ed25519 افتراضيًا إذا لم يُحدد نوع مفتاح.

يُستخدم Ed25519 على نطاق واسع اليوم لأنه حديث ومضغوط وفعال لكثير من مهام مصادقة SSH.

لا تزال بعض الأنظمة تدعم مفاتيح RSA أو ECDSA لأغراض التوافق.

قد لا يُنصح بالخوارزميات القديمة أو أطوال المفاتيح القصيرة، بحسب البيئة والسياسة.

ينبغي للمستخدمين اتباع إرشادات نظام التشغيل وOpenSSH الحالية عند اختيار أنواع المفاتيح.

ينبغي أن يتضمن إنشاء المفتاح تعليقًا واضحًا ليسهل تحديد المفتاح لاحقًا.

بالنسبة إلى بنية الكريبتو التحتية، يمكن لتعليقات مثل validator-admin-laptop-2026 أو node-maintenance-key تسهيل عمليات التدقيق.

لا ينبغي أن يظل مفتاح لا يمكن تحديده موثوقًا على خوادم الإنتاج.

عبارات المرور

تُشفر عبارة المرور المفتاح الخاص أو تحميه أثناء التخزين.

يوضح دليل OpenBSD لـ ssh-keygen أن ssh-keygen يطلب عبارة مرور عند إنشاء المفاتيح، وأن عبارة المرور المفقودة لا يمكن استردادها.

تضيف عبارة المرور حماية إذا نُسخ ملف المفتاح الخاص أو سُرق من حاسوب محمول.

من دون عبارة مرور، قد يكون المفتاح الخاص المسروق قابلًا للاستخدام فورًا من قبل مهاجم.

ومع عبارة مرور، يجب على المهاجم أيضًا تخمين عبارة المرور أو سرقتها.

لا يجعل ذلك الأنظمة الضعيفة آمنة، لكنه يحسن الدفاع.

ينبغي لمشغلي بنية الكريبتو التحتية عادةً حماية مفاتيح SSH الخاصة المهمة بعبارات مرور قوية.

قد تتطلب الأنظمة المؤتمتة معالجة خاصة لأن طلبات عبارات المرور غير المراقبة قد تعطل البرامج النصية.

للأتمتة، ينبغي للفرق استخدام مفاتيح مقيدة وأذونات محدودة وقيود أوامر وشهادات قصيرة الأجل أو أدوات آمنة لإدارة الأسرار عند الاقتضاء.

عبارة المرور ليست بديلًا عن مراجعات الوصول ومبدأ أقل الصلاحيات وتدوير المفاتيح.

ssh-agent

ssh-agent أداة يمكنها الاحتفاظ بالمفاتيح الخاصة المفكوكة التشفير في الذاكرة حتى لا يضطر المستخدم لكتابة عبارة المرور لكل اتصال.

تسرد وثائق OpenSSH من Microsoft أداتي ssh-agent وssh-add لتخزين المفاتيح الخاصة بأمان خلال سير عمل المصادقة المستندة إلى المفاتيح.

يحسن ssh-agent الراحة، لكنه ينشئ مخاطر أيضًا إذا كان توجيه الوكيل أو أمان الجهاز المحلي ضعيفًا.

يتيح توجيه الوكيل للمستخدم الاتصال عبر خادم إلى خادم آخر باستخدام الوكيل المحلي.

قد يكون ذلك ملائمًا للمسؤولين، لكنه قد يعرض فرص المصادقة للخطر إذا اختُرق الخادم الوسيط.

ينبغي لمشغلي الكريبتو تجنب توجيه الوكيل غير الضروري على بنية المدققين والعقد.

إذا لزم توجيه الوكيل، فينبغي استخدامه مع مضيفين موثوقين وجلسات محدودة فقط.

غالبًا ما يكون النمط الأفضل هو الاتصال مباشرةً من محطة عمل إدارة آمنة أو استخدام مضيف bastion محصن.

ssh-agent مفيد، لكنه يجب أن يُعامل كجزء من الحدود الأمنية.

قد تعرض محطة عمل مخترقة للخطر كل هوية SSH محملة في الوكيل.

المفاتيح العامة لـ SSH لعقد المدققين

تتطلب عقد المدققين غالبًا وصولًا آمنًا إلى الخادم، إذ يجب على المشغلين تحديث البرمجيات ومراقبة وقت التشغيل وفحص السجلات والاستجابة للحوادث.

تساعد المفاتيح العامة لـ SSH المدققين على تجنب تسجيل الدخول بكلمات المرور إلى خوادم قد يستهدفها المهاجمون.

قد يستخدم مخزن Ethereum منفردًا SSH لإدارة عملاء التنفيذ وعملاء الإجماع وعملاء المدققين والجدران النارية ووكلاء المراقبة وخدمات النظام.

يوضح دليل عقد Ethereum أن تشغيل مدقق خاص بك هو الطريقة الأقل اعتمادًا على الثقة لدعم الشبكة، لكنه يتطلب بنية تحتية ووديعة للمدقق.

ينبغي حماية هذه البنية بعناية لأن توقف المدقق قد يقلل المكافآت.

