SSH kľúč: prihlásenie bez hesla (ed25519, PuTTYgen)

Vytvoríte si SSH kľúč, nahráte ho na VPS a budete sa prihlasovať bez hesla. Nakoniec prihlasovanie heslom vypnete, takže hádanie hesiel prestane mať zmysel. Postup je pre Windows, macOS, Linux aj PuTTY.

Ako SSH kľúč funguje#

SSH kľúč tvoria dva súbory, ktoré k sebe patria:

Pri prihlásení VPS pošle vášmu počítaču úlohu, ktorú dokáže vyriešiť iba držiteľ súkromného kľúča. Súkromný kľúč pritom nikdy neopustí váš počítač. Kľúč typu ed25519 je moderný, krátky a bezpečný a podporujú ho všetky súčasné systémy.

Súkromný kľúč môžete navyše zamknúť heslom ku kľúču (passphrase). Keď vám niekto skopíruje súbor s kľúčom, bez tohto hesla ho nepoužije.

Vytvorenie kľúča#

Čo príkaz robí:

• ssh-keygen – program na vytváranie SSH kľúčov.
• -t ed25519 – typ kľúča. Ed25519 odporúčame. Starší typ RSA použite iba pre zariadenia, ktoré ed25519 nevedia, a potom s dĺžkou -t rsa -b 4096.
• -C "notebook-jan" – popis (komentár) na konci verejného kľúča. Podľa neho na VPS spoznáte, z ktorého počítača kľúč je. Popis nič nezabezpečuje, je iba na orientáciu.

Vytvorenie kľúča v PuTTYgen#

Ak sa pripájate cez PuTTY, vytvorte kľúč v programe PuTTYgen, ktorý sa inštaluje spolu s PuTTY.

1. Spustite PuTTYgen.
2. V časti Parameters zvoľte typ EdDSA a vedľa neho Ed25519 (255 bits).
3. Kliknite na Generate a pohybujte myšou v prázdnej ploche okna, kým sa nenaplní ukazovateľ priebehu. Pohyb myši slúži ako zdroj náhody.
4. Do poľa Key comment napíšte popis, napríklad notebook-jan.
5. Do polí Key passphrase a Confirm passphrase zadajte heslo ku kľúču.
6. Kliknite na Save private key a uložte súbor, napríklad C:\Users\<UZIVATEL>\.ssh\vps.ppk. Toto je súkromný kľúč.
7. Označte a skopírujte celý text v poli Public key for pasting into OpenSSH authorized_keys file. Začína ssh-ed25519 AAAA… a končí popisom. Toto je verejný kľúč, ktorý nahráte na VPS ručne (pozri záložku Ručne nižšie).

Tlačidlo Save public key ukladá verejný kľúč v inom formáte, ktorý VPS neprijme. Vždy kopírujte text z poľa.

Nahranie verejného kľúča na VPS#

Prihlásenie kľúčom#

Kľúč v predvolenom umiestnení (id_ed25519) nájde SSH klient sám, stačí bežný príkaz:

ssh [email protected]

Ak ste kľúču nastavili heslo, klient sa opýta Enter passphrase for key. Zadáte heslo ku kľúču, nie root heslo.

Kľúč uložený inde alebo pod iným názvom zadáte prepínačom -i:

ssh -i ~/.ssh/vps_klic [email protected]

• -i ~/.ssh/vps_klic – cesta k súkromnému kľúču (súbor bez .pub).

PuTTY:

1. Spustite PuTTY a načítajte uloženú reláciu (Load), alebo vyplňte IP adresu.
2. V ľavom strome otvorte Connection › SSH › Auth › Credentials.
3. Pri poli Private key file for authentication kliknite na Browse a vyberte súbor .ppk.
4. Voliteľne: v Connection › Data vyplňte Auto-login username root.
5. Vráťte sa na Session, kliknite na názov relácie a na Save, aby ste to nabudúce nemuseli nastavovať.
6. Kliknite na Open.

Kľúč z ssh-keygen môžete v PuTTY použiť tiež: v PuTTYgene kliknite na Load, vyberte súbor id_ed25519 (prepnite filter súborov na All Files) a uložte ho cez Save private key ako .ppk. Opačne prevediete kľúč z PuTTYgenu do formátu OpenSSH cez Conversions › Export OpenSSH key.

ssh-agent: heslo ku kľúču iba raz#

ssh-agent si odomknutý kľúč pamätá, takže heslo ku kľúču nezadávate pri každom pripojení.

Overenie: ssh-add -l vypíše odtlačky kľúčov, ktoré má agent načítané.

Súbor ~/.ssh/config: pripojenie jedným slovom#

Do súboru config v priečinku .ssh (Windows: C:\Users\<UZIVATEL>\.ssh\config, bez prípony) si uložte nastavenie VPS:

Host mojevps
    HostName 203.0.113.10
    User root
    Port 22
    IdentityFile ~/.ssh/id_ed25519
    IdentitiesOnly yes

Potom sa pripojíte príkazom ssh mojevps. Skratku používajú aj scp a sftp.

Vypnutie prihlasovania heslom#

Kým je prihlasovanie heslom zapnuté, boty ho môžu ďalej skúšať. Po vypnutí VPS prijme iba kľúč.

1. Vytvorte (alebo otvorte) vlastný konfiguračný súbor SSH servera:

   nano /etc/ssh/sshd_config.d/00-zabezpeceni.conf

2. Vložte nastavenie:

   PasswordAuthentication no
   KbdInteractiveAuthentication no
   PubkeyAuthentication yes
   PermitRootLogin prohibit-password

   Ak už v súbore máte PermitRootLogin no (z návodu Zabezpečenie nového VPS), posledný riadok vynechajte.

   Nastavenie	Čo robí	Odporúčaná hodnota	Kedy zmeniť
   PasswordAuthentication	Povoľuje prihlásenie heslom.	no	Nikdy, ak chcete mať heslo vypnuté.
   KbdInteractiveAuthentication	Iný spôsob zadania hesla (interaktívna výzva). Aj s vypnutým PasswordAuthentication by cez neho išlo heslo zadať.	no	yes iba pre dvojfázové overenie cez PAM (pokročilé).
   PubkeyAuthentication	Povoľuje prihlásenie kľúčom. Predvolená hodnota je yes, uvádzame ju pre istotu.	yes	Nikdy.
   PermitRootLogin	Prihlásenie roota. prohibit-password = root iba kľúčom.	prohibit-password	no, ak pracujete pod vlastným používateľom so sudo.

3. Uložte a zatvorte editor.

4. Skontrolujte, že platia práve vaše hodnoty:

   sshd -t && sshd -T | grep -Ei "^(passwordauthentication|kbdinteractiveauthentication|pubkeyauthentication|permitrootlogin)"

   • sshd -t – kontrola syntaxe konfigurácie. Pri chybe vypíše súbor a riadok a ďalší príkaz sa nespustí.
   • sshd -T – vypíše výslednú platnú konfiguráciu po načítaní všetkých súborov.
   • grep -Ei "…" – vyberie iba štyri sledované nastavenia.

   Výstup musí obsahovať tieto štyri riadky (poradie sa môže líšiť):

   permitrootlogin without-password
   pubkeyauthentication yes
   passwordauthentication no
   kbdinteractiveauthentication no

   without-password je starší názov pre prohibit-password a znamená to isté. Ubuntu 24.04 aj Debian 13 vypisujú starší názov, novšie verzie OpenSSH vypíšu prohibit-password. Ak ste nastavili no, uvidíte permitrootlogin no.

   Keď niektorý riadok ukazuje inú hodnotu (typicky passwordauthentication yes), rovnaké nastavenie je v súbore, ktorý sa načítava skôr. Nájdete ho príkazom grep -rni "passwordauthentication" /etc/ssh/sshd_config.d/. Riadok v ňom zakomentujte znakom # na začiatku a kontrolu zopakujte.

5. Reštartujte SSH server:

   systemctl restart ssh

   Súčasné spojenie zostane otvorené.

6. V novom okne skúste prihlásenie vynútiť heslom:

   ssh -o PubkeyAuthentication=no [email protected]

   Server musí odpovedať Permission denied (publickey). To je správne: heslo už neprijíma.

7. V ďalšom okne sa prihláste normálne kľúčom (ssh [email protected]). Až keď to funguje, zatvorte pôvodné okno.

Viac počítačov, odobratie a záloha kľúča#

• Ďalší počítač: vytvorte na ňom vlastný kľúč s iným popisom a nahrajte ho rovnako. Každý kľúč je v ~/.ssh/authorized_keys na samostatnom riadku. Kopírovať jeden súkromný kľúč medzi počítačmi neodporúčame.
• Odobratie kľúča (stratený notebook, odchod kolegu): otvorte nano ~/.ssh/authorized_keys a zmažte riadok s jeho popisom. Platí okamžite.
• Záloha: súkromný kľúč si uložte do správcu hesiel alebo na šifrované úložisko. Keď ho stratíte a heslo máte vypnuté, prihláste sa cez konzolu v prehliadači a nahrajte nový verejný kľúč.
• Iný používateľ než root: kľúč patrí do /home/<UZIVATEL>/.ssh/authorized_keys a súbor musí vlastniť tento používateľ.

Overenie#

• ssh root@<IP_ADRESA_VPS> vás prihlási bez root hesla (nanajvýš sa opýta na heslo ku kľúču).
• ssh -o PubkeyAuthentication=no root@<IP_ADRESA_VPS> skončí Permission denied (publickey).
• sshd -T ukazuje passwordauthentication no.

Keď niečo nefunguje#

VPS sa stále pýta na root heslo#

Kľúč sa nepoužil. Spustite pripojenie s podrobným výpisom:

ssh -v [email protected]

• -v – podrobný výpis. Hľadajte riadky Offering public key (klient kľúč ponúkol) a Server accepts key (server ho prijal).

Keď klient kľúč neponúka, je v inom súbore: použite -i alebo IdentityFile. Keď ho server neprijíma, skontrolujte na VPS práva:

chmod 700 ~/.ssh && chmod 600 ~/.ssh/authorized_keys
journalctl -u ssh -n 30

• journalctl -u ssh -n 30 – posledných 30 záznamov SSH servera. Hlásenie Authentication refused: bad ownership or modes znamená nesprávne práva alebo vlastníka priečinka .ssh.

Skontrolujte tiež, že je kľúč v authorized_keys na jednom riadku a začína ssh-ed25519.

Permission denied (publickey).#

Heslo je vypnuté a kľúč server neprijal. Postupujte ako v predchádzajúcom bode. Ak sa neprihlásite vôbec, použite konzolu v prehliadači.

Windows: WARNING: UNPROTECTED PRIVATE KEY FILE! alebo Bad permissions#

K súkromnému kľúču majú prístup aj iní používatelia počítača (typicky po skopírovaní z iného miesta) a klient ho odmietne použiť. Nastavte práva v PowerShelli:

icacls $env:USERPROFILE\.ssh\id_ed25519 /inheritance:r
icacls $env:USERPROFILE\.ssh\id_ed25519 /grant:r "$($env:USERNAME):(R)"

• /inheritance:r – odoberie práva zdedené z priečinka.
• /grant:r "<UZIVATEL>:(R)" – nastaví iba vášmu účtu právo čítať.

Na macOS a Linuxe rovnakú chybu opravíte príkazom chmod 600 ~/.ssh/id_ed25519.

Load key "…": invalid format#

Snažíte sa v OpenSSH použiť kľúč vo formáte PuTTY (.ppk). Preveďte ho v PuTTYgene cez Conversions › Export OpenSSH key.

PuTTY: Server refused our key#

Na VPS nie je správny verejný kľúč. Skopírujte znova text z poľa Public key for pasting into OpenSSH authorized_keys file (nie súbor zo Save public key) a vložte ho do ~/.ssh/authorized_keys na jeden riadok.

Too many authentication failures#

Agent ponúka príliš veľa kľúčov. Použite IdentitiesOnly yes v ~/.ssh/config, alebo prepínače -i ~/.ssh/id_ed25519 -o IdentitiesOnly=yes.

Ďalšie zdroje#

• Manuálová stránka sshd_config (otvorí sa v novom okne)
• Ubuntu: OpenSSH server a kľúče (otvorí sa v novom okne)
• Microsoft Learn: SSH kľúče vo Windows (otvorí sa v novom okne)
• Dokumentácia PuTTYgen (otvorí sa v novom okne)