Klucz SSH: logowanie bez hasła (ed25519, PuTTYgen)

Utworzysz klucz SSH, prześlesz go na VPS i zalogujesz się bez hasła. Na koniec wyłączysz logowanie hasłem, więc zgadywanie haseł straci sens. Kroki obejmują Windows, macOS, Linux i PuTTY.

Jak działa klucz SSH#

Klucz SSH składa się z dwóch plików, które do siebie należą:

Przy logowaniu VPS wysyła Twojemu komputerowi wyzwanie, które rozwiąże tylko posiadacz klucza prywatnego. Klucz prywatny nigdy nie opuszcza Twojego komputera. Klucz ed25519 jest nowoczesny, krótki i bezpieczny, a obsługują go wszystkie aktualne systemy.

Klucz prywatny możesz też zabezpieczyć hasłem klucza (passphrase). Jeśli ktoś skopiuje plik klucza, bez tego hasła go nie użyje.

Tworzenie klucza#

Co robi polecenie:

• ssh-keygen – program do tworzenia kluczy SSH.
• -t ed25519 – typ klucza. Zalecamy Ed25519. Starszego typu RSA używaj tylko dla urządzeń, które nie obsługują ed25519, i wtedy z długością -t rsa -b 4096.
• -C "notebook-jan" – etykieta (komentarz) na końcu klucza publicznego. Na VPS podpowiada, z którego komputera jest klucz. Etykieta niczego nie zabezpiecza; służy tylko orientacji.

Tworzenie klucza w PuTTYgen#

Jeśli łączysz się przez PuTTY, utwórz klucz w PuTTYgen, który instaluje się razem z PuTTY.

1. Uruchom PuTTYgen.
2. W Parameters wybierz typ EdDSA, a obok Ed25519 (255 bits).
3. Kliknij Generate i poruszaj myszą po pustym obszarze okna, aż pasek postępu się zapełni. Ruch myszy służy jako źródło losowości.
4. W polu Key comment wpisz etykietę, na przykład notebook-jan.
5. W polach Key passphrase i Confirm passphrase wpisz hasło klucza.
6. Kliknij Save private key i zapisz plik, na przykład C:\Users\<USER>\.ssh\vps.ppk. To klucz prywatny.
7. Zaznacz i skopiuj cały tekst w polu Public key for pasting into OpenSSH authorized_keys file. Zaczyna się od ssh-ed25519 AAAA… i kończy etykietą. To klucz publiczny, który prześlesz na VPS ręcznie (zobacz zakładkę Ręcznie niżej).

Przycisk Save public key zapisuje klucz publiczny w innym formacie, którego VPS nie przyjmie. Zawsze kopiuj tekst z pola.

Przesyłanie klucza publicznego na VPS#

Logowanie kluczem#

Klient SSH sam znajduje klucz w domyślnym miejscu (id_ed25519), więc wystarczy zwykłe polecenie:

ssh [email protected]

Jeśli ustawiono hasło klucza, klient pyta Enter passphrase for key. Wpisujesz hasło klucza, nie hasło root.

Klucz zapisany gdzie indziej lub pod inną nazwą wskazujesz opcją -i:

ssh -i ~/.ssh/vps_klic [email protected]

• -i ~/.ssh/vps_klic – ścieżka do klucza prywatnego (pliku bez .pub).

PuTTY:

1. Uruchom PuTTY i wczytaj zapisaną sesję (Load) albo wpisz adres IP.
2. W drzewie po lewej otwórz Connection › SSH › Auth › Credentials.
3. Obok pola Private key file for authentication kliknij Browse i wybierz plik .ppk.
4. Opcjonalnie: w Connection › Data wypełnij Auto-login username wartością root.
5. Wróć do Session, kliknij nazwę sesji i Save, aby następnym razem tego nie ustawiać.
6. Kliknij Open.

Klucza z ssh-keygen możesz użyć także w PuTTY: w PuTTYgen kliknij Load, wybierz plik id_ed25519 (przełącz filtr plików na All Files) i zapisz go przez Save private key jako .ppk. W drugą stronę klucz z PuTTYgen konwertujesz do formatu OpenSSH przez Conversions › Export OpenSSH key.

ssh-agent: hasło klucza tylko raz#

ssh-agent pamięta odblokowany klucz, więc nie wpisujesz hasła klucza przy każdym połączeniu.

