Generarea unei chei SSH (Windows, macOS, Linux)

O cheie SSH vă permite să vă conectați la server fără parolă. Cheia este o pereche de fișiere. Cheia privată rămâne doar pe calculatorul dvs. Cheia publică o adăugați la BLACKBOX: pe pagina „Chei SSH” (blackbox.md/account/ssh-keys, „Contul meu” → „Chei SSH”) sau direct pe server, din panoul app.blackbox.md („Serverele mele” → „Adaugă cheie SSH”).

Disponibil pentru: oricine, pe propriul calculator. Adăugarea cheii în cont și pe server: titularul contului blackbox.md.

Ce tip de cheie alegeți

BLACKBOX acceptă tipurile ssh-ed25519, ssh-rsa (cel puțin 2048 de biți), ecdsa-sha2-nistp256, ecdsa-sha2-nistp384, ecdsa-sha2-nistp521, sk-ssh-ed25519@openssh.com și sk-ecdsa-sha2-nistp256@openssh.com. Cheile DSA (ssh-dss) și cheile RSA mai scurte de 2048 de biți sunt refuzate.

Generarea cheii pe macOS și Linux

1. Deschideți aplicația Terminal.

2. Rulați comanda de mai jos. Înlocuiți comentariul laptop-ion cu un nume după care recunoașteți calculatorul:

   ssh-keygen -t ed25519 -C "laptop-ion"

3. La „Enter file in which to save the key” apăsați Enter. Cheia se salvează în locul implicit, ~/.ssh/id_ed25519.

4. La „Enter passphrase” tastați o frază de acces (passphrase), apoi repetați-o la „Enter same passphrase again”. Caracterele nu apar pe ecran.

5. La final, ssh-keygen afișează unde a salvat cele două fișiere și amprenta cheii, de forma SHA256:….

Fraza de acces criptează cheia privată: cine copiază fișierul nu îl poate folosi fără ea. Puteți apăsa Enter de două ori ca să creați o cheie fără frază de acces, dar nu vă recomandăm.

Comentariul dat cu -C apare la sfârșitul cheii publice. În panou, în lista „Chei instalate”, recunoașteți cheile după acest comentariu.

Dacă un program vă cere o cheie RSA, generați-o așa (fișierele vor fi id_rsa și id_rsa.pub):

ssh-keygen -t rsa -b 4096 -C "laptop-ion"

Dacă ssh-keygen întreabă „already exists. Overwrite (y/n)?”, tastați n. Aveți deja o cheie cu acest nume: dacă o suprascrieți, pierdeți accesul la serverele pe care este instalată cheia veche. Folosiți cheia existentă sau creați una nouă cu alt nume de fișier:

ssh-keygen -t ed25519 -C "laptop-ion" -f ~/.ssh/id_ed25519_blackbox

Generarea cheii pe Windows

PowerShell

Windows 10 și 11 includ clientul OpenSSH, deci comanda este aceeași.

1. Deschideți PowerShell (meniul Start → tastați „PowerShell”).

2. Rulați:

   ssh-keygen -t ed25519 -C "laptop-ion"

3. Răspundeți la întrebări ca pe macOS și Linux: Enter pentru locul implicit, apoi fraza de acces de două ori.

Fișierele se salvează în folderul .ssh din profilul dvs.: C:\Users\NUME_UTILIZATOR\.ssh\. Dacă Windows răspunde că ssh-keygen nu este recunoscut ca o comandă, adăugați componenta OpenSSH Client din setările Windows, la funcțiile opționale.

PuTTYgen

Folosiți PuTTYgen dacă vă conectați cu PuTTY. Se instalează împreună cu PuTTY.

1. Deschideți PuTTYgen. Jos, la „Type of key to generate”, alegeți „EdDSA”, iar în lista de lângă, „Ed25519 (255 bits)”. În versiunile vechi, opțiunea se numește direct „ED25519”.
2. Apăsați „Generate” și mișcați mouse-ul peste zona goală a ferestrei până se umple bara de progres.
3. În „Key comment” înlocuiți textul implicit cu un nume, de exemplu laptop-ion.
4. Completați „Key passphrase” și „Confirm passphrase”.
5. Apăsați „Save private key” și salvați fișierul .ppk. Pe acesta îl alegeți în PuTTY.
6. Copiați tot textul din câmpul „Public key for pasting into OpenSSH authorized_keys file”: o singură linie care începe cu ssh-ed25519. Pe aceasta o lipiți la BLACKBOX.