قد يسبب خادم مدقق مخترق تفويت إقرارات أو تكوينًا غير صحيح أو تعطلًا تشغيليًا.

لا يمنح وصول SSH عادةً تحكمًا مباشرًا ببيانات اعتماد السحب إذا كانت محفوظة بأمان في مكان آخر.

لكن اختراق الخادم قد يظل ينشئ مخاطر جسيمة عبر البرمجيات الضارة وسرقة البيانات وتغييرات التكوين أو اكتشاف المفاتيح.

ينبغي للمدققين فصل مفاتيح SSH عن مفاتيح توقيع المدققين ومفاتيح السحب.

ينبغي ألا يُعامل الوصول إلى البنية التحتية مطلقًا باعتباره النطاق الأمني نفسه لحفظ الأصول.

المفاتيح العامة لـ SSH للعقد الكاملة

تستفيد العقد الكاملة أيضًا من مصادقة المفتاح العام لـ SSH.

قد تخزن العقدة الكاملة بيانات البلوكشين أو تكشف واجهات API محلية أو تخدم المحافظ أو تتحقق من المعاملات أو تدعم التطبيقات.

يحذر دليل عقد Ethereum من أن كشف نقاط نهاية RPC للعامة قد يجعلها قابلة للوصول عبر الشبكات المحلية وعناوين IP العامة إذا أُعدت بشكل غير صحيح.

غالبًا ما يُستخدم وصول SSH لإدارة إعدادات العقد وقواعد الجدار الناري.

إذا تمكن مهاجم من الوصول عبر SSH إلى عقدة كاملة، فقد يغير إعدادات RPC أو يقرأ ملفات التكوين أو يعطل الخدمة أو يعيد توجيه حركة المرور.

قد لا تحتفظ العقدة الكاملة بمفاتيح محفظة خاصة، لكنها قد تظل حساسة أمنيًا.

فعلى سبيل المثال، قد تزود العقدة المخترقة المستخدم ببيانات خاطئة أو تعطل تطبيقًا أو تكشف تفاصيل الشبكة الداخلية.

ينبغي قصر وصول المفتاح العام لـ SSH على المسؤولين الذين يحتاجون إليه.

ينبغي إزالة المفاتيح القديمة بعد أن لا يعود المتعاقدون أو الموظفون أو الأجهزة أو البرامج النصية بحاجة إلى الوصول.

العقدة الكاملة جزء من نموذج الثقة في الكريبتو، لذا يهم التحكم في وصول الخادم.

المفاتيح العامة لـ SSH لمطوري الكريبتو

يستخدم مطورو الكريبتو المفاتيح العامة لـ SSH لاستضافة الأكواد وعمليات النشر وبيئات الاختبار وإدارة الخوادم.

تتيح منصات Git غالبًا للمستخدمين إضافة مفاتيح SSH عامة لكي يتمكنوا من دفع المستودعات وسحبها دون كتابة كلمات المرور في كل مرة.

يوضح دليل GitHub لإنشاء مفتاح SSH جديد وإضافته إلى ssh-agent كيفية إنشاء المستخدمين لمفتاح SSH جديد وإضافته إلى ssh-agent.

وهذا مهم لفرق الكريبتو لأن الشفرة المصدرية والبرامج النصية للنشر ومستودعات البنية التحتية قد تكون حساسة للغاية.

قد يكشف مفتاح SSH خاص بمطور تم اختراقه شفرة العقد الذكي أو مسارات النشر أو أنظمة البناء أو خوادم الإنتاج.

ينبغي للمطورين استخدام مفاتيح SSH منفصلة للعمل الشخصي وبنية الشركة وأنظمة الإنتاج وعمليات النشر المؤتمتة.

وينبغي إزالة المفاتيح القديمة من منصات الأكواد عند استبدال الأجهزة أو مغادرة أعضاء الفريق.

وينبغي تجنب تضمين المفاتيح الخاصة في المستودعات.

كما ينبغي استخدام عمليات commit موقعة أو أساليب تحقق أخرى عندما يتطلب المشروع سلامة أقوى للتحكم بالمصدر.

مفاتيح SSH جزء من أمن سلسلة توريد البرمجيات، وليست مجرد وسيلة مريحة لتسجيل الدخول إلى الخادم.

المفاتيح العامة لـ SSH وبنية التعدين التحتية

تستخدم عمليات التعدين غالبًا مفاتيح SSH لإدارة الخوادم وأنظمة المراقبة والوسطاء وأدوات البرامج الثابتة والبنية الخلفية.

حتى عندما تستخدم أجهزة التعدين نفسها أنظمة إدارة منفصلة، قد تعتمد الخوادم الداعمة على SSH.

قد يتيح مفتاح SSH خاص مسروق لمهاجم تعطيل عمليات التعدين أو إعادة توجيه بيانات التكوين.

بالنسبة إلى معدني إثبات العمل، قد يعني التوقف خسارة مباشرة للإيرادات لأن الآلات تستمر في استهلاك الطاقة أو تتوقف عن إرسال عمل مفيد.

ينبغي لمشغلي التعدين استخدام مفاتيح منفصلة للمراقبة والنشر والوصول للطوارئ والأتمتة.