Kontrola: ssh-add -l wypisuje odciski kluczy wczytanych przez agenta.

Plik ~/.ssh/config: połączenie jednym słowem#

Zapisz ustawienia swojego VPS w pliku config w folderze .ssh (Windows: C:\Users\<USER>\.ssh\config, bez rozszerzenia):

Host mojevps
    HostName 203.0.113.10
    User root
    Port 22
    IdentityFile ~/.ssh/id_ed25519
    IdentitiesOnly yes

Potem łączysz się przez ssh mojevps. Skrótu używają także scp i sftp.

Wyłączanie logowania hasłem#

Dopóki logowanie hasłem jest włączone, boty mogą go dalej próbować. Po wyłączeniu VPS przyjmuje tylko klucz.

1. Utwórz (lub otwórz) własny plik konfiguracyjny serwera SSH:

   nano /etc/ssh/sshd_config.d/00-zabezpeceni.conf

2. Wklej ustawienia:

   PasswordAuthentication no
   KbdInteractiveAuthentication no
   PubkeyAuthentication yes
   PermitRootLogin prohibit-password

   Jeśli plik ma już PermitRootLogin no (z poradnika Zabezpieczenie nowego VPS), pomiń ostatnią linię.

   Ustawienie	Co robi	Zalecana wartość	Kiedy zmieniać
   PasswordAuthentication	Zezwala na logowanie hasłem.	no	Nigdy, jeśli hasła mają być wyłączone.
   KbdInteractiveAuthentication	Inny sposób wpisywania hasła (interaktywny monit). Nawet przy wyłączonym PasswordAuthentication dałoby się przez niego wpisać hasło.	no	yes tylko dla uwierzytelniania dwuskładnikowego przez PAM (zaawansowane).
   PubkeyAuthentication	Zezwala na logowanie kluczem. Wartość domyślna to yes; podajemy ją dla pewności.	yes	Nigdy.
   PermitRootLogin	Logowanie roota. prohibit-password = root tylko kluczem.	prohibit-password	no, jeśli pracujesz pod własnym użytkownikiem z sudo.

3. Zapisz i zamknij edytor.

4. Sprawdź, że obowiązują dokładnie Twoje wartości:

   sshd -t && sshd -T | grep -Ei "^(passwordauthentication|kbdinteractiveauthentication|pubkeyauthentication|permitrootlogin)"

   • sshd -t – sprawdza składnię konfiguracji. Przy błędzie wypisuje plik i linię, a następne polecenie się nie uruchamia.
   • sshd -T – wypisuje wynikową obowiązującą konfigurację po wczytaniu wszystkich plików.
   • grep -Ei "…" – wybiera tylko cztery sprawdzane ustawienia.

   Wyjście musi zawierać te cztery linie (kolejność może się różnić):

   permitrootlogin without-password
   pubkeyauthentication yes
   passwordauthentication no
   kbdinteractiveauthentication no

   without-password to starsza nazwa prohibit-password i oznacza to samo. Ubuntu 24.04 i Debian 13 wypisują starszą nazwę; nowsze wersje OpenSSH wypisują prohibit-password. Jeśli ustawiono no, zobaczysz permitrootlogin no.

   Jeśli któraś linia pokazuje inną wartość (zwykle passwordauthentication yes), to samo ustawienie jest w pliku wczytywanym wcześniej. Znajdź go przez grep -rni "passwordauthentication" /etc/ssh/sshd_config.d/. Zakomentuj tam linię znakiem # na początku i powtórz kontrolę.

5. Zrestartuj serwer SSH:

   systemctl restart ssh

   Bieżące połączenie pozostaje otwarte.

6. W nowym oknie spróbuj wymusić logowanie hasłem:

   ssh -o PubkeyAuthentication=no [email protected]

   Serwer musi odpowiedzieć Permission denied (publickey). To poprawne: nie przyjmuje już haseł.

7. W kolejnym oknie zaloguj się normalnie kluczem (ssh [email protected]). Dopiero gdy to działa, zamknij pierwotne okno.

