YubiKey для SSH и 2FA: аппаратная аутентификация

SSH-ключи — основа аутентификации на Linux-серверах, но у них есть критическая уязвимость: приватный ключ хранится файлом на диске. Если рабочая станция администратора скомпрометирована (малварь, кража ноутбука, доступ коллеги), злоумышленник получает приватный ключ и полный доступ ко всем серверам. Пароль на ключ (passphrase) замедляет, но не останавливает атаку — его можно подобрать офлайн.

Аппаратный токен YubiKey решает эту проблему: приватный ключ генерируется внутри устройства и никогда не покидает его. Даже при полной компрометации компьютера злоумышленник не сможет извлечь ключ — потребуется физическое владение токеном. Кроме того, YubiKey требует касания (touch) при каждой операции подписи, что защищает от удалённого использования даже если токен подключён к компьютеру.

YubiKey поддерживает несколько протоколов для SSH: FIDO2/WebAuthn (ed25519-sk, ecdsa-sk) — встроен в OpenSSH 8.2+, не требует дополнительного ПО; PIV (Personal Identity Verification) — эмулирует смарт-карту, совместим с PKCS#11; OpenPGP — через gpg-agent как SSH-агент. Для большинства случаев рекомендуется FIDO2 как самый простой и современный вариант.

Первым делом установите утилиты управления YubiKey на рабочую станцию:

# Ubuntu/Debian
apt install -y yubikey-manager libfido2-dev libfido2-1 fido2-tools

# Fedora/RHEL
dnf install -y yubikey-manager libfido2 fido2-tools

# macOS
brew install ykman libfido2

Проверьте, что токен определяется системой:

# Информация о подключённом YubiKey
ykman info
# Device type: YubiKey 5 NFC
# Serial number: 12345678
# Firmware version: 5.4.3
# Enabled USB interfaces: OTP, FIDO, CCID

# Список FIDO credentials
fido2-token -L
# /dev/hidraw3: vendor=0x1050, product=0x0407 (Yubico YubiKey)

Начиная с OpenSSH 8.2, поддерживаются ключи типа ed25519-sk и ecdsa-sk, привязанные к FIDO2-токену. Это самый простой способ использования YubiKey для SSH.

Требования: OpenSSH >= 8.2 на клиенте и сервере, YubiKey с поддержкой FIDO2 (серия 5, Security Key). Генерация ключа:

# Создание FIDO2 SSH-ключа (ed25519-sk)
ssh-keygen -t ed25519-sk -C "yubikey-admin@company"
# Коснитесь YubiKey, когда мигает индикатор
# Generating public/private ed25519-sk key pair.
# You may need to touch your authenticator...

# Файлы:
# ~/.ssh/id_ed25519_sk      — «ручка» (handle), НЕ приватный ключ
# ~/.ssh/id_ed25519_sk.pub  — публичный ключ

# С обязательным касанием при каждом использовании
ssh-keygen -t ed25519-sk -O verify-required -C "yubikey-admin"

Файл id_ed25519_sk — это не полноценный приватный ключ, а credential handle. Без физического YubiKey этот файл бесполезен. Скопируйте публичный ключ на сервер обычным способом:

ssh-copy-id -i ~/.ssh/id_ed25519_sk.pub user@server.example.com

PIV-подход — альтернатива FIDO2, совместимая со старыми версиями OpenSSH. YubiKey эмулирует смарт-карту стандарта PIV (NIST SP 800-73), ключ хранится в одном из четырёх слотов. Преимущество — работает с любой версией OpenSSH через PKCS#11 библиотеку.