وينبغي تجنب استخدام مفتاح خاص واحد عبر كل خادم في أسطول التعدين.

ينشئ المفتاح الواحد المستخدم بإفراط نطاق ضرر واسعًا إذا تم اختراقه.

ينبغي أن يتبع الوصول مبدأ أقل الصلاحيات، أي أن يسمح كل مفتاح فقط بالوصول اللازم لدوره.

قد لا تحتفظ بنية التعدين التحتية بأموال في المحافظ، لكنها قد تؤثر في الإيرادات واستمرارية التشغيل.

لذلك تُعد إدارة المفاتيح العامة لـ SSH جزءًا من أمن عمليات التعدين.

المفاتيح العامة لـ SSH والخوادم السحابية

تعمل كثير من عقد ومدققي الكريبتو على خوادم افتراضية خاصة أو استضافة bare-metal أو بنية تحتية سحابية.

غالبًا ما يطلب مزودو الخدمات السحابية من المستخدمين رفع مفتاح SSH عام عند إنشاء خادم جديد.

يثبت المزود ذلك المفتاح العام كي يستطيع المستخدم تسجيل الدخول بأمان بعد إطلاق الخادم.

وهذا أكثر أمانًا من إرسال كلمة مرور بالبريد الإلكتروني أو الاعتماد على كلمة مرور افتراضية.

لكن رفع مفتاح عام لا يجعل الخادم بأكمله آمنًا تلقائيًا.

إذ يظل المفتاح الخاص بحاجة إلى الحماية.

كما يظل الخادم بحاجة إلى التحديثات الأمنية.

ويجب كذلك إعداد قواعد الجدار الناري بعناية.

لا ينبغي كشف منافذ RPC وواجهات API للمدققين ولوحات المعلومات ولوحات الإدارة إلا إذا كان المشغل يفهم المخاطر.

المفتاح العام لـ SSH جزء من تحصين الخادم السحابي، وليس خطة الأمان كاملة.

مفاتيح المضيف مقابل مفاتيح المستخدم

يستخدم SSH مفاتيح المستخدم ومفاتيح المضيف معًا.

يصادق مفتاح المستخدم الشخص أو النظام الذي يحاول تسجيل الدخول.

ويصادق مفتاح المضيف الخادم للعميل.

عند اتصال المستخدم بخادم للمرة الأولى، قد يسأل عميل SSH عما إذا كان ينبغي الوثوق ببصمة مفتاح مضيف الخادم.

يساعد هذا الفحص على منع هجمات الرجل في الوسط حيث يتظاهر المهاجم بأنه الخادم.

يوضع المفتاح العام للمستخدم في authorized_keys على الخادم.

ويستخدم العملاء المفتاح العام للمضيف للتحقق من هوية الخادم، وغالبًا ما يُخزن في known_hosts بعد قبوله.

ينبغي لمشغلي الكريبتو عدم تجاهل تحذيرات مفتاح المضيف دون تحقق.

قد يكون تغيير مفتاح المضيف غير ضار بعد إعادة بناء الخادم، لكنه قد يشير أيضًا إلى اعتراض أو استبدال الخادم.

تتحكم مفاتيح المستخدم بمن يستطيع تسجيل الدخول، بينما تساعد مفاتيح المضيف على إثبات الخادم الذي يصل إليه المستخدم.

البصمة

بصمة SSH هي تمثيل أقصر لمفتاح عام يُستخدم للتحقق.

تسهل البصمات مقارنة المفاتيح دون قراءة سلسلة المفتاح العام الطويلة.

يتضمن دليل OpenBSD لـ ssh-keygen خيارات لعرض بصمات المفاتيح.

عند إضافة مفتاح إلى خادم، يمكن للمستخدم مقارنة البصمة بمصدر موثوق لتأكيد تثبيت المفتاح الصحيح.

وعند الاتصال بخادم، يمكن للمستخدم مقارنة بصمة مفتاح المضيف بقيمة معروفة وصحيحة.

يهم ذلك لبنية الكريبتو التحتية لأن المفتاح الخطأ قد يمنح الوصول للشخص الخطأ أو يصل المشغل بالخادم الخطأ.

تكون البصمات مفيدة بشكل خاص للفرق التي تعتمد مفاتيحها عبر التذاكر أو أنظمة التحكم في الوصول أو المراجعات الأمنية.

يمكن تغيير تعليق المفتاح العام بسهولة، لكن البصمة مشتقة من المفتاح نفسه.

ينبغي للمشغلين الاعتماد على البصمات لفحص الهوية، لا على التعليقات وحدها.

يقلل التحقق الجيد من البصمات الأخطاء أثناء توفير المفاتيح والاستجابة للحوادث.

تدوير المفاتيح

تدوير المفاتيح يعني استبدال أزواج مفاتيح SSH القديمة بأخرى جديدة وإزالة المفاتيح العامة القديمة من الأنظمة المصرح بها.

يُعد التدوير مهمًا عند فقدان حاسوب محمول أو مغادرة موظف أو انتهاء عمل متعاقد أو احتمال كشف مفتاح أو تقادم خوارزمية.

