YubiKey для SSH и 2FA: аппаратная аутентификация

SSH-ключи — фундамент доступа к Linux-серверам, но у этого подхода есть одна неприятная дыра: приватный ключ лежит обычным файлом на диске. Скомпрометировали рабочую станцию — через малварь, кражу ноутбука или просто «коллега заглянул не туда» — и всё, злоумышленник забирает ключ и получает доступ ко всем серверам разом. Passphrase немного усложняет жизнь атакующему, но не спасает: офлайн-перебор никто не отменял.

Аппаратный токен YubiKey закрывает эту проблему принципиально иначе. Приватный ключ генерируется внутри устройства и физически не может его покинуть. Можете хоть полностью потерять контроль над компьютером — без самого токена ключ не извлечь. Плюс YubiKey требует касания при каждой операции подписи. Это важно: даже если токен воткнут в USB и компьютер захвачен удалённо, без вашего пальца ничего не произойдёт.

Для SSH YubiKey поддерживает три протокола. FIDO2/WebAuthn (ключи ed25519-sk, ecdsa-sk) — встроен прямо в OpenSSH 8.2+, никакого дополнительного ПО не нужно. PIV (Personal Identity Verification) — эмуляция смарт-карты, работает через PKCS#11, совместим со старыми версиями OpenSSH. OpenPGP — подключается через gpg-agent как SSH-агент. Мы в большинстве проектов берём FIDO2: меньше всего движущихся частей, нативная поддержка, современный стандарт.

Начнём с установки утилит управления YubiKey на рабочую станцию:

# Ubuntu/Debian
apt install -y yubikey-manager libfido2-dev libfido2-1 fido2-tools

# Fedora/RHEL
dnf install -y yubikey-manager libfido2 fido2-tools

# macOS
brew install ykman libfido2

Убедитесь, что система видит токен:

# Информация о подключённом YubiKey
ykman info
# Device type: YubiKey 5 NFC
# Serial number: 12345678
# Firmware version: 5.4.3
# Enabled USB interfaces: OTP, FIDO, CCID

# Список FIDO credentials
fido2-token -L
# /dev/hidraw3: vendor=0x1050, product=0x0407 (Yubico YubiKey)

Начиная с OpenSSH 8.2 появились типы ключей ed25519-sk и ecdsa-sk — они аппаратно привязаны к FIDO2-токену. Честно говоря, это самый чистый и незамороченный способ подружить YubiKey с SSH.

Что нужно: OpenSSH >= 8.2 на клиенте и сервере, YubiKey с поддержкой FIDO2 — это серия 5 или Security Key. Генерируем ключ:

# Создание FIDO2 SSH-ключа (ed25519-sk)
ssh-keygen -t ed25519-sk -C "yubikey-admin@company"
# Коснитесь YubiKey, когда мигает индикатор
# Generating public/private ed25519-sk key pair.
# You may need to touch your authenticator...

# Файлы:
# ~/.ssh/id_ed25519_sk      — «ручка» (handle), НЕ приватный ключ
# ~/.ssh/id_ed25519_sk.pub  — публичный ключ

# С обязательным касанием при каждом использовании
ssh-keygen -t ed25519-sk -O verify-required -C "yubikey-admin"

Файл id_ed25519_sk — не приватный ключ в привычном смысле, а credential handle. Без физического YubiKey этот файл абсолютно бесполезен для атакующего. Публичный ключ копируем на сервер стандартным способом:

ssh-copy-id -i ~/.ssh/id_ed25519_sk.pub user@server.example.com

PIV — альтернатива для тех, у кого на серверах живут старые версии OpenSSH. YubiKey эмулирует смарт-карту по стандарту PIV (NIST SP 800-73), ключ сидит в одном из четырёх слотов устройства. Главный плюс: работает через PKCS#11 с любой версией OpenSSH, где FIDO2 ещё не завезли.

