SSH, kulcsok, jelszavak és tanúsítványok

1.A nagy kép egy percben

2.Titkosítás vs. hitelesítés — a fogalmi alap

Két családja van a kulcsoknak:

Szimmetrikus kulcs

Ugyanaz a titok nyit és zár, mint egy közönséges lakatkulcs. Gyors, de a titkot valahogy meg kell osztani — és ha megosztod, kockázatos.

Aszimmetrikus kulcs (nyilvános/privát pár)

Ez az SSH-kulcsok és a tanúsítványok lelke. Egy összetartozó pár: a privát kulcs csak nálad, a nyilvános kulcs szabadon szétosztható.

Analógia: a nyilvános kulcs egy lakat, amiből annyit gyártasz, amennyit akarsz, és bárhová kirakod (a szerverre, a GitHubra, akárhová). A privát kulcs az egyetlen kulcs, ami ezeket a lakatokat nyitja — ezt soha, senkinek nem adod ki, és sosem megy át a hálózaton.

3.Mi az SSH valójában

SSH = Secure Shell. Egy protokoll (alapból a 22-es porton), amivel titkosított parancssort/terminált kapsz egy távoli géphez. Amikor ssh root@159.89.x.x parancsot adsz, két bizalmi irány dől el egyszerre:

• A szerver bizonyítja magát neked. Minden szervernek van egy host kulcsa. Az első csatlakozáskor ezt látod: The authenticity of host ... can't be established, és megkérdezi, elfogadod-e. Ha igen, a szerver ujjlenyomata bekerül a ~/.ssh/known_hosts fájlba. Ha később ez megváltozik, az SSH riaszt — ez véd a „valaki más adja ki magát a szerverednek” támadás ellen.
• Te bizonyítod magad a szervernek. Ez történhet jelszóval vagy kulccsal — erről szól a következő rész.

4.Jelszó vs. kulcs — a két belépési mód

4/a. Jelszavas belépés

A szerver a felhasználó jelszavának egy hashét tárolja (Linuxon a /etc/shadow fájlban). Belépéskor beírod a jelszót, a szerver ellenőrzi.

• Előny: nincs beállítás, azonnal működik.
• Hátrány: a nyilvános IP-jű szervereket a robotok folyamatosan próbálgatják (brute-force); egy gyenge jelszó előbb-utóbb elesik; a jelszó kihalászható (phishing).

4/b. Kulcsos belépés (SSH-kulcs)

A jelszó helyett a fent leírt nyilvános/privát kulcspárt használod. A privát kulcs a gépeden marad, a nyilvános a szerverre kerül. A belépés lényege: a privát kulcs sosem hagyja el a gépedet, mégis bizonyítja, hogy nálad van.

5.A kulcspár működése lépésről lépésre

ssh-keygen -t ed25519 -C "otthoni-notebook"

ssh-copy-id -i ~/.ssh/id_ed25519.pub root@159.89.x.x

6.Fingerprint (ujjlenyomat)

Egy kulcs teljes szövege hosszú és olvashatatlan, ezért van róla egy rövid, egyedi ujjlenyomat — pont, mint amit a DO paneleden láttál:

PClab   11:99:5f:68:e3:41:f8:e2:fc:04:71:b3:58:fe:86:ab

Ez a PClab nevű nyilvános kulcs azonosítója a fiókodban. Két, gyakran összekevert fajta ujjlenyomat létezik:

• A te kulcsod ujjlenyomata — melyik eszközöd melyik kulcsa. Ezzel azonosítod, hogy „ez az én laptopom kulcsa”.
• A szerver host kulcsának ujjlenyomata — amit az első csatlakozáskor mutat („authenticity of host…”). Ezzel ellenőrzöd, hogy tényleg a te szerveredre lépsz-e.

7.authorized_keys — a kulcs a szerveren

A szerver oldalán a beléphető nyilvános kulcsok a felhasználó ~/.ssh/authorized_keys fájljában sorakoznak, soronként egy kulcs. Egy sor így néz ki:

ssh-ed25519 AAAAC3NzaC1lZDI1NTE5AAAAI...9Xk  otthoni-notebook

Három rész: a típus (ssh-ed25519), maga a kulcs, és a végén a comment (otthoni-notebook). A comment technikailag lényegtelen, emberi szempontból viszont aranyat ér: ebből tudod, melyik sor melyik eszközé.

8.ssh-agent / Pageant — hogy ne kelljen mindig passphrase

Ha a privát kulcsod passphrase-zel védett, minden belépésnél be kellene írni. Az ügynök (agent) ezt oldja fel: egyszer megadod a passphrase-t, és az agent a memóriában tartja a feloldott kulcsot a munkamenet végéig.

• Linux/Mac: ssh-agent + ssh-add ~/.ssh/id_ed25519.
• Windows/PuTTY világ: ugyanez a szerep a Pageant programé.

9.DigitalOcean rétegek — itt a legtöbb félreértés

A DO-nál több, egymásra rétegződő dolgot hívnak „kulcsnak” vagy „hozzáférésnek”. Érdemes szétszálazni:

9/a. A DO-fiók „SSH Keys” listája provisioning

Amit a paneleden láttál (PClab + ujjlenyomat), az egy nyilvános kulcs tár a fiókodban. Ez önmagában nem belépés — hanem egy készlet, amiből új Droplet létrehozásakor kiválaszthatod, melyik kulcsokat másolja be a DO automatikusan az új szerver root authorized_keys fájljába. Meglévő Dropletet visszamenőleg nem módosít.

9/b. Ami ténylegesen a Dropleten van a valódi belépés

A tényleges SSH-belépést a szerveren lévő ~/.ssh/authorized_keys dönti el. A fiók-lista és a szerver tartalma eltérhet (pl. kézzel hozzáadtál/töröltél kulcsot a szerveren). Kétség esetén mindig a szerver fájlját nézd.

9/c. Webes konzol + Droplet Agent (a „DOTTY” kulcs) DO-kezelt

A DO ad egy böngészős konzolt (Droplet → Access → Launch Console), ami nem a 22-es porton megy, hanem a DO infrastruktúráján keresztül — vészhelyzeti út, ha az SSH nem elérhető. Hogy ez működjön, a Droplet Agent beteszi a saját, DO-menedzselt kulcsát (nálad ez a DOTTY nevű). Ez a te saját fiókod eszköze, nem külső fél.

9/d. Recovery konzol + root jelszó (break-glass) végső mentőöv

Ha egyszer se kulcs, se konzol-grant nem működne, marad a recovery konzol, ahova root jelszóval jutsz be. Ezért éri meg előre beállítani egy erős root jelszót (a szerver saját shelljében sudo passwd root) — ez a leginkább független, „betörőüveg” mentőöv, ami nem függ a DO-agent állapotától.

10.Tanúsítványok (Certificates) — teljesen más világ

A DO paneleden a „Certificates for Load Balancers and Spaces” rész nem a te belépésedről szól. Ezek TLS/SSL tanúsítványok: a weboldalad és a látogatók közti HTTPS forgalmat teszik titkossá és hitelessé (a lakat ikon a böngésző címsorában). A Let's Encrypt ezekből ad ingyeneset.

Analógia: az SSH-kulcs a hátsó bejárat kulcsod, amivel te bemész üzemeltetni a boltot. A TLS-tanúsítvány a kirakati pecsét, ami a vásárlóknak igazolja, hogy hiteles és lehallgathatatlan a vonal, amin veled beszélnek. A kettőnek semmi köze egymáshoz.

11.Platformok: Windows, Linux, telefon, notebook

Fontos, hogy a kulcs-elv mindenhol ugyanaz — csak az eszköz és a fájlformátum tér el.

Windows — két út

• (A) Beépített OpenSSH. A mai Windows tud natívan SSH-zni. PowerShellben: ssh root@159.89.x.x. A kulcsok a C:\Users\Te\.ssh\ mappában, generálás: ssh-keygen. Ugyanaz a világ, mint Linuxon.
• (B) PuTTY. Klasszikus grafikus kliens. Saját kulcsformátumot használ: .ppk. A PuTTYgen programmal generálsz vagy konvertálsz egy sima kulcsot .ppk-vá; a kulcsot a Connection → SSH → Auth alatt töltöd be, az agent-szerepet a Pageant viszi.

Linux / macOS

Natív OpenSSH mindenhol. A tipikus eszközök: ssh-keygen -t ed25519 a generáláshoz, ssh-copy-id a nyilvános kulcs felviteléhez, ~/.ssh/config a kényelmes álnevekhez (lásd lejjebb).

Telefon

• Android: a Termux egy teljes értékű Linux-terminál — ugyanaz az ssh-keygen/ssh megy, mint asztali gépen. Vagy egy dedikált app, pl. Termius.
• iPhone/iPad: Termius vagy Blink Shell. Ezek is tudnak kulcsot generálni a telefonon.
• Elv: a telefonon generálsz egy kulcspárt, a .pub részét felteszed a szerver authorized_keys-ébe (beszédes commenttel, pl. telefon-termux), a privát rész a telefonon marad.

Notebook / desktop

Nincs külön „notebook-mód” — az számít, milyen OS fut rajta (Windows → fenti két út; Linux/Mac → natív OpenSSH). A jó szokás: minden gépnek saját kulcsa, hogy egyenként visszavonható legyen.

12.Kényelmi trükk: ~/.ssh/config

Ahelyett, hogy minden belépésnél begépeled az IP-t, a usert és a kulcs elérési útját, adhatsz nekik egy álnevet:

# ~/.ssh/config
Host dropletem
    HostName 159.89.x.x
    User root
    IdentityFile ~/.ssh/id_ed25519_droplet

Ezután elég ennyi:

ssh dropletem

13.Jó gyakorlatok — kifejezetten a te helyzetedre

14.Összefoglaló tábla — melyik mi, egy pillantásra