توفر إرشادات NIST SP 800-57 لإدارة المفاتيح إرشادات عامة لإدارة مواد المفاتيح التشفيرية وقضايا إدارة المفاتيح.

بالنسبة إلى فرق الكريبتو، ينبغي التخطيط لتدوير المفاتيح قبل وقوع حالة طوارئ.

ينبغي أن يعرف الفريق مكان تثبيت كل مفتاح عام.

وينبغي أن يعرف من يملك كل مفتاح.

وينبغي أن يعرف الخوادم والمستودعات وأنظمة النشر التي تثق بكل مفتاح.

من دون جرد، قد تظل المفاتيح العامة القديمة لـ SSH نشطة لسنوات.

وهذا ينشئ سطح هجوم غير ضروري.

يحول تدوير المفاتيح الجيد مفاتيح SSH إلى بيانات اعتماد مُدارة بدلًا من ملفات منسية.

جرد المفاتيح

جرد المفاتيح هو سجل للمفاتيح العامة لـ SSH ومالكيها وأغراضها وخوادمها المصرح بها وتواريخ إنشائها وتواريخ إزالتها.

يركز تقرير NISTIR 7966 حول إدارة وصول SSH على إدارة مفاتيح مستخدمي SSH ويوضح أن الوصول المستند إلى SSH يتطلب عمليات توفير وإنهاء ومراقبة.

وهذا مهم بشكل خاص لشركات الكريبتو والمدققين وفرق البنية التحتية، لأن وصول SSH قد يكون ذا صلاحيات عالية.

ينبغي أن يجيب جرد المفاتيح عن سؤال من يمكنه الوصول إلى كل خادم.

وينبغي أن يوضح سبب وجود ذلك الوصول.

وينبغي أن يبين متى يجب أن تنتهي صلاحية الوصول.

وينبغي أن يسجل ما إذا كان المفتاح يخص شخصًا أو مهمة أتمتة أو مسار نشر أو حساب طوارئ.

من دون جرد، لا يمكن لأي شخص إزالة المفاتيح القديمة بثقة.

ومن دون إزالة، تصبح المفاتيح القديمة وصولًا مخفيًا ودائمًا.

تبدأ الإدارة القوية للمفاتيح العامة لـ SSH بمعرفة المفاتيح الموجودة.

أقل الصلاحيات

يعني مبدأ أقل الصلاحيات أنه ينبغي لكل مفتاح SSH منح الوصول اللازم لغرضه فقط.

لا ينبغي أن يملك مفتاح المراقبة وصول root إذا كان يحتاج فقط إلى قراءة المقاييس.

ولا ينبغي أن يتمكن مفتاح النشر من سحب الأصول أو تعديل مفاتيح المدققين أو قراءة أسرار غير مرتبطة.

ينبغي أن تنتهي صلاحية مفتاح المتعاقد عند انتهاء المشروع.

وينبغي تقييد مفتاح الأتمتة بالأمر أو الدليل الذي يحتاج إليه حيثما أمكن.

استخدام مفتاح إداري واحد في كل مكان مريح، لكنه ينشئ مخاطر مرتفعة.

إذا اختُرق ذلك المفتاح الخاص الواحد، فقد تتعرض كل الخوادم الموثوقة للخطر.

ينبغي لبنية الكريبتو التحتية التعامل مع وصول SSH كنظام تحكم في الأذونات.

ينبغي أن تستخدم الأدوار المختلفة مفاتيح مختلفة.

وينبغي أن تستخدم البيئات المختلفة، مثل الاختبار والمرحلة التجريبية والإنتاج، قواعد وصول مختلفة.

المفتاح العام لـ SSH وتسجيل الدخول إلى root

يوفر تسجيل الدخول إلى root وصولًا إداريًا مباشرًا إلى خادم.

قد ينطوي تسجيل الدخول المباشر إلى root عبر SSH على مخاطر لأنه يمنح المهاجم تحكمًا كاملًا وفوريًا إذا نجح تسجيل الدخول.

يعطل كثير من المشغلين تسجيل الدخول المباشر إلى root ويستخدمون بدلًا منه حساب مستخدم محددًا بالاسم مع sudo.

قد يحسن ذلك المساءلة لأن الأوامر الإدارية يمكن ربطها بحساب معين.

كما قد يقلل مخاطر الهجمات المؤتمتة على مستخدم root.

بالنسبة إلى عقد الكريبتو وخوادم المدققين، ينبغي تقييد الوصول المباشر إلى root بعناية.

ينبغي أن يحتوي حساب المسؤول المحدد بالاسم فقط على المفاتيح العامة لـ SSH اللازمة للمشغلين الفعليين.

ينبغي إزالة إدخالات authorized_keys القديمة لـ root أثناء عمليات تدقيق الخادم.

ينبغي توثيق وصول الطوارئ وحمايته بدلًا من ارتجاله.

وصول root قوي بما يكفي لتعطيل بنية البلوكشين التحتية، حتى إن لم يتمكن من إنفاق أموال المحفظة مباشرةً.

