Qu'est-ce que SSH ?

Secure Shell (SSH) est un protocole réseau cryptographique qui authentifie et crypte les sessions entre un client et un hôte distant, remplaçant ainsi les protocoles non sécurisés tels que Telnet et rlogin. Les administrateurs utilisent SSH pour l'accès en ligne de commande, l'exécution de commandes à distance et le transfert de fichiers sans mot de passe, basé sur des clés, sur des réseaux non fiables tels qu'Internet.

Points clés à retenir

• Le protocole SSH assure le chiffrement et l'authentification des sessions à distance via la ligne de commande et des sessions de transfert de fichiers.
• L'authentification par clé publique offre une sécurité supérieure à celle des mots de passe et permet l'automatisation.
• Le protocole SSH-2 a remplacé la version SSH-1, qui n'était plus sécurisée et avait été dépréciée.
• Renforcer la sécurité de SSH consiste à désactiver les algorithmes de chiffrement faibles, certains ports et les comptes par défaut.
• Versa Le Director et les périphériques VOS utilisent SSH pour l'accès à l'interface de ligne de commande (CLI) à des fins d'administration.

Sur cette page : Pourquoi est-ce important ? · Comment ça marche · Types · SSH et Versa · FAQ

Pourquoi le protocole SSH est-il important ?

Avant l'arrivée de SSH, les administrateurs accédaient aux systèmes distants via Telnet, rlogin et rsh, des protocoles qui transmettaient les noms d'utilisateur, les mots de passe et chaque frappe en clair. Quiconque surveillait le trafic réseau pouvait intercepter les identifiants ou détourner une session. SSH a remplacé ces trois protocoles en chiffrant l'intégralité de la session et en vérifiant l'identité du serveur et du client. C'est pourquoi il est devenu la méthode par défaut pour gérer les serveurs, les périphériques réseau et les instances cloud.

Son importance perdure car l’administration à distance passe constamment par des réseaux non fiables. L’authentification par clé publique de SSH a également éliminé les mots de passe des opérations courantes, permettant aux scripts de connexion et aux outils de gestion de configuration de s’authentifier sans qu’un utilisateur ait à saisir manuellement ses identifiants. Presque tous les systèmes d’exploitation réseau, distributions Linux et plateformes cloud intègrent un serveur ou un client SSH, ce qui fait des bonnes pratiques SSH – gestion des clés, choix des algorithmes de chiffrement, restriction d’accès – un élément central de toute stratégie de renforcement de la sécurité.

Qu'est-ce que SSH ?

SSH est constitué de trois couches qui fonctionnent en synergie. Le protocole de la couche de transport établit le canal chiffré : le client et le serveur négocient des algorithmes de chiffrement, échangent une clé d’hôte afin que le client puisse vérifier qu’il communique bien avec le serveur authentique, puis dérivent des clés de session. Le protocole d’authentification utilisateur vérifie ensuite l’identité du client – à l’aide d’un mot de passe, d’une paire de clés publique/privée, ou par le biais de méthodes telles que l’authentification interactive par clavier ou basée sur l’hôte. Une fois l’authentification effectuée, le protocole de connexion multiplexe le canal chiffré en flux logiques : un shell interactif, une commande distante unique, des ports TCP redirigés ou un sous-système de transfert de fichiers.

L'authentification par clé publique est privilégiée : un utilisateur génère une paire de clés, place la clé publique sur le serveur et garde la clé privée secrète. Le serveur demande au client de prouver qu'il possède bien la clé privée correspondante, de sorte qu'aucun mot de passe ne circule sur le réseau. Ce même mécanisme est à la base des transferts de fichiers SFTP et SCP, qui fonctionnent comme des sous-systèmes au sein d'une session SSH plutôt que comme des protocoles distincts.

Types de SSH

Il existe deux versions du protocole. SSH-1 présente des failles cryptographiques connues et est considéré comme obsolète ; la quasi-totalité des déploiements modernes utilisent SSH-2, un protocole repensé et plus sécurisé qui sert de base à toutes les implémentations actuelles, y compris OpenSSH.

