SSH

Nitrokey 3

Nitrokey Passkey

Nitrokey FIDO2

Nitrokey U2F

Nitrokey HSM 2

Nitrokey Pro 2

Nitrokey Start

Nitrokey Storage 2

✓

⨯

⨯

⨯

⨯

✓

✓

✓

This guide explains how to prepare your SSH server and client for use with the Nitrokey. For configuring PuTTY, see this guide:

Nitrokey bör redan ha PGP-nycklar installerade och den lokala GnuPG-nyckelringen bör känna till nycklarna.

Förberedelser på uppdragsgivaren

  • Kontrollera att ~/.gnupg/gpg.conf innehåller ’use-agent’

  • Lägg till ssh-stöd till gnupg-agent genom att lägga till ’enable-ssh-support’ till ~/.gnupg/gpg-agent.conf

  • Om filen ännu inte finns kan du bara skapa den.

  • Lägg till följande kod någonstans i din ~/.bashrc (för fish shell, se här)

unset SSH_AGENT_PID
if [ "${gnupg_SSH_AUTH_SOCK_by:-0}" -ne $$ ]; then
export SSH_AUTH_SOCK="$(gpgconf --list-dirs agent-ssh-socket)"
fi

  • Starta om systemet eller prova pkill gpg-agent och öppna en ny kommandorad för att kontrollera att allt är inställt.

  • Vid problem kan du prova gpg2 --card-status vid första användningen för att se till att gpg-agenten startas.

Förberedelser för servern

Du kan generera en fil med auktoriserade nycklar genom att köra antingen

gpg2 --export-ssh-key keyID >> ~/authorized_keys

där

keyID

är det undernyckel-id som används för autentisering på din Nitrokey. Nitrokey måste redan vara känd i den lokala GnuPG-nyckelringen. Du kan nu lägga till den filen till en fjärrserver’s authorized_keys och när du sshar till servern kommer du’att bli tillfrågad om en pin istället för en lösenfras.

Felsökning

Om du fortfarande blir ombedd att ange ett lösenord ska du kontrollera att

echo $SSH_AUTH_SOCK

returnerar något som ’/run/user/1000/gnupg/S.gpg-agent.ssh’ eller ’/home/username/.gnupg/.S.gpg-agent.ssh’. Tyvärr har det skett en del förändringar i GnuPG i det förflutna, vilket gör att det faktiska innehållet kan skilja sig åt mellan system och GnuPG-version. På vissa system kan det till och med finnas flera mappar i denna variabel som sparas. Du måste anpassa den ovan angivna koden i .bashrc så att variabeln SSH_AUTH_SOCK är korrekt. Om du är osäker kan du leta efter ’SSH_AUTH_SOCK’ i

man gpg-agent

för att hitta den aktuella koden för din version/det aktuella systemet.

Du kan kontrollera om du har ett ’pinentry’ program installerat via din pakethanterare. Du kan behöva sätta det i gpg-agent.conf också. Det kan hända att du måste punkta gpg-agent till rätt TTY.