SSH-sleutel: inloggen zonder wachtwoord (ed25519, PuTTYgen)

Je maakt een SSH-sleutel aan, zet hem op je VPS en logt voortaan in zonder wachtwoord. Tot slot schakel je inloggen met een wachtwoord uit, zodat wachtwoorden raden geen zin meer heeft. De stappen gelden voor Windows, macOS, Linux en PuTTY.

Hoe een SSH-sleutel werkt#

Een SSH-sleutel bestaat uit twee bestanden die bij elkaar horen:

Bij het inloggen stuurt de VPS je computer een opgave die alleen de houder van de privésleutel kan oplossen. De privésleutel verlaat je computer daarbij nooit. Een sleutel van het type ed25519 is modern, kort en veilig, en alle huidige systemen ondersteunen hem.

Je kunt de privésleutel bovendien vergrendelen met een sleutelwachtwoord (passphrase). Als iemand het sleutelbestand kopieert, kan hij er zonder dat wachtwoord niets mee.

Een sleutel aanmaken#

Wat het commando doet:

• ssh-keygen – het programma waarmee je SSH-sleutels aanmaakt.
• -t ed25519 – het sleuteltype. We raden Ed25519 aan. Gebruik het oudere type RSA alleen voor apparaten die ed25519 niet aankunnen, en dan met de lengte -t rsa -b 4096.
• -C "notebook-jan" – een label (commentaar) aan het einde van de publieke sleutel. Daaraan zie je op de VPS van welke computer de sleutel is. Het label beveiligt niets, het is alleen ter oriëntatie.

Een sleutel aanmaken in PuTTYgen#

Maak je verbinding via PuTTY, maak de sleutel dan aan in het programma PuTTYgen, dat samen met PuTTY wordt geïnstalleerd.

1. Start PuTTYgen.
2. Kies bij Parameters het type EdDSA en daarnaast Ed25519 (255 bits).
3. Klik op Generate en beweeg de muis over het lege vlak van het venster tot de voortgangsbalk vol is. De muisbeweging dient als bron van willekeur.
4. Typ in het veld Key comment een label, bijvoorbeeld notebook-jan.
5. Voer in de velden Key passphrase en Confirm passphrase een sleutelwachtwoord in.
6. Klik op Save private key en sla het bestand op, bijvoorbeeld als C:\Users\<USER>\.ssh\vps.ppk. Dit is de privésleutel.
7. Selecteer en kopieer de volledige tekst in het veld Public key for pasting into OpenSSH authorized_keys file. Die begint met ssh-ed25519 AAAA… en eindigt met het label. Dit is de publieke sleutel, die je handmatig op de VPS zet (zie het tabblad Handmatig hieronder).

De knop Save public key slaat de publieke sleutel op in een ander formaat, dat de VPS niet accepteert. Kopieer altijd de tekst uit het veld.

De publieke sleutel op de VPS zetten#

Inloggen met de sleutel#

Een sleutel op de standaardlocatie (id_ed25519) vindt de SSH-client zelf, het gewone commando is genoeg:

ssh [email protected]

Heb je de sleutel een wachtwoord gegeven, dan vraagt de client Enter passphrase for key. Je voert het wachtwoord van de sleutel in, niet het rootwachtwoord.

Een sleutel die ergens anders of onder een andere naam is opgeslagen, geef je op met de optie -i:

ssh -i ~/.ssh/vps_klic [email protected]

• -i ~/.ssh/vps_klic – het pad naar de privésleutel (het bestand zonder .pub).

PuTTY:

1. Start PuTTY en laad de opgeslagen sessie (Load), of vul het IP-adres in.
2. Open in de boom links Connection › SSH › Auth › Credentials.
3. Klik bij het veld Private key file for authentication op Browse en kies het .ppk-bestand.
4. Optioneel: vul onder Connection › Data bij Auto-login username root in.
5. Ga terug naar Session, klik op de naam van de sessie en op Save, zodat je dit de volgende keer niet opnieuw hoeft in te stellen.
6. Klik op Open.

Een sleutel uit ssh-keygen kun je ook in PuTTY gebruiken: klik in PuTTYgen op Load, kies het bestand id_ed25519 (zet het bestandsfilter op All Files) en sla het via Save private key op als .ppk. Andersom zet je een sleutel uit PuTTYgen om naar het OpenSSH-formaat via Conversions › Export OpenSSH key.

ssh-agent: het sleutelwachtwoord maar één keer#

ssh-agent onthoudt de ontgrendelde sleutel, zodat je het sleutelwachtwoord niet bij elke verbinding hoeft in te voeren.