# Генерация RSA-2048 ключа в PIV слоте 9a (Authentication)
ykman piv keys generate -a RSA2048 9a pubkey.pem

# Создание самоподписанного сертификата
ykman piv certificates generate \
  -s "CN=admin-yubikey" -d 3650 9a pubkey.pem

# Экспорт публичного SSH-ключа из PIV
ssh-keygen -D /usr/lib/x86_64-linux-gnu/libykcs11.so
# Выведет публичный ключ в формате OpenSSH

Для аутентификации через PIV используется библиотека PKCS#11:

# Подключение к серверу через PIV
ssh -I /usr/lib/x86_64-linux-gnu/libykcs11.so user@server

# Или в ssh_config:
Host piv-servers
  PKCS11Provider /usr/lib/x86_64-linux-gnu/libykcs11.so

Помимо замены SSH-ключей, YubiKey может выступать вторым фактором (2FA) поверх существующей аутентификации. Пользователь вводит пароль и затем касается YubiKey. Это реализуется через PAM-модуль pam_u2f.

# Установка PAM-модуля
apt install -y libpam-u2f

# Регистрация YubiKey для пользователя
mkdir -p ~/.config/Yubico
pamu2fcfg > ~/.config/Yubico/u2f_keys
# Коснитесь мигающего YubiKey

# Добавление второго токена (резервного)
pamu2fcfg -n >> ~/.config/Yubico/u2f_keys

Настройка PAM для SSH:

# /etc/pam.d/sshd — добавить после @include common-auth
auth required pam_u2f.so cue [cue_prompt=Коснитесь YubiKey...]

# Для централизованного хранения (все пользователи в одном файле)
# auth required pam_u2f.so authfile=/etc/yubikey/u2f_keys cue

В /etc/ssh/sshd_config:

# Включить Challenge-Response для PAM
ChallengeResponseAuthentication yes
UsePAM yes

# Требовать и публичный ключ, и 2FA
AuthenticationMethods publickey,keyboard-interactive

После systemctl restart sshd процесс входа: SSH-ключ -> запрос пароля -> запрос касания YubiKey.

Помимо FIDO2, YubiKey поддерживает режим OTP (One-Time Password) — при касании токен генерирует 44-символьную строку, которая валидируется через Yubico Cloud или локальный сервер валидации. Этот метод полезен, когда FIDO2 невозможен (старые системы, веб-панели).

# Установка клиента Yubico PAM для OTP
apt install -y libpam-yubico

# Получение API-ключей на https://upgrade.yubico.com/getapikey/
# Запишите client_id и secret_key

# /etc/pam.d/sshd
auth required pam_yubico.so id=CLIENT_ID key=SECRET_KEY \
  authfile=/etc/yubikey/otp_mappings mode=client

# /etc/yubikey/otp_mappings
# username:yubikey_id (первые 12 символов OTP)
admin:ccccccdvvbhk
devops:ccccccefjlkn

Главный риск аппаратной аутентификации — потеря или поломка токена. Без продуманной стратегии резервирования можно потерять доступ ко всей инфраструктуре.

• Два токена на сотрудника — основной (носится с собой) и резервный (хранится в сейфе). Оба регистрируются для всех серверов
• Break-glass аккаунт — отдельный аккаунт root с паролем в запечатанном конверте (или в менеджере паролей) для экстренного доступа. Вход по паролю разрешён только с консоли (не по SSH)
• Аварийный SSH-ключ — обычный ed25519 ключ, зашифрованный сильным паролем и хранящийся на USB-накопителе в сейфе

# Скрипт регистрации нового/резервного YubiKey для FIDO2 SSH
#!/bin/bash
set -e
SERVERS="server1 server2 server3 db-master db-slave"

echo "Вставьте новый YubiKey и нажмите Enter"
read

# Генерация нового ключа
ssh-keygen -t ed25519-sk -O resident -O verify-required \
  -f ~/.ssh/id_yubikey_backup -C "backup-yubikey-$(date +%Y%m%d)"

# Деплой на все серверы
for SRV in $SERVERS; do
  echo "Деплой на $SRV..."
  ssh-copy-id -i ~/.ssh/id_yubikey_backup.pub admin@$SRV
  echo "OK: $SRV"
done

echo "Резервный YubiKey зарегистрирован на $(echo $SERVERS | wc -w) серверах"

Для PAM U2F резервный токен регистрируется командой pamu2fcfg -n >> ~/.config/Yubico/u2f_keys — опция -n добавляет запись к существующей строке пользователя.