المفتاح العام لـ SSH وتسجيل الدخول بكلمة المرور

تُستخدم مصادقة المفتاح العام لـ SSH غالبًا لتقليل تسجيل الدخول بكلمة المرور أو تعطيله.

تشير وثائق OpenSSH من Microsoft إلى أن مصادقة اسم المستخدم وكلمة المرور قد تصبح عرضة لعمليات اقتحام بالقوة الغاشمة عند تشغيل الأنظمة عبر النطاقات أو البيئات السحابية.

بالنسبة إلى الخوادم المتصلة بالإنترنت، قد يجذب تسجيل الدخول بكلمة المرور محاولات تخمين مؤتمتة مستمرة.

يمكن أن تجعل المصادقة المستندة إلى المفاتيح هذه الهجمات أقل فعالية، لأن المهاجم يحتاج إلى المفتاح الخاص وليس مجرد كلمة مرور مخمنة.

لكن المصادقة المستندة إلى المفاتيح ليست حلًا سحريًا.

إذا سُرق المفتاح الخاص أو كان غير مشفر أو أُعيد استخدامه في كل مكان، تصبح المخاطر جسيمة.

يجمع الإعداد الجيد غالبًا بين مفاتيح SSH وتعطيل تسجيل الدخول بكلمة المرور وعدم تسجيل الدخول المباشر إلى root وقواعد الجدار الناري وإدارة التحديثات والمراقبة.

تستخدم بعض الفرق أيضًا VPN أو مضيفات bastion أو مفاتيح مدعومة بالعتاد أو SSH المستند إلى الشهادات.

ينبغي لبنية الكريبتو التحتية استخدام دفاع متعدد الطبقات لأن المهاجمين قد يستهدفون كلمات المرور والمفاتيح معًا.

قد يكون تعطيل تسجيل الدخول بكلمة المرور ذا قيمة، لكن إدارة دورة حياة المفاتيح تظل ضرورية.

مفاتيح SSH المدعومة بالعتاد

تخزن مفاتيح SSH المدعومة بالعتاد مواد المفتاح الخاص على جهاز مصادقة عتادي أو جهاز أمان.

وقد يقلل ذلك احتمال نسخ البرامج الضارة ببساطة لملف مفتاح خاص من حاسوب محمول.

يدعم OpenSSH الحديث أنواع مفاتيح الأمان مثل ecdsa-sk وed25519-sk في البيئات التي تدعم أجهزة مصادقة متوافقة.

يسرد دليل OpenBSD لـ ssh-keygen أنواع مفاتيح الأمان ضمن خيارات إنشاء المفاتيح المدعومة.

قد تكون مفاتيح SSH المدعومة بالعتاد مفيدة لمسؤولي بنية الكريبتو التحتية لأن وصول الخادم قد يكون حساسًا للغاية.

وقد تخلق أيضًا احتياجات للتخطيط التشغيلي، لأن الأجهزة المفقودة تتطلب الاسترداد واستبدال المفاتيح.

ينبغي للفرق الحفاظ على إجراءات وصول للطوارئ لا تعتمد على مفتاح عتادي لشخص واحد.

تكون مفاتيح العتاد أقوى عند دمجها مع جرد جيد وفصل الأدوار وإزالة المفاتيح العامة القديمة.

وهي لا تحمي من كل الهجمات، مثل الأوامر الخبيثة بعد تسجيل دخول شرعي.

ومن الأفضل فهمها باعتبارها وسيلة تحكم قوية ضمن نظام أمني أوسع.

شهادات SSH

شهادات SSH هي مفاتيح SSH عامة موقعة يمكنها دعم إدارة وصول أكثر مركزية ومحدودة زمنيًا.

بدلًا من نسخ المفتاح العام لكل مستخدم إلى كل خادم، يمكن للخادم الوثوق بهيئة شهادات وقبول شهادات مستخدمين موقعة من تلك الهيئة.

يتضمن دليل OpenBSD لـ ssh-keygen دعم توقيع هويات الشهادات بمفتاح هيئة شهادات.

يمكن أن تساعد شهادات SSH فرق الكريبتو الأكبر على إدارة الوصول بصورة أنظف.

ويمكن أن تتيح وصولًا قصير الأجل للمهندسين والمتعاقدين ومستجيبي الطوارئ أو الأتمتة.

وقد تقلل مشكلة إدخالات authorized_keys المنسية.

لكنها تتطلب حماية دقيقة لمفتاح هيئة الشهادات.

إذا اختُرق مفتاح هيئة الشهادات، فقد يتمكن المهاجمون من إصدار شهادات وصول موثوقة.

قد تستخدم الفرق الصغيرة ملفات authorized_keys الأساسية، بينما قد تستفيد الفرق الأكبر من الوصول المستند إلى الشهادات.

يعتمد التصميم الأفضل على حجم الفريق ونطاق البنية التحتية والنضج الأمني.

المفاتيح العامة لـ SSH والأتمتة

تستخدم الأتمتة مفاتيح SSH غالبًا للنشر والنسخ الاحتياطي والمراقبة ونقل الملفات والعمليات بين الخوادم.

