SSH klíč: přihlášení bez hesla (ed25519, PuTTYgen)

Vytvoříte si SSH klíč, nahrajete ho na VPS a budete se přihlašovat bez hesla. Nakonec přihlašování heslem vypnete, takže hádání hesel přestane mít smysl. Postup je pro Windows, macOS, Linux i PuTTY.

Jak SSH klíč funguje#

SSH klíč tvoří dva soubory, které k sobě patří:

Při přihlášení VPS pošle vašemu počítači úlohu, kterou umí vyřešit jen držitel soukromého klíče. Soukromý klíč přitom nikdy neopustí váš počítač. Klíč typu ed25519 je moderní, krátký a bezpečný a podporují ho všechny současné systémy.

Soukromý klíč můžete navíc zamknout heslem ke klíči (passphrase). Když vám někdo zkopíruje soubor s klíčem, bez tohoto hesla ho nepoužije.

Vytvoření klíče#

Co příkaz dělá:

• ssh-keygen – program na vytváření SSH klíčů.
• -t ed25519 – typ klíče. Ed25519 doporučujeme. Starší typ RSA použijte jen pro zařízení, která ed25519 neumí, a pak s délkou -t rsa -b 4096.
• -C "notebook-jan" – popisek (komentář) na konci veřejného klíče. Podle něj na VPS poznáte, ze kterého počítače klíč je. Popisek nic nezabezpečuje, je jen pro orientaci.

Vytvoření klíče v PuTTYgen#

Pokud se připojujete přes PuTTY, vytvořte klíč v programu PuTTYgen, který se instaluje spolu s PuTTY.

1. Spusťte PuTTYgen.
2. V části Parameters zvolte typ EdDSA a vedle něj Ed25519 (255 bits).
3. Klikněte na Generate a pohybujte myší v prázdné ploše okna, dokud se nenaplní ukazatel průběhu. Pohyb myši slouží jako zdroj náhody.
4. Do pole Key comment napište popisek, například notebook-jan.
5. Do polí Key passphrase a Confirm passphrase zadejte heslo ke klíči.
6. Klikněte na Save private key a uložte soubor, například C:\Users\<UZIVATEL>\.ssh\vps.ppk. Tohle je soukromý klíč.
7. Označte a zkopírujte celý text v poli Public key for pasting into OpenSSH authorized_keys file. Začíná ssh-ed25519 AAAA… a končí popiskem. Tohle je veřejný klíč, který nahrajete na VPS ručně (viz záložka Ručně níže).

Tlačítko Save public key ukládá veřejný klíč v jiném formátu, který VPS nepřijme. Vždy kopírujte text z pole.

Nahrání veřejného klíče na VPS#

Přihlášení klíčem#

Klíč ve výchozím umístění (id_ed25519) najde SSH klient sám, stačí běžný příkaz:

ssh [email protected]

Pokud jste klíči nastavili heslo, klient se zeptá Enter passphrase for key. Zadáte heslo ke klíči, ne root heslo.

Klíč uložený jinde nebo pod jiným názvem zadáte přepínačem -i:

ssh -i ~/.ssh/vps_klic [email protected]

• -i ~/.ssh/vps_klic – cesta k soukromému klíči (soubor bez .pub).

PuTTY:

1. Spusťte PuTTY a načtěte uloženou relaci (Load), nebo vyplňte IP adresu.
2. V levém stromu otevřete Connection › SSH › Auth › Credentials.
3. U pole Private key file for authentication klikněte na Browse a vyberte soubor .ppk.
4. Volitelně: v Connection › Data vyplňte Auto-login username root.
5. Vraťte se na Session, klikněte na název relace a na Save, ať to příště nemusíte nastavovat.
6. Klikněte na Open.

Klíč z ssh-keygen můžete v PuTTY použít také: v PuTTYgenu klikněte na Load, vyberte soubor id_ed25519 (přepněte filtr souborů na All Files) a uložte ho přes Save private key jako .ppk. Opačně převedete klíč z PuTTYgenu do formátu OpenSSH přes Conversions › Export OpenSSH key.

ssh-agent: heslo ke klíči jen jednou#

ssh-agent si odemčený klíč pamatuje, takže heslo ke klíči nezadáváte při každém připojení.