Au sein du protocole SSH-2, plusieurs méthodes d’authentification coexistent : l’authentification par mot de passe (la plus simple, mais la moins résistante aux attaques automatisées), l’authentification par clé publique (la méthode par défaut recommandée), l’authentification interactive par clavier (systèmes de type « défi-réponse » tels que les codes d’accès à usage unique) et l’authentification basée sur l’hôte (qui fait confiance à la machine cliente plutôt qu’à l’utilisateur). La couche « Protocolle de connexion » définit également différents types de canaux : sessions de shell interactives, exécution ponctuelle d’une commande à distance, redirection de port TCP (acheminement d’un autre trafic via la session chiffrée) et les sous-systèmesSFTP/SCP pour le transfert de fichiers. Le choix des algorithmes de chiffrement, de MAC et d’échange de clés – chiffrement AES-GCM, MAC basés sur SHA-2, échange de clés curve25519 – détermine la robustesse cryptographique d’une session donnée.

SSH & Versa

SSH constitue la principale voie d'accès administratif aux appareils Versa Director et VOS, et le site Versa Networks le considère comme une surface à sécuriser. Les appareils sont livrés avec une configuration par défaut admin Utilisateur SSH ; le Utilisateur par défaut SSH Cette fonctionnalité permet à un opérateur de désigner un autre utilisateur par défaut, disposant de sa propre clé publique SSH, après quoi la connexion de l'administrateur est désactivée.

Configuration manuelle de la sécurité pour les branches, les contrôleurs et les concentrateurs et Configuration manuelle de la sécurité pour Versa Director Les deux consacrent une section à SSH : modifier le port par défaut (autre que le 22), désactiver le démon SSH lorsqu’il n’est pas nécessaire, et configurer Ciphers, MACs, et KexAlgorithms dans sshd_config à des algorithmes modernes et certifiés. Les versions ultérieures de VOS prennent en charge une commande « access-list » permettant de limiter l’accès à SSH, REST et NETCONF à des adresses IP spécifiques, et l’interface utilisateur de Director propose des paramètres de contrôle des sessions SSH : intervalle de vérification de l’activité du client, nombre maximal de connexions simultanées et délai de grâce de connexion.

Questions fréquentes

Quelle est la différence entre SSH-1 et SSH-2 ?

Le protocole SSH-1 présente des failles connues au niveau de sa conception et de son système de chiffrement, et est désormais obsolète. Le protocole SSH-2 est une refonte complète qui intègre des algorithmes plus robustes, un meilleur contrôle d'intégrité et la prise en charge de plusieurs méthodes d'authentification et types de canaux. Toutes les implémentations actuelles de SSH, y compris OpenSSH, utilisent exclusivement le protocole SSH-2.

Qu'est-ce que l'authentification SSH par clé publique ?

Un utilisateur génère une paire de clés publique/privée, place la clé publique sur le serveur et conserve la clé privée secrète. Le serveur envoie une requête cryptographique à laquelle seule la clé privée correspondante peut répondre ; l'authentification s'effectue ainsi sans qu'aucun mot de passe ne circule sur le réseau, et ce processus peut être automatisé.

Qu'est-ce que la redirection de port SSH ?

La redirection de ports, également appelée « tunneling », achemine le trafic provenant d'une autre application via une session SSH cryptée déjà établie. La redirection locale rend accessible un service distant sur la machine du client ; la redirection à distance fait l'inverse. Cette technique est couramment utilisée pour accéder à des services qui ne seraient autrement pas accessibles via le réseau.

Qu'est-ce que le SFTP et quel est son rapport avec le SSH ?

Le SFTP (SSH File Transfer Protocol) est un sous-système qui s'exécute au sein d'une session SSH authentifiée, bénéficiant ainsi du même chiffrement et de la même authentification par clé qu'un shell interactif. Il a remplacé les anciens protocoles de transfert en clair, tels que le FTP, pour assurer la sécurité des transferts de fichiers.

Quels algorithmes cryptographiques SSH faut-il configurer pour renforcer la sécurité ?

Les recommandations en matière de renforcement définissent des valeurs modernes pour sshd_configles champs « Ciphers », « MACs » et « KexAlgorithms » – par exemple, les algorithmes de chiffrement AES-GCM, les HMAC basés sur SHA-2 et l'échange de clés curve25519 – et supprime les algorithmes obsolètes vers lesquels des clients moins sécurisés pourraient autrement se rabattre.

En savoir plus sur SSH

Si vous souhaitez en savoir plus, voici des sources auxquelles nous faisons confiance.

Termes associés

Si vous vous intéressez à SSH, voici quelques liens qui pourraient vous intéresser.