يمكن أن يكون الوصول المؤتمت عبر SSH قويًا لأنه قد يعمل دون أن يكتب إنسان عبارة مرور في كل مرة.

وهذا يجعل مفاتيح الأتمتة عالية المخاطر إن لم تكن مقيدة.

لا ينبغي إعادة استخدام مفتاح الأتمتة في مهام غير مرتبطة.

ولا ينبغي أن يمتلك وصولًا إلى shell تفاعلي إذا كان يحتاج فقط إلى تنفيذ أمر واحد.

ولا ينبغي أن يظل نشطًا بعد إيقاف مهمة الأتمتة.

ينبغي لفرق الكريبتو توخي الحذر بشكل خاص مع الأتمتة المتصلة بالمدققين والعقد وتنبيهات المراقبة والبرامج النصية للنشر.

قد يدفع مفتاح نشر مخترق برمجيات ضارة أو يغير التكوين عبر كثير من الأجهزة.

يمكن للمفتاح المقيد الحد من الضرر إذا اختُرق أحد المكونات.

تجعل الأتمتة إدارة المفاتيح أكثر أهمية لا أقل.

أفضل ممارسات أمان المفاتيح العامة لـ SSH

استخدم نوع مفتاح حديثًا يدعمه نظام التشغيل والبنية التحتية لديك.

احمِ المفاتيح الخاصة بعبارات مرور قوية عندما يكون ذلك عمليًا.

استخدم مفاتيح منفصلة للأدوار والأجهزة والبيئات المنفصلة.

أزل المفاتيح العامة القديمة من ملفات authorized_keys وحسابات استضافة الأكواد.

عطل تسجيل الدخول بكلمة المرور على الخوادم المتصلة بالإنترنت عندما تتوفر خطة استرداد آمنة مستندة إلى المفاتيح.

تجنب تسجيل الدخول المباشر إلى root عبر SSH ما لم يكن هناك سبب قوي وضوابط إضافية.

استخدم مبدأ أقل الصلاحيات للمفاتيح البشرية ومفاتيح الأتمتة.

احتفظ بجرد للمفاتيح ومالكيها وأغراضها وتواريخ انتهاء صلاحيتها.

تحقق من بصمات مفاتيح المضيف بدلًا من قبول التحذيرات دون تدقيق.

لا تخزن المفاتيح الخاصة أبدًا في مستودعات عامة أو محادثات مشتركة أو لقطات شاشة أو مجلدات سحابية دون تشفير قوي وتحكم في الوصول.

الأخطاء الشائعة في المفاتيح العامة لـ SSH

من الأخطاء الشائعة نسخ المفتاح الخاص بدلًا من المفتاح العام.

وخطأ آخر هو استخدام مفتاح SSH نفسه لكل خادم وكل دور.

والخطأ الثالث هو ترك المفاتيح العامة القديمة في authorized_keys بعد أن لا يعود الشخص أو الجهاز بحاجة إلى الوصول.

والخطأ الرابع هو عدم استخدام عبارة مرور لمفتاح خاص مهم مخزن على حاسوب محمول.

والخطأ الخامس هو تفعيل توجيه الوكيل في كل مكان دون فهم المخاطر.

والخطأ السادس هو الوثوق بطلبات مفاتيح مضيف غير معروفة دون التحقق من البصمات.

والخطأ السابع هو منح مفاتيح الأتمتة وصولًا كاملًا إلى shell رغم حاجتها إلى أمر محدود فقط.

والخطأ الثامن هو الخلط بين المفاتيح العامة لـ SSH والمفاتيح العامة لمحافظ الكريبتو.

والخطأ التاسع هو تخزين أسرار المدققين ومفاتيح المحافظ ومفاتيح SSH معًا على الخادم نفسه ضعيف الحماية.

والخطأ العاشر هو افتراض أن المفتاح العام وحده يكفي لتأمين خادم بلوكشين للإنتاج.

فوائد المفاتيح العامة لـ SSH

الفائدة الأولى للمفاتيح العامة لـ SSH هي أمان أقوى لتسجيل الدخول عن بُعد مقارنة بالوصول البسيط بكلمة المرور فقط.

الفائدة الثانية هي تقليل التعرض لتخمين كلمات المرور بالقوة الغاشمة.

الفائدة الثالثة هي سهولة التحكم في الوصول إلى الخوادم التي تحتاج إلى إدارة منتظمة.

الفائدة الرابعة هي التوافق مع سير عمل المطورين وأنظمة التحكم بالمصدر وأدوات النشر والخوادم السحابية.

الفائدة الخامسة هي إمكانية استخدام عبارات المرور أو الوكلاء أو مفاتيح العتاد أو الشهادات لإدارة أقوى.

الفائدة السادسة هي تحسين قابلية التدقيق عندما يكون لكل شخص ودور مفتاح منفصل.

الفائدة السابعة هي عمليات بنية كريبتو تحتية أكثر أمانًا عندما تُدار المفاتيح بشكل سليم.

تكون هذه الفوائد أقوى عندما تُجرد المفاتيح العامة وتُراجع وتُدوّر وتُزال عند انتفاء الحاجة إليها.