Controle: ssh-add -l toont de vingerafdrukken van de sleutels die de agent heeft geladen.

Het bestand ~/.ssh/config: verbinden met één woord#

Sla de instellingen van je VPS op in het bestand config in de map .ssh (Windows: C:\Users\<USER>\.ssh\config, zonder extensie):

Host mojevps
    HostName 203.0.113.10
    User root
    Port 22
    IdentityFile ~/.ssh/id_ed25519
    IdentitiesOnly yes

Daarna maak je verbinding met het commando ssh mojevps. Ook scp en sftp gebruiken de afkorting.

Inloggen met een wachtwoord uitschakelen#

Zolang inloggen met een wachtwoord aanstaat, kunnen bots het blijven proberen. Na het uitschakelen accepteert de VPS alleen nog een sleutel.

1. Maak een eigen configuratiebestand voor de SSH-server aan (of open het):

   nano /etc/ssh/sshd_config.d/00-zabezpeceni.conf

2. Plak de instellingen:

   PasswordAuthentication no
   KbdInteractiveAuthentication no
   PubkeyAuthentication yes
   PermitRootLogin prohibit-password

   Staat in het bestand al PermitRootLogin no (uit de handleiding Een nieuwe VPS beveiligen), laat de laatste regel dan weg.

   Instelling	Wat het doet	Aanbevolen waarde	Wanneer wijzigen
   PasswordAuthentication	Staat inloggen met een wachtwoord toe.	no	Nooit, als je het wachtwoord uitgeschakeld wilt houden.
   KbdInteractiveAuthentication	Een andere manier om een wachtwoord in te voeren (een interactieve prompt). Ook met PasswordAuthentication uitgeschakeld zou je hierlangs een wachtwoord kunnen invoeren.	no	yes alleen voor tweestapsverificatie via PAM (gevorderd).
   PubkeyAuthentication	Staat inloggen met een sleutel toe. De standaardwaarde is yes, we noemen hem voor de zekerheid.	yes	Nooit.
   PermitRootLogin	Inloggen als root. prohibit-password = root alleen met een sleutel.	prohibit-password	no, als je onder een eigen gebruiker met sudo werkt.

3. Sla op en sluit de editor.

4. Controleer of precies jouw waarden gelden:

   sshd -t && sshd -T | grep -Ei "^(passwordauthentication|kbdinteractiveauthentication|pubkeyauthentication|permitrootlogin)"

   • sshd -t – controleert de syntaxis van de configuratie. Bij een fout toont het het bestand en de regel, en het volgende commando wordt niet uitgevoerd.
   • sshd -T – toont de uiteindelijke geldende configuratie na het inlezen van alle bestanden.
   • grep -Ei "…" – selecteert alleen de vier instellingen waar het om gaat.

   De uitvoer moet deze vier regels bevatten (de volgorde kan afwijken):

   permitrootlogin without-password
   pubkeyauthentication yes
   passwordauthentication no
   kbdinteractiveauthentication no

   without-password is de oudere naam voor prohibit-password en betekent hetzelfde. Ubuntu 24.04 en Debian 13 tonen de oudere naam, nieuwere versies van OpenSSH tonen prohibit-password. Heb je no ingesteld, dan zie je permitrootlogin no.

   Toont een regel een andere waarde (meestal passwordauthentication yes), dan staat dezelfde instelling in een bestand dat eerder wordt ingelezen. Je vindt het met het commando grep -rni "passwordauthentication" /etc/ssh/sshd_config.d/. Zet de regel daarin uit met het teken # aan het begin en herhaal de controle.

5. Herstart de SSH-server:

   systemctl restart ssh

   De huidige verbinding blijft open.

6. Probeer in een nieuw venster inloggen met een wachtwoord af te dwingen:

   ssh -o PubkeyAuthentication=no [email protected]

   De server moet antwoorden met Permission denied (publickey). Dat klopt: hij accepteert geen wachtwoord meer.

7. Log in nog een venster gewoon in met de sleutel (ssh [email protected]). Sluit het oorspronkelijke venster pas als dat werkt.