Ověření: ssh-add -l vypíše otisky klíčů, které má agent načtené.

Soubor ~/.ssh/config: připojení jedním slovem#

Do souboru config ve složce .ssh (Windows: C:\Users\<UZIVATEL>\.ssh\config, bez přípony) si uložte nastavení VPS:

Host mojevps
    HostName 203.0.113.10
    User root
    Port 22
    IdentityFile ~/.ssh/id_ed25519
    IdentitiesOnly yes

Pak se připojíte příkazem ssh mojevps. Zkratku používají i scp a sftp.

Vypnutí přihlašování heslem#

Dokud je přihlašování heslem zapnuté, boti ho můžou dál zkoušet. Po vypnutí VPS přijme jen klíč.

1. Vytvořte (nebo otevřete) vlastní konfigurační soubor SSH serveru:

   nano /etc/ssh/sshd_config.d/00-zabezpeceni.conf

2. Vložte nastavení:

   PasswordAuthentication no
   KbdInteractiveAuthentication no
   PubkeyAuthentication yes
   PermitRootLogin prohibit-password

   Pokud už v souboru máte PermitRootLogin no (z návodu Zabezpečení nové VPS), poslední řádek vynechte.

   Nastavení	Co dělá	Doporučená hodnota	Kdy změnit
   PasswordAuthentication	Povoluje přihlášení heslem.	no	Nikdy, pokud chcete mít heslo vypnuté.
   KbdInteractiveAuthentication	Jiný způsob zadání hesla (interaktivní výzva). I s vypnutým PasswordAuthentication by přes něj šlo heslo zadat.	no	yes jen pro dvoufázové ověření přes PAM (pokročilé).
   PubkeyAuthentication	Povoluje přihlášení klíčem. Výchozí hodnota je yes, uvádíme ji pro jistotu.	yes	Nikdy.
   PermitRootLogin	Přihlášení roota. prohibit-password = root jen klíčem.	prohibit-password	no, pokud pracujete pod vlastním uživatelem se sudo.

3. Uložte a zavřete editor.

4. Zkontrolujte, že platí právě vaše hodnoty:

   sshd -t && sshd -T | grep -Ei "^(passwordauthentication|kbdinteractiveauthentication|pubkeyauthentication|permitrootlogin)"

   • sshd -t – kontrola syntaxe konfigurace. Při chybě vypíše soubor a řádek a další příkaz se nespustí.
   • sshd -T – vypíše výslednou platnou konfiguraci po načtení všech souborů.
   • grep -Ei "…" – vybere jen čtyři sledovaná nastavení.

   Výstup musí obsahovat tyto čtyři řádky (pořadí se může lišit):

   permitrootlogin without-password
   pubkeyauthentication yes
   passwordauthentication no
   kbdinteractiveauthentication no

   without-password je starší název pro prohibit-password a znamená totéž. Ubuntu 24.04 i Debian 13 vypisují starší název, novější verze OpenSSH vypíšou prohibit-password. Pokud jste nastavili no, uvidíte permitrootlogin no.

   Když některý řádek ukazuje jinou hodnotu (typicky passwordauthentication yes), stejné nastavení je v souboru, který se načítá dřív. Najdete ho příkazem grep -rni "passwordauthentication" /etc/ssh/sshd_config.d/. Řádek v něm zakomentujte znakem # na začátku a kontrolu zopakujte.

5. Restartujte SSH server:

   systemctl restart ssh

   Současné spojení zůstane otevřené.

6. V novém okně zkuste přihlášení vynutit heslem:

   ssh -o PubkeyAuthentication=no [email protected]

   Server musí odpovědět Permission denied (publickey). To je správně: heslo už nepřijímá.