من السهل إنشاء مفتاح SSH عام، لكن إدارته جيدًا مسؤولية مستمرة.

بالنسبة إلى فرق الكريبتو، لا تقتصر الفائدة على الراحة بل تشمل تقليل المخاطر التشغيلية.

مخاطر وقيود المفاتيح العامة لـ SSH

الخطر الأول هو سرقة المفتاح الخاص.

إذا سرق المهاجم مفتاحًا خاصًا غير محمي، فقد يصبح المفتاح العام المطابق طريقًا للوصول إلى الخوادم.

الخطر الثاني هو انتشار المفاتيح.

يحدث انتشار المفاتيح عندما تُنسخ المفاتيح العامة عبر أنظمة عديدة ولا يعرف أحد أين تحظى بالثقة.

الخطر الثالث هو الوصول المتقادم.

يحدث الوصول المتقادم عندما تظل المفاتيح العامة القديمة مصرحًا بها بعد أن لا يعود الشخص أو الجهاز أو مهمة الأتمتة بحاجة إلى الوصول.

الخطر الرابع هو الصلاحيات الزائدة.

قد يتسبب مفتاح يمتلك وصول root في ضرر أكبر بكثير من مفتاح مقيد بمهمة ضيقة.

الخطر الخامس هو ضعف أمان محطة العمل.

قد يُخترق خادم آمن مع ذلك عبر مفتاح مسروق من حاسوب محمول لمسؤول مصاب ببرمجيات ضارة.

الخطر السادس هو الارتباك البشري بين مفاتيح SSH ومفاتيح المحفظة ومفاتيح API ومفاتيح المدققين.

المفاتيح العامة لـ SSH مفيدة، لكن يجب إدارتها كبيانات اعتماد ذات صلاحيات عالية.

كيفية تقييم إعداد مفتاح SSH عام

ابدأ بالتأكد من أن لكل مفتاح عام مصرح به مالكًا معروفًا.

ثم تأكد من أن لكل مفتاح غرضًا واضحًا.

تحقق مما إذا كان كل مفتاح لا يزال مطلوبًا.

تحقق مما إذا كان المفتاح الخاص محميًا بعبارة مرور أو جهاز عتادي أو مدير مفاتيح آمن.

تحقق مما إذا كان للمفتاح وصول إلى خوادم أكثر مما يحتاج.

تحقق مما إذا كان تسجيل الدخول إلى root معطلًا أو خاضعًا لتحكم قوي.

تحقق مما إذا كان تسجيل الدخول بكلمة المرور معطلًا حيثما يكون مناسبًا.

تحقق من التحقق من بصمات مفاتيح المضيف والتحقيق في تحذيرات known_hosts.

تحقق من إزالة المفاتيح القديمة بعد تغييرات الموظفين أو استبدال الأجهزة أو تغييرات الأتمتة.

إعداد SSH السليم هو الذي يمكن فيه تفسير الوصول وتدقيقه وإلغاؤه بسرعة.

المفتاح العام لـ SSH والاستجابة للحوادث

إذا كان من المحتمل اختراق مفتاح SSH خاص، فينبغي إزالة المفتاح العام المطابق من كل خادم وخدمة تثق به.

ينبغي للمستخدم إنشاء زوج مفاتيح جديد على جهاز نظيف.

ينبغي فحص أي خادم متأثر بحثًا عن عمليات تسجيل دخول غير مصرح بها وملفات معدلة ومستخدمين جدد وملفات authorized_keys معدلة وبرمجيات ضارة وخدمات غير متوقعة.

ينبغي لمشغلي المدققين والعقد أيضًا فحص تكوين العميل وقواعد الجدار الناري وكشف RPC وتنبيهات المراقبة وسجلات الخدمات.

إذا اختُرق خادم مدقق للإنتاج، فينبغي للمشغل النظر في احتمال كشف مفاتيح توقيع المدققين أو ملفات الحماية من slashing أو المواد المتعلقة بالسحب.

مفتاح SSH المخترق ليس مجرد مشكلة تسجيل دخول.

إذ قد يتحول إلى حادث كامل للبنية التحتية.

ينبغي للفرق وضع عملية مكتوبة لإلغاء مفاتيح SSH قبل وقوع حالة طوارئ.

يجعل جرد المفاتيح الاستجابة للحوادث أسرع لأن الفريق يعرف أين يجب إزالة المفتاح العام.

كلما أُلغي المفتاح المخترق بسرعة أكبر، صغرت نافذة الضرر المحتمل.

الأسئلة الشائعة

ما هو المفتاح العام لـ SSH؟

المفتاح العام لـ SSH هو الجزء القابل للمشاركة من زوج مفاتيح SSH الذي يستخدمه الخادم للتحقق من أن المستخدم يمتلك المفتاح الخاص المطابق.

هل مشاركة المفتاح العام لـ SSH آمنة؟

نعم، تكون مشاركة المفتاح العام لـ SSH آمنة عمومًا، لكن يجب أن يبقى المفتاح الخاص المطابق سريًا.