# Генерация RSA-2048 ключа в PIV слоте 9a (Authentication)
ykman piv keys generate -a RSA2048 9a pubkey.pem

# Создание самоподписанного сертификата
ykman piv certificates generate \
  -s "CN=admin-yubikey" -d 3650 9a pubkey.pem

# Экспорт публичного SSH-ключа из PIV
ssh-keygen -D /usr/lib/x86_64-linux-gnu/libykcs11.so
# Выведет публичный ключ в формате OpenSSH

Для аутентификации через PIV подключаем библиотеку PKCS#11:

# Подключение к серверу через PIV
ssh -I /usr/lib/x86_64-linux-gnu/libykcs11.so user@server

# Или в ssh_config:
Host piv-servers
  PKCS11Provider /usr/lib/x86_64-linux-gnu/libykcs11.so

YubiKey можно использовать не только вместо SSH-ключей, но и как второй фактор поверх существующей аутентификации. Схема простая: пользователь вводит пароль, потом касается токена. Реализуется через PAM-модуль pam_u2f — мы такую схему внедряли в нескольких компаниях, где отказываться от паролей сразу не хотели.

# Установка PAM-модуля
apt install -y libpam-u2f

# Регистрация YubiKey для пользователя
mkdir -p ~/.config/Yubico
pamu2fcfg > ~/.config/Yubico/u2f_keys
# Коснитесь мигающего YubiKey

# Добавление второго токена (резервного)
pamu2fcfg -n >> ~/.config/Yubico/u2f_keys

Настраиваем PAM для SSH:

# /etc/pam.d/sshd — добавить после @include common-auth
auth required pam_u2f.so cue [cue_prompt=Коснитесь YubiKey...]

# Для централизованного хранения (все пользователи в одном файле)
# auth required pam_u2f.so authfile=/etc/yubikey/u2f_keys cue

В /etc/ssh/sshd_config добавляем:

# Включить Challenge-Response для PAM
ChallengeResponseAuthentication yes
UsePAM yes

# Требовать и публичный ключ, и 2FA
AuthenticationMethods publickey,keyboard-interactive

После systemctl restart sshd процесс входа выглядит так: предъявляем SSH-ключ → вводим пароль → касаемся YubiKey. Три рубежа вместо одного.

Есть ещё один режим, о котором часто забывают, — OTP (One-Time Password). При касании токен генерирует 44-символьную строку, которую можно валидировать через Yubico Cloud или поднять локальный сервер валидации. Пригождается там, где FIDO2 просто не взлетит: старые системы, веб-панели, legacy-приложения.

# Установка клиента Yubico PAM для OTP
apt install -y libpam-yubico

# Получение API-ключей на https://upgrade.yubico.com/getapikey/
# Запишите client_id и secret_key

# /etc/pam.d/sshd
auth required pam_yubico.so id=CLIENT_ID key=SECRET_KEY \
  authfile=/etc/yubikey/otp_mappings mode=client

# /etc/yubikey/otp_mappings
# username:yubikey_id (первые 12 символов OTP)
admin:ccccccdvvbhk
devops:ccccccefjlkn

Главная головная боль аппаратной аутентификации — потеря или поломка токена. Видели ситуацию, когда единственный YubiKey администратора утонул в стакане кофе в пятницу вечером. Без заранее продуманной стратегии резервирования можно разом потерять доступ ко всей инфраструктуре.

• Два токена на сотрудника — основной всегда при себе, резервный лежит в сейфе. Оба регистрируются сразу на всех серверах, иначе смысл резерва теряется
• Break-glass аккаунт — отдельный root с паролем в запечатанном конверте или в менеджере паролей, для совсем аварийных ситуаций. Вход по паролю разрешён строго с консоли, SSH — закрыт
• Аварийный SSH-ключ — обычный ed25519, зашифрованный сильным паролем и запертый на USB-накопителе в том же сейфе

# Скрипт регистрации нового/резервного YubiKey для FIDO2 SSH
#!/bin/bash
set -e
SERVERS="server1 server2 server3 db-master db-slave"

echo "Вставьте новый YubiKey и нажмите Enter"
read

# Генерация нового ключа
ssh-keygen -t ed25519-sk -O resident -O verify-required \
  -f ~/.ssh/id_yubikey_backup -C "backup-yubikey-$(date +%Y%m%d)"

# Деплой на все серверы
for SRV in $SERVERS; do
  echo "Деплой на $SRV..."
  ssh-copy-id -i ~/.ssh/id_yubikey_backup.pub admin@$SRV
  echo "OK: $SRV"
done

echo "Резервный YubiKey зарегистрирован на $(echo $SERVERS | wc -w) серверах"

Резервный токен для PAM U2F регистрируется командой pamu2fcfg -n >> ~/.config/Yubico/u2f_keys. Флаг -n здесь принципиален — он дописывает запись к уже существующей строке пользователя, а не затирает её.