Een SSH-sleutelpaar is de veiligste manier om in te loggen op een server, veiliger dan een wachtwoord. Je maakt een privésleutel en een publieke sleutel aan, plaatst de publieke sleutel op de server en gebruikt voortaan de privésleutel om zonder wachtwoord, maar wel versleuteld, in te loggen. In dit artikel lees je hoe je dit in een paar stappen opzet, op Windows, macOS en Linux.
Wat is een SSH-sleutelpaar
SSH-authenticatie met sleutels werkt met twee bij elkaar horende bestanden: een privésleutel die alleen op jouw eigen computer blijft staan, en een publieke sleutel die je op de server zet. Bij het inloggen controleert de server of jouw privésleutel bij de opgeslagen publieke sleutel past, zonder dat de privésleutel ooit over het netwerk wordt verstuurd. Dit maakt het veel lastiger om in te breken dan met een wachtwoord, omdat een aanvaller niet alleen het wachtwoord zou moeten raden maar ook fysiek toegang tot jouw privésleutel zou moeten hebben.
Daarnaast kun je de privésleutel extra beveiligen met een passphrase (wachtwoordzin), zodat zelfs als iemand het bestand bemachtigt, hij er niets mee kan zonder die passphrase te kennen.
SSH-sleutels aanmaken
Het aanmaken van een sleutelpaar werkt op Windows, macOS en Linux vrijwel identiek, omdat ze allemaal gebruikmaken van OpenSSH.
Open een terminal
Open op macOS en Linux de Terminal-app. Op Windows 10 of 11 open je PowerShell of de ingebouwde Terminal; daar is OpenSSH standaard al aanwezig.
Genereer het sleutelpaar
Voer het commando ssh-keygen -t ed25519 -C "[email protected]" uit. Werkt je systeem niet met ed25519, gebruik dan ssh-keygen -t rsa -b 4096 als alternatief.
Kies een opslaglocatie
Druk op Enter om de standaardlocatie (meestal ~/.ssh/id_ed25519) te accepteren, of geef een eigen pad op als je meerdere sleutels wilt beheren.
Stel een passphrase in
Voer een passphrase in om de privésleutel extra te beveiligen. Laat je dit veld leeg, dan werkt de sleutel ook maar zonder die extra beveiligingslaag.
Na deze stappen staan er twee bestanden klaar: een privésleutel (zonder extensie) en een publieke sleutel met de extensie .pub. De publieke sleutel mag je delen, de privésleutel nooit.
Publieke sleutel op de server plaatsen
Om daadwerkelijk met de sleutel te kunnen inloggen, moet de publieke sleutel bekend zijn bij de server. Dit kan op een paar manieren.
Met het commando ssh-copy-id gebruiker@server-ip wordt de publieke sleutel automatisch toegevoegd aan het bestand authorized_keys op de server. Heb je dit commando niet beschikbaar, bijvoorbeeld op Windows zonder extra tools, kopieer dan handmatig de inhoud van het .pub bestand en plak die in het bestand ~/.ssh/authorized_keys op de server.
Werk je met een beheerpaneel zoals Plesk, dan kun je publieke SSH-sleutels vaak ook direct bij het gebruikersaccount toevoegen via de interface, zonder zelf bestanden te hoeven bewerken. Overweeg je over te stappen naar een andere provider, bekijk dan de pagina over overstappen naar Tandata voor meer informatie over hoe dat in zijn werk gaat, inclusief het overzetten van toegang tot je server.
Sleutel gebruiken en beheren
Zodra de publieke sleutel op de server staat, log je in met ssh gebruiker@server-ip. Heb je een passphrase ingesteld, dan vraagt het systeem daarnaar; zonder passphrase log je direct in.
Gebruik je meerdere sleutels voor verschillende servers of projecten, bijvoorbeeld voor je webhosting en losse VPS-omgevingen, dan kun je dit overzichtelijk houden met een configuratiebestand (~/.ssh/config) waarin je per server aangeeft welke sleutel gebruikt moet worden.
Wil je wachtwoordauthenticatie volledig uitschakelen zodat alleen sleutels nog toegang geven, dan pas je dit aan in de SSH-serverconfiguratie. Doe dit pas nadat je zeker weet dat de sleutelverbinding werkt. Vragen hierover of over andere serverinstellingen kun je altijd terugvinden in de kennisbank, of stellen via de 24/7 support.
Veelgestelde vragen
Is ed25519 beter dan RSA?
Ed25519-sleutels zijn korter, sneller te verwerken en worden door de meeste moderne systemen ondersteund. RSA is nog steeds veilig, maar wordt vaak alleen gebruikt als een systeem ed25519 niet ondersteunt.
Wat als ik mijn passphrase vergeet?
Er is geen manier om een vergeten passphrase te herstellen. Je moet dan een nieuw sleutelpaar aanmaken en de oude publieke sleutel van de server verwijderen.
Kan ik hetzelfde sleutelpaar op meerdere servers gebruiken?
Ja, je kunt dezelfde publieke sleutel bij meerdere servers toevoegen. Voor meer overzicht en veiligheid is het echter aan te raden per omgeving een apart sleutelpaar te gebruiken.
Is SSH met sleutels ook relevant als ik alleen e-mail host?
Voor puur e-mailbeheer via een zakelijke e-mail oplossing heb je meestal geen SSH-toegang nodig. SSH is vooral relevant als je ook serverbeheer