7. V dalším okně se přihlaste normálně klíčem (ssh [email protected]). Teprve když to funguje, zavřete původní okno.

Více počítačů, odebrání a záloha klíče#

• Další počítač: vytvořte na něm vlastní klíč s jiným popiskem a nahrajte ho stejně. Každý klíč je v ~/.ssh/authorized_keys na samostatném řádku. Kopírovat jeden soukromý klíč mezi počítači nedoporučujeme.
• Odebrání klíče (ztracený notebook, odchod kolegy): otevřete nano ~/.ssh/authorized_keys a smažte řádek s jeho popiskem. Platí okamžitě.
• Záloha: soukromý klíč si uložte do správce hesel nebo na šifrované úložiště. Když ho ztratíte a heslo máte vypnuté, přihlaste se přes konzoli v prohlížeči a nahrajte nový veřejný klíč.
• Jiný uživatel než root: klíč patří do /home/<UZIVATEL>/.ssh/authorized_keys a soubor musí vlastnit tento uživatel.

Ověření#

• ssh root@<IP_ADRESA_VPS> vás přihlásí bez root hesla (nanejvýš se zeptá na heslo ke klíči).
• ssh -o PubkeyAuthentication=no root@<IP_ADRESA_VPS> skončí Permission denied (publickey).
• sshd -T ukazuje passwordauthentication no.

Když něco nefunguje#

VPS se pořád ptá na root heslo#

Klíč se nepoužil. Spusťte připojení s podrobným výpisem:

ssh -v [email protected]

• -v – podrobný výpis. Hledejte řádky Offering public key (klient klíč nabídl) a Server accepts key (server ho přijal).

Když klient klíč nenabízí, je v jiném souboru: použijte -i nebo IdentityFile. Když ho server nepřijímá, zkontrolujte na VPS práva:

chmod 700 ~/.ssh && chmod 600 ~/.ssh/authorized_keys
journalctl -u ssh -n 30

• journalctl -u ssh -n 30 – posledních 30 záznamů SSH serveru. Hláška Authentication refused: bad ownership or modes znamená špatná práva nebo vlastníka složky .ssh.

Zkontrolujte také, že je klíč v authorized_keys na jednom řádku a začíná ssh-ed25519.

Permission denied (publickey).#

Heslo je vypnuté a klíč server nepřijal. Postupujte jako v předchozím bodě. Pokud se nepřihlásíte vůbec, použijte konzoli v prohlížeči.

Windows: WARNING: UNPROTECTED PRIVATE KEY FILE! nebo Bad permissions#

K soukromému klíči mají přístup i jiní uživatelé počítače (typicky po zkopírování z jiného místa) a klient ho odmítne použít. Nastavte práva v PowerShellu:

icacls $env:USERPROFILE\.ssh\id_ed25519 /inheritance:r
icacls $env:USERPROFILE\.ssh\id_ed25519 /grant:r "$($env:USERNAME):(R)"

• /inheritance:r – odebere práva zděděná ze složky.
• /grant:r "<UZIVATEL>:(R)" – nastaví jen vašemu účtu právo číst.

Na macOS a Linuxu stejnou chybu opravíte příkazem chmod 600 ~/.ssh/id_ed25519.

Load key "…": invalid format#

Snažíte se v OpenSSH použít klíč ve formátu PuTTY (.ppk). Převeďte ho v PuTTYgenu přes Conversions › Export OpenSSH key.

PuTTY: Server refused our key#

Na VPS není správný veřejný klíč. Zkopírujte znovu text z pole Public key for pasting into OpenSSH authorized_keys file (ne soubor ze Save public key) a vložte ho do ~/.ssh/authorized_keys na jeden řádek.

Too many authentication failures#

Agent nabízí moc klíčů. Použijte IdentitiesOnly yes v ~/.ssh/config, nebo přepínače -i ~/.ssh/id_ed25519 -o IdentitiesOnly=yes.

Další zdroje#

• Manuálová stránka sshd_config (otevře se v novém okně)
• Ubuntu: OpenSSH server a klíče (otevře se v novém okně)
• Microsoft Learn: SSH klíče ve Windows (otevře se v novém okně)
• Dokumentace PuTTYgen (otevře se v novém okně)