Nu folosiți fișierul salvat cu „Save public key”. Acesta începe cu ---- BEGIN SSH2 PUBLIC KEY ----, are mai multe rânduri și este refuzat. Ca să folosiți aceeași cheie și cu ssh din PowerShell, alegeți „Conversions” → „Export OpenSSH key” și salvați fișierul ca C:\Users\NUME_UTILIZATOR\.ssh\id_ed25519, fără extensie. Conversia inversă, din OpenSSH în .ppk, este în Conectarea la server prin SSH (Windows, macOS, Linux).

Unde se află fișierele

Pentru o cheie RSA, fișierele sunt id_rsa și id_rsa.pub, în același folder.

Atenție Nu trimiteți cheia privată nimănui, nici suportului BLACKBOX, și nu o lipiți în niciun formular: la BLACKBOX vă trebuie doar cheia publică. Cheia privată este fișierul fără .pub sau un text care începe cu -----BEGIN.

Afișați și copiați cheia publică

Pe macOS și Linux:

cat ~/.ssh/id_ed25519.pub

Pe Windows (PowerShell):

Get-Content $env:USERPROFILE\.ssh\id_ed25519.pub

Rezultatul este o singură linie. Copiați-o întreagă:

ssh-ed25519 AAAAC3NzaC1lZDI1NTE5AAAAI… laptop-ion

Amprenta cheii o vedeți cu comanda de mai jos (pe Windows, cu calea $env:USERPROFILE\.ssh\id_ed25519.pub). Valoarea SHA256:… este aceeași pe care o arată BLACKBOX în coloana „Amprentă” și, la serverele „doar cu cheie”, în emailul cu subiectul „Serverul dvs. este gata”.

ssh-keygen -lf ~/.ssh/id_ed25519.pub

Adăugați cheia publică la BLACKBOX

În cont, pentru serverele noi

1. Autentificați-vă pe blackbox.md, apăsați „Cont client” și alegeți „Chei SSH” în meniul din stânga.
2. În cardul „Adaugă o cheie SSH”, completați „Nume cheie” (cel mult 80 de caractere) și lipiți linia în „Cheie publică SSH”.
3. Apăsați „Adaugă cheia”. Cheia apare în tabel, cu „Tip” și „Amprentă”.
4. La comanda unui server, în pasul „Cheie SSH pentru server”, bifați cheia sub „Chei salvate”. Caseta „Dezactivează autentificarea prin parolă (doar cheie SSH)” se bifează automat. Dacă o lăsați bifată, serverul se creează „doar cu cheie”.

Salvarea în cont nu instalează cheia pe serverele existente. Detalii: Cheile SSH din cont (blackbox.md) și Cheia SSH la comandă și serverele „doar cu cheie”.

Pe un server care rulează

1. Deschideți panoul app.blackbox.md („Contul meu” → „Panou de administrare”) și mergeți la „Serverele mele”.
2. Pe cardul serverului, apăsați „Adaugă cheie SSH”.
3. Alegeți „Folosește o cheie salvată” și cheia din „Selectați o cheie…” sau „Lipește o cheie nouă” și lipiți linia.
4. Apăsați „Adaugă cheia”. Rezultatul este „Cheie adăugată.”, iar cheia apare în „Chei instalate”.

Panoul instalează cheia pentru root fără să aibă nevoie de parola sau de cheile dvs. vechi. Detalii: Adăugarea și ștergerea cheilor SSH pe server.

Din terminal, cu ssh-copy-id

Pe Linux și macOS, ssh-copy-id adaugă cheia publică pe server. Funcționează doar dacă vă puteți deja conecta: cu parola, pe un server „Parolă + cheie”, sau cu altă cheie instalată.

ssh-copy-id -i ~/.ssh/id_ed25519.pub root@IP_SERVER

Dacă vi se cere, introduceți parola root. Cheia apare apoi și în panou, în „Chei instalate”, dar nu se salvează în „Chei SSH”. Pe Windows, ssh-copy-id nu există: folosiți panoul.

Verificați conectarea

ssh -i ~/.ssh/id_ed25519 root@IP_SERVER

Dacă cheia are frază de acces, SSH întreabă „Enter passphrase for key”: tastați fraza cheii, nu parola serverului. Pași pentru fiecare sistem: Conectarea la server prin SSH (Windows, macOS, Linux). După ce intrați cu cheia, puteți opri autentificarea cu parolă din panou: Activarea și dezactivarea autentificării SSH cu parolă.

