SSH¶

Nitrokey 3	Klucz dostępu Nitrokey	Nitrokey FIDO2	Nitrokey U2F	Nitrokey HSM 2	Nitrokey Pro 2	Nitrokey Start	Nitrokey Storage 2
✓	⨯	⨯	⨯	⨯	✓	✓	✓

Ten przewodnik wyjaśnia, jak przygotować serwer SSH i klienta do użytku z Nitrokey. Aby skonfigurować PuTTY, zobacz ten przewodnik:

Nitrokey powinien mieć już zainstalowane klucze PGP, a lokalny pierścień kluczy GnuPG powinien znać te klucze.

Przygotowanie do pracy z klientem¶

Upewnij się, że ~/.gnupg/gpg.conf zawiera «use-agent»
Dodaj obsługę ssh do gnupg-agenta, dodając «enable-ssh-support» do ~/.gnupg/gpg-agent.conf
Jeśli plik jeszcze nie istnieje, można go po prostu utworzyć.
Dodaj następujący kod gdzieś do swojego ~/.bashrc (dla rybiej łuski, spójrz ` tutaj <https://support.nitrokey.com/t/ssh-auth-with-fish-instead-of-bash/2206>`__)

unset SSH_AGENT_PID
if [ "${gnupg_SSH_AUTH_SOCK_by:-0}" -ne $$ ]; then
export SSH_AUTH_SOCK="$(gpgconf --list-dirs agent-ssh-socket)"
fi

Po prostu zrestartuj system lub spróbuj pkill gpg-agent i otwórz nową linię poleceń, aby upewnić się, że wszystko jest ustawione
W przypadku problemów, proszę spróbować gpg2 --card-status przy pierwszym użyciu, aby upewnić się, że gpg-agent zostanie uruchomiony.

Przygotowanie do pracy na serwerze¶

Możesz wygenerować plik authorized_keys uruchamiając albo

gpg2 --export-ssh-key keyID >> ~/authorized_keys

gdzie

keyID

jest identyfikatorem klucza podrzędnego używanego do uwierzytelniania na Twoim Nitrokey. Nitrokey musi być już znany w lokalnym GnuPG keyringu. Możesz teraz dodać ten plik do authorized_keys zdalnego serwera i kiedy ssh do serwera zostaniesz poproszony o pin zamiast frazy hasła.

Rozwiązywanie problemów¶

Jeśli nadal jesteś proszony o podanie hasła, upewnij się, że

echo $SSH_AUTH_SOCK

zwraca coś w rodzaju «/run/user/1000/gnupg/S.gpg-agent.ssh» lub «/home/username/.gnupg/.S.gpg-agent.ssh». Niestety, w przeszłości w GnuPG wprowadzono pewne zmiany, tak że rzeczywista zawartość może się różnić w zależności od systemu i wersji GnuPG. W niektórych systemach w tej zmiennej może być zapisanych nawet kilka folderów. Musisz dostosować powyższy kod w .bashrc tak, aby zmienna SSH_AUTH_SOCK była poprawna. W razie wątpliwości poszukaj «SSH_AUTH_SOCK» w

man gpg-agent

aby znaleźć aktualny kod dla twojej wersji/systemu.

Możesz sprawdzić, czy masz «pinentry» program zainstalowany za pośrednictwem menedżera pakietów. Może być konieczne ` ustawienie go w gpg-agent.conf <https://wiki.archlinux.org/index.php/GnuPG#pinentry>`__ również. Może być konieczne ` wskazanie gpg-agentowi właściwego TTY <https://wiki.archlinux.org/index.php/GnuPG#Configure_pinentry_to_use_the_correct_TTY>`__.