Meerdere computers, een sleutel verwijderen en back-uppen#

• Nog een computer: maak daarop een eigen sleutel aan met een ander label en zet hem op dezelfde manier over. Elke sleutel staat in ~/.ssh/authorized_keys op een eigen regel. We raden af om één privésleutel tussen computers te kopiëren.
• Een sleutel verwijderen (verloren laptop, vertrek van een collega): open nano ~/.ssh/authorized_keys en verwijder de regel met zijn label. Dat geldt direct.
• Back-up: bewaar de privésleutel in een wachtwoordmanager of op versleutelde opslag. Raak je hem kwijt terwijl het wachtwoord is uitgeschakeld, log dan in via de console in de browser en zet een nieuwe publieke sleutel op de VPS.
• Een andere gebruiker dan root: de sleutel hoort in /home/<USER>/.ssh/authorized_keys en die gebruiker moet eigenaar van het bestand zijn.

Controle#

• ssh root@<VPS_IP_ADDRESS> logt je in zonder rootwachtwoord (hooguit wordt om het sleutelwachtwoord gevraagd).
• ssh -o PubkeyAuthentication=no root@<VPS_IP_ADDRESS> eindigt met Permission denied (publickey).
• sshd -T toont passwordauthentication no.

Als iets niet werkt#

De VPS blijft om het rootwachtwoord vragen#

De sleutel is niet gebruikt. Maak verbinding met uitgebreide uitvoer:

ssh -v [email protected]

• -v – uitgebreide uitvoer. Zoek naar de regels Offering public key (de client heeft de sleutel aangeboden) en Server accepts key (de server heeft hem geaccepteerd).

Biedt de client de sleutel niet aan, dan staat hij in een ander bestand: gebruik -i of IdentityFile. Accepteert de server hem niet, controleer dan de rechten op de VPS:

chmod 700 ~/.ssh && chmod 600 ~/.ssh/authorized_keys
journalctl -u ssh -n 30

• journalctl -u ssh -n 30 – de laatste 30 logregels van de SSH-server. De melding Authentication refused: bad ownership or modes betekent verkeerde rechten of een verkeerde eigenaar van de map .ssh.

Controleer ook of de sleutel in authorized_keys op één regel staat en begint met ssh-ed25519.

Permission denied (publickey).#

Het wachtwoord is uitgeschakeld en de server heeft de sleutel niet geaccepteerd. Ga te werk zoals in het vorige punt. Kom je er helemaal niet meer in, gebruik dan de console in de browser.

Windows: WARNING: UNPROTECTED PRIVATE KEY FILE! of Bad permissions#

Ook andere gebruikers van de computer hebben toegang tot de privésleutel (meestal na kopiëren vanaf een andere plek) en de client weigert hem te gebruiken. Stel de rechten in PowerShell in:

icacls $env:USERPROFILE\.ssh\id_ed25519 /inheritance:r
icacls $env:USERPROFILE\.ssh\id_ed25519 /grant:r "$($env:USERNAME):(R)"

• /inheritance:r – verwijdert de rechten die van de map zijn overgeërfd.
• /grant:r "<USER>:(R)" – geeft alleen jouw account leesrecht.

Op macOS en Linux los je dezelfde fout op met het commando chmod 600 ~/.ssh/id_ed25519.

Load key "…": invalid format#

Je probeert in OpenSSH een sleutel in PuTTY-formaat (.ppk) te gebruiken. Zet hem in PuTTYgen om via Conversions › Export OpenSSH key.

PuTTY: Server refused our key#

Op de VPS staat niet de juiste publieke sleutel. Kopieer opnieuw de tekst uit het veld Public key for pasting into OpenSSH authorized_keys file (niet het bestand van Save public key) en plak hem op één regel in ~/.ssh/authorized_keys.

Too many authentication failures#

De agent biedt te veel sleutels aan. Gebruik IdentitiesOnly yes in ~/.ssh/config, of de opties -i ~/.ssh/id_ed25519 -o IdentitiesOnly=yes.

Meer bronnen#

• Manpagina van sshd_config (opent in een nieuw venster)
• Ubuntu: OpenSSH-server en sleutels (opent in een nieuw venster)
• Microsoft Learn: SSH-sleutels in Windows (opent in een nieuw venster)
• Documentatie van PuTTYgen (opent in een nieuw venster)