Kilka komputerów, usuwanie i kopia zapasowa klucza#

• Kolejny komputer: utwórz mu własny klucz z inną etykietą i prześlij go tak samo. Każdy klucz jest w osobnej linii ~/.ssh/authorized_keys. Nie zalecamy kopiowania jednego klucza prywatnego między komputerami.
• Usunięcie klucza (zgubiony laptop, odchodzący współpracownik): otwórz nano ~/.ssh/authorized_keys i usuń linię z jego etykietą. Działa natychmiast.
• Kopia zapasowa: przechowuj klucz prywatny w menedżerze haseł lub na zaszyfrowanym nośniku. Jeśli go zgubisz, a hasła są wyłączone, zaloguj się przez konsolę w przeglądarce i prześlij nowy klucz publiczny.
• Użytkownik inny niż root: klucz trafia do /home/<USER>/.ssh/authorized_keys, a plik musi należeć do tego użytkownika.

Weryfikacja#

• ssh root@<ADRES_IP_VPS> loguje bez hasła root (najwyżej pyta o hasło klucza).
• ssh -o PubkeyAuthentication=no root@<ADRES_IP_VPS> kończy się Permission denied (publickey).
• sshd -T pokazuje passwordauthentication no.

Rozwiązywanie problemów#

VPS nadal pyta o hasło root#

Klucz nie został użyty. Połącz się ze szczegółowym wyjściem:

ssh -v [email protected]

• -v – szczegółowe wyjście. Szukaj linii Offering public key (klient zaoferował klucz) i Server accepts key (serwer go przyjął).

Jeśli klient nie oferuje klucza, jest w innym pliku: użyj -i lub IdentityFile. Jeśli serwer go nie przyjmuje, sprawdź uprawnienia na VPS:

chmod 700 ~/.ssh && chmod 600 ~/.ssh/authorized_keys
journalctl -u ssh -n 30

• journalctl -u ssh -n 30 – ostatnie 30 wpisów serwera SSH. Komunikat Authentication refused: bad ownership or modes oznacza złe uprawnienia lub złego właściciela folderu .ssh.

Sprawdź też, czy klucz w authorized_keys jest w jednej linii i zaczyna się od ssh-ed25519.

Permission denied (publickey).#

Hasła są wyłączone, a serwer nie przyjął klucza. Postępuj jak w poprzednim punkcie. Jeśli w ogóle nie możesz się zalogować, użyj konsoli w przeglądarce.

Windows: WARNING: UNPROTECTED PRIVATE KEY FILE! lub Bad permissions#

Inni użytkownicy komputera też mają dostęp do klucza prywatnego (zwykle po skopiowaniu go skądinąd) i klient odmawia jego użycia. Ustaw uprawnienia w PowerShell:

icacls $env:USERPROFILE\.ssh\id_ed25519 /inheritance:r
icacls $env:USERPROFILE\.ssh\id_ed25519 /grant:r "$($env:USERNAME):(R)"

• /inheritance:r – usuwa uprawnienia dziedziczone z folderu.
• /grant:r "<USER>:(R)" – daje uprawnienie do odczytu tylko Twojemu kontu.

W macOS i Linux ten sam błąd naprawisz przez chmod 600 ~/.ssh/id_ed25519.

Load key "…": invalid format#

Próbujesz użyć klucza w formacie PuTTY (.ppk) z OpenSSH. Przekonwertuj go w PuTTYgen przez Conversions › Export OpenSSH key.

PuTTY: Server refused our key#

Na VPS nie ma właściwego klucza publicznego. Skopiuj ponownie tekst z pola Public key for pasting into OpenSSH authorized_keys file (nie plik z Save public key) i wklej go do ~/.ssh/authorized_keys w jednej linii.

Too many authentication failures#

Agent oferuje za dużo kluczy. Użyj IdentitiesOnly yes w ~/.ssh/config albo opcji -i ~/.ssh/id_ed25519 -o IdentitiesOnly=yes.

Dalsza lektura#

• Strona podręcznika sshd_config (otwiera się w nowym oknie)
• Ubuntu: serwer OpenSSH i klucze (otwiera się w nowym oknie)
• Microsoft Learn: klucze SSH w Windows (otwiera się w nowym oknie)
• Dokumentacja PuTTYgen (otwiera się w nowym oknie)