هل المفتاح العام لـ SSH هو نفسه المفتاح العام لمحفظة كريبتو؟

لا، يُستخدم المفتاح العام لـ SSH لمصادقة الخادم، بينما يُستخدم المفتاح العام لمحفظة الكريبتو لتوقيعات البلوكشين وإنشاء العناوين.

لماذا يستخدم مدققو الكريبتو المفاتيح العامة لـ SSH؟

يستخدم مدققو الكريبتو المفاتيح العامة لـ SSH للوصول بأمان إلى الخوادم البعيدة التي تشغل برمجيات المدققين والعقد والمراقبة والصيانة.

ما هو authorized_keys؟

authorized_keys هو ملف من جهة الخادم يسرد مفاتيح SSH العامة المسموح لها بتسجيل الدخول إلى حساب مستخدم محدد.

ماذا يحدث إذا سُرق مفتاح SSH الخاص بي؟

إذا سُرق مفتاح SSH الخاص بك، فقد يسجل مهاجم الدخول إلى الخوادم التي يُصرح فيها بالمفتاح العام المطابق، خصوصًا إذا لم يكن المفتاح الخاص محميًا بعبارة مرور قوية أو عتاد.

هل ينبغي استخدام مفتاح SSH واحد لكل خوادم الكريبتو؟

لا، يقلل استخدام مفاتيح SSH منفصلة للأدوار والأجهزة والبيئات المنفصلة الضرر إذا اختُرق مفتاح واحد.

هل يتحكم المفتاح العام لـ SSH بأموال الكريبتو الخاصة بي؟

لا، لا يتحكم المفتاح العام لـ SSH مباشرةً بأموال الكريبتو، لكنه قد يتحكم في الوصول إلى خوادم تدعم بنية الكريبتو التحتية.

هل يمكنني حذف مفتاح SSH عام؟

نعم، يؤدي إزالة مفتاح SSH عام من authorized_keys أو حساب خدمة إلى إلغاء وصول المفتاح الخاص المطابق على ذلك النظام.

ما أفضل نوع لمفتاح SSH؟

يعتمد أفضل نوع مفتاح على البيئة، لكن OpenSSH الحديث يدعم عادةً Ed25519 وخيارات مفاتيح الأمان، في حين قد تتطلب احتياجات التوافق أنواع مفاتيح مدعومة أخرى.

الخلاصة

المفتاح العام لـ SSH هو بيانات اعتماد مصادقة قابلة للمشاركة تُستخدم لمنح الوصول إلى الخادم لمن يمتلك المفتاح الخاص المطابق.

في الكريبتو، تهم المفاتيح العامة لـ SSH لأن المدققين والعقد الكاملة وبنية التعدين والخوادم السحابية ومسارات النشر وأنظمة المطورين تعتمد غالبًا على وصول SSH.

المفتاح العام لـ SSH ليس مفتاحًا عامًا لمحفظة أو عنوان بلوكشين أو عبارة استرداد أو مفتاح توقيع مدقق أو بيانات اعتماد للسحب.

إنه ينتمي إلى التحكم في الوصول إلى البنية التحتية، لا إلى الملكية المباشرة للأصول على السلسلة.

لكن الإدارة الضعيفة لمفاتيح SSH قد تخلق مخاطر جسيمة للكريبتو، لأن اختراق الخادم قد يعطل المدققين أو يكشف تكوينات العقد أو يغير عمليات النشر أو يضعف أنظمة المراقبة.

تشمل الممارسات الجيدة للمفاتيح العامة لـ SSH حماية المفاتيح الخاصة واستخدام عبارات المرور أو المفاتيح المدعومة بالعتاد وتقييد وصول root وتعطيل تسجيل الدخول بكلمة المرور عندما يكون ذلك آمنًا والحفاظ على جرد للمفاتيح وتدويرها وإزالة الوصول القديم.

ينبغي للفرق أيضًا فصل المفاتيح البشرية ومفاتيح الأتمتة ومفاتيح المدققين ومفاتيح المحافظ ومفاتيح API.

يمكن مشاركة المفتاح العام لإعداد الوصول، لكن يجب عدم مشاركة المفتاح الخاص أو رفعه أبدًا.

بالنسبة إلى المبتدئين، من الأفضل فهم المفتاح العام لـ SSH باعتباره هوية عامة لتسجيل الدخول إلى الخادم.

وبالنسبة إلى مشغلي الكريبتو المتقدمين، فهو بيانات اعتماد للبنية التحتية ذات صلاحيات عالية يجب إدارتها عبر السياسات والمراقبة وأقل الصلاحيات والاستجابة للحوادث.

في سياق معجم الكريبتو، يعني SSH Public Key النصف العام من زوج مفاتيح مصادقة SSH يُستخدم لتصريح الوصول الآمن عن بُعد إلى أنظمة قد تشغل بنية البلوكشين التحتية أو تدعمها.

الخلاصة الرئيسية هي أن المفاتيح العامة لـ SSH تحسن أمان بنية الكريبتو التحتية عندما تُدار جيدًا، لكنها قد تصبح مسارات وصول خطيرة عند سرقة المفاتيح الخاصة أو نسيان المفاتيح العامة القديمة أو اتساع الأذونات بشكل مفرط.