Cloudflare lance OPKSSH : une nouvelle méthode d’authentification pour les serveurs SSH
Cloudflare a récemment lancé une nouvelle solution, OPKSSH (OpenPubkey SSH), qui offre une méthode d’authentification basée sur OpenID Connect (OIDC) pour les serveurs SSH. Cette innovation permet aux administrateurs de remplacer les traditionnelles clés SSH par un accès contrôlé par identité, simplifiant ainsi la gestion des accès et augmentant la sécurité des systèmes.
OPKSSH est un projet open source, faisant partie de l’initiative OpenPubkey, qui est soutenue par la Linux Foundation depuis 2023. Initialement développée par BastionZero, une société qui a été intégrée à Cloudflare, cette solution représente une avancée significative dans le domaine de la gestion des accès au sein des infrastructures modernes.
Avantages clés de OPKSSH
Sécurité accrue : OPKSSH remplace les clés SSH statiques par des clés éphémères, générées à la demande lors de la connexion de l’utilisateur. Ces clés expirent après 24 heures, limitant ainsi les risques en cas de compromission.
Facilité d’utilisation : Le processus d’authentification est simplifié. Les utilisateurs se connectent via leur fournisseur d’identité (comme Google, Microsoft/Azure ou GitLab) en utilisant la commande
opkssh login. La clé SSH est alors générée automatiquement, éliminant le besoin de gérer manuellement des clés privées.- Meilleure visibilité et contrôle d’accès : Les administrateurs peuvent gérer l’accès des utilisateurs en ajoutant simplement leurs adresses e-mail aux fichiers de configuration d’OPKSSH, améliorant ainsi la traçabilité et la gestion des accès.
Améliorations dans OpenPubkey
Le projet OpenPubkey, qui avait déjà envisagé le support de SSH, a été amélioré avec le lancement d’OPKSSH, qui est désormais une solution pleinement fonctionnelle. Parmi les améliorations notables figurent :
- Un support pour SSH en production
- L’installation automatisée des outils nécessaires
- De meilleures outils de configuration pour faciliter la gestion
Comment fonctionne OPKSSH
OPKSSH s’appuie sur la capacité de SSH à gérer des certificats, en y injectant des tokens PK, y compris l’ID Token d’OpenID Connect. Cela permet au serveur SSH de vérifier l’authenticité de l’utilisateur via son fournisseur d’identité. Les administrateurs doivent simplement installer le binaire sur leurs serveurs pour l’intégrer comme méthode d’authentification supplémentaire.
Installation et configuration
L’installation d’OPKSSH est simple et peut être réalisée automatiquement via un script sur des systèmes Linux, ou manuellement à l’aide des binaires pour Linux, macOS et Windows. Les administrateurs peuvent ensuite ajouter facilement les utilisateurs autorisés et configurer le serveur pour accepter uniquement les clés générées via OPKSSH.
Compatibilité avec les fournisseurs d’identité
OPKSSH est compatible avec des fournisseurs d’identité populaires tels que Google, Microsoft/Azure, et GitLab. Les administrateurs ont aussi la possibilité d’intégrer OPKSSH avec d’autres fournisseurs à travers OpenID Connect, garantissant une adaptation facile à leurs infrastructures existantes.
Conclusion
Le lancement d’OPKSSH marque une étape cruciale dans la gestion de l’authentification SSH pour les environnements d’entreprise et cloud. En adoptant OpenID Connect et en éliminant les clés SSH statiques, OPKSSH offre une méthode plus sécurisée et efficace pour gérer les accès aux serveurs, tout en renforçant la sécurité et la traçabilité des systèmes modernes.