Mai comod: ssh-agent și fișierul config

ssh-agent

Agentul SSH ține cheia deblocată în memorie, ca să nu tastați fraza de acces la fiecare conectare. Pe macOS și Linux:

ssh-add ~/.ssh/id_ed25519

Dacă ssh-add nu se poate conecta la agent (de exemplu, cu mesajul „Could not open a connection to your authentication agent”), porniți agentul în terminalul curent și repetați ssh-add:

eval "$(ssh-agent -s)"

Pe Windows, serviciul agentului este oprit implicit. Porniți-l o singură dată, din PowerShell deschis ca administrator:

Get-Service ssh-agent | Set-Service -StartupType Automatic
Start-Service ssh-agent

Apoi, într-un PowerShell obișnuit:

ssh-add $env:USERPROFILE\.ssh\id_ed25519

Cheile încărcate în agent le vedeți cu:

ssh-add -l

Fișierul ~/.ssh/config

În fișierul ~/.ssh/config dați serverului un nume scurt. Pe Windows, fișierul este C:\Users\NUME_UTILIZATOR\.ssh\config, fără extensia .txt. Adăugați un bloc:

Host server-web
    HostName IP_SERVER
    User root
    IdentityFile ~/.ssh/id_ed25519
    IdentitiesOnly yes

Apoi vă conectați doar cu:

ssh server-web

Numele funcționează și cu scp și rsync: Transferul fișierelor pe server (scp, rsync, SFTP). IdentitiesOnly yes face ca SSH să ofere doar cheia indicată, ceea ce evită eroarea „Too many authentication failures” când aveți multe chei.

Chei hardware de securitate (FIDO2)

Cu o cheie de securitate FIDO2 (de exemplu YubiKey), partea secretă rămâne pe dispozitiv. Vă trebuie OpenSSH 8.2 sau mai nou pe calculator. Verificați versiunea:

ssh -V

1. Conectați cheia de securitate la calculator.

2. Rulați:

   ssh-keygen -t ed25519-sk -C "yubikey-ion"

3. Atingeți cheia când ssh-keygen afișează „You may need to touch your authenticator”, apoi setați fraza de acces ca mai sus.

Se creează id_ed25519_sk (o referință la dispozitiv, păstrați-o) și id_ed25519_sk.pub, care începe cu sk-ssh-ed25519@openssh.com. Pe cea publică o adăugați la BLACKBOX la fel ca pe celelalte. La fiecare conectare, cheia de securitate trebuie să fie conectată și atinsă.

Dacă dispozitivul nu acceptă Ed25519, ssh-keygen afișează o eroare. Generați atunci o cheie ECDSA, acceptată și ea de BLACKBOX:

ssh-keygen -t ecdsa-sk -C "yubikey-ion"

Pe macOS, OpenSSH inclus în sistem poate să nu accepte cheile FIDO2: atunci ssh-keygen afișează o eroare atât pentru ed25519-sk, cât și pentru ecdsa-sk. În acest caz, instalați OpenSSH din Homebrew, deschideți un terminal nou și repetați comanda:

brew install openssh

Copia de rezervă și pierderea cheii

• Păstrați o copie a cheii private și a frazei de acces într-un loc sigur, de exemplu într-un manager de parole sau pe un stick USB criptat. Fraza de acces uitată nu se poate recupera.

• Fraza de acces o schimbați fără să schimbați cheia:

  ssh-keygen -p -f ~/.ssh/id_ed25519

• Cel mai sigur este să generați câte o cheie pentru fiecare calculator. Dacă pierdeți un dispozitiv, retrageți doar cheia lui.

• Dacă ați pierdut cheia sau v-a fost furat calculatorul, generați o cheie nouă și adăugați-o din panou cu „Lipește o cheie nouă”. Apoi ștergeți cheia veche din „Chei instalate” pe fiecare server și din „Chei SSH”.

Important Pe un server „Doar cheie”, fără cheia privată nu vă mai puteți conecta prin SSH, iar clienții nu au consolă web. Dacă nici panoul nu vă ajută, urmați Ați pierdut accesul la server (parolă sau cheie).

Întrebări frecvente

Am pierdut fișierul .pub, dar am cheia privată. Ce fac? Comanda de mai jos afișează din nou cheia publică, pe care o copiați. Pe Windows, folosiți calea $env:USERPROFILE\.ssh\id_ed25519.

ssh-keygen -y -f ~/.ssh/id_ed25519

De ce pagina „Chei SSH” îmi refuză cheia? Cel mai des ați lipit cheia privată, mai multe rânduri sau o cheie RSA mai scurtă de 2048 de biți. Toate mesajele de eroare sunt explicate în Cheile SSH din cont (blackbox.md).

Am creat cheia fără frază de acces. O pot adăuga mai târziu? Da, cu aceeași comandă ca la schimbarea frazei de acces, din secțiunea de mai sus. Cheia publică nu se schimbă, deci nu trebuie să o adăugați din nou pe servere.