Universellen zweiten Faktor mit SSH auf Windows verwenden

Ich habe einen FIDO/U2F Stick von Thetis. Bekannter ist YubiKey. Auf dem Security Token Stick lässt sich ein SSH Schlüssel erzeugen gemäß dieser Anleitung:

ssh-keygen -t ed25519-sk -O resident

Auf den Rechnern, mit denen ich arbeite, die mit Windows laufen, sind oft mehrere im Konflikt stehende Implementierungen des SSH Klienten installiert (Windows/Powershell OpenSSH, git-scm ssh, plink). Damit git nicht verwirrt ist, muss explizit eine spezifiziert werden:

$env:GIT_SSH="C:\WINDOWS\System32\OpenSSH\ssh.exe" ; $env:GIT_SSH_VARIANT="ssh"

Wenn ich U2F auf einem anderen Rechner nutzen will, auf dem noch kein Verweis auf den privaten Schlüssel im Token existiert, muss ich dafür eine Powershell mit Administratorrechten öffnen:

SSH Agent freischalten: Get-Service ssh-agent | Set-Service -StartupType Automatic

SSH Agent gegebenenfalls explizit starten Start-Service ssh-agent

Schüssel von Token herunterladen:

cd $env:USERPROFILE"\.ssh" ; C:\WINDOWS\System32\OpenSSH\ssh-keygen.exe -K ; C:\WINDOWS\System32\OpenSSH\ssh-add.exe id_ecdsa_sk_rk_*

Auch das muss in einer Powershell Sitzung mit Administratrorrechten passieren, sonst sagt ssh-keygen Cannot download keys without provider. Mehr dazu hier.

git clone und andere SSH Befehke können in einer non-Admin PowerShell verwendet werden. Der entsperrte Schlüssel ist über ssh-agent offenbar in den anderen Sitzungen verfügbar.

Andere Artikel

SSH Escape Sequenz eingeben

Veröffentlicht: Do 15 Oktober 2015
Von Hermann Höhne

In Ubuntu Linux.

Schlagworte: ssh

Der normale OpenSSH SSH Client erlaubt eine Vielzahl von Escape-Sequenzen. Für mich ist ~C der wichtigste. Damit kann ich auf die Konsole zur Steuerung des SSH Clients wechseln, um nachträglich eine Portweiterleitung einrichten zu können, beispielsweise -L 5900:localhost:5900 für VNC. Allerdings ist Tilde ~ als Zeichen auf detuschen Tastaturen …
read more
Schnelles SSH für langsame CPUs
Veröffentlicht: Di 01 Januar 2013
Aktualisiert: Fr 28 August 2020
Von Hermann Höhne

In Ubuntu Linux.

Schlagworte: ssh sshfs

Aktualisierung: Die Verschlüsselungsmethode "arcfour" ist in aktuellen Versionen von SSH nicht länger verfügbar. Es scheint, wer heute einen Prozessor ohne AES Unterstützung hat, darf nicht mehr mitmachen.
```
sshfs -o Ciphers=arcfour -o Compression=false user@server:/path ~/mnt
```
arcfour ist weniger sicher als AES. Es gibt angeblich auch das noch …
read more
SSH durch HTTP Proxy
Veröffentlicht: Mo 01 September 2008
Von Hermann Höhne

In Ubuntu Linux.

Schlagworte: ssh tunnel proxy

Das Netzwerk der Uni schreibt das Verwenden des Proxy-Servers vor. Ausgehende SSH-Verbindungen sind nicht erlaubt, aber HTTPS CONNECT auf Port 443 ist erlaubt. In meiner ~/.ssh/config steht daher
```
ProxyCommand corkscrew proxy 3128 %h %p
```
Der SSH-Server muss in diesem Fall auf Port 443 lauschen. Soll er sich da einen …
read more