PubkeyAuthentication

Допустимые значения, значение по умолчанию и что директива не решает

В руководстве sshd_config сказано, что PubkeyAuthentication определяет, разрешена ли аутентификация по открытому ключу, и что значение по умолчанию yes; аргумент равен yes или no. У клиента есть собственный переключатель в ssh_config, который руководство ssh_config тоже включает по умолчанию.

Директива это лишь выключатель метода. Какие ключи принимаются, решают другие настройки. AuthorizedKeysFile называет файлы с разрешёнными открытыми ключами, по умолчанию это .ssh/authorized_keys .ssh/authorized_keys2. Относительные пути отсчитываются от домашнего каталога пользователя, раскрываются токены %h, %U, %u и %%, а значение none пропускает пользовательские файлы ключей. PubkeyAcceptedAlgorithms ограничивает допустимые алгоритмы подписи, а ssh -Q PubkeyAcceptedAlgorithms показывает, что поддерживает ваша сборка.

Формат файла описан в статье про authorized_keys. PubkeyAuthentication допускается внутри блоков Match.

Вход только по ключам и проверка действующего значения

Оставьте директиву включённой и отключите два других пути входа по паролю. Это ядро входа только по ключам, описанное в статье про аутентификацию по ключам:

PubkeyAuthentication yes
PasswordAuthentication no
KbdInteractiveAuthentication no

Почему нужны оба отключения, объясняют статьи PasswordAuthentication и KbdInteractiveAuthentication. Проверьте файл и прочитайте значения, которые использует sshd:

sudo sshd -t
sudo sshd -T | grep -iE '^(pubkeyauthentication|authorizedkeysfile|strictmodes) '
sudo systemctl reload ssh     # на некоторых дистрибутивах sshd
ssh -v -o PreferredAuthentications=publickey -o IdentitiesOnly=yes -i ~/.ssh/id_ed25519 -l deploy your-server

Последнюю команду запускайте из второго терминала, не закрывая первую сессию. Успешный вход sshd записывает как "Accepted publickey for", далее идут пользователь, адрес и отпечаток ключа; прочитать запись можно через sudo journalctl -u ssh (на некоторых дистрибутивах служба называется sshd).

Почему вход по ключу не работает, даже если стоит yes

Большинство сбоев не связано с этой директивой. По руководству, StrictModes, по умолчанию yes, проверяет режимы доступа и владельца файлов пользователя и его домашнего каталога перед тем, как принять вход. Руководство sshd(8) рекомендует, чтобы authorized_keys был доступен пользователю на чтение и запись и недоступен остальным:

chmod 600 ~/.ssh/authorized_keys

• Открытого ключа нет в файле, либо AuthorizedKeysFile указывает в другое место.
• Домашний каталог или .ssh принадлежит другому пользователю или открыт остальным.
• Клиент предлагает не тот ключ. Его параметр IdentitiesOnly по умолчанию равен no, поэтому агент может предложить другие ключи первыми.
• Множество предложенных ключей исчерпывает MaxAuthTries раньше, чем дойдёт очередь до нужного.
• Блок Match или более ранняя строка переопределяет значение, ведь используется первое полученное.

Эту ошибку подробно разбирает руководство по Permission denied (publickey).

Взаимодействие с другими настройками и место в усилении защиты

Никогда не задавайте PubkeyAuthentication no как меру усиления защиты. Если AuthenticationMethods требует publickey, а метод выключен, sshd отвергнет конфигурацию: в его исходном коде проверяется, что хотя бы один заданный список выполним, и при неудаче выводится "AuthenticationMethods cannot be satisfied by enabled authentication methods". Эта проверка не видит блоки Match, поэтому продолжайте тестировать.

Ключи это первый фактор в более сильной схеме. Добавьте второй шаг через AuthenticationMethods publickey,keyboard-interactive или используйте аппаратный ключ из статьи про FIDO2 и WebAuthn: PubkeyAuthOptions поддерживает для ключей FIDO значения touch-required и verify-required, а по умолчанию действует none.

Сочетайте ключи с PermitRootLogin no и списком AllowUsers. Порядок работ изложен в руководстве по усилению защиты SSH, дополнительный фактор в руководстве по двухфакторной аутентификации SSH, а о ботах, которые продолжают попытки, рассказывает руководство по защите от подбора паролей.

Связанные термины: sshd_config, Аутентификация по ключам, authorized_keys, PasswordAuthentication, FIDO2 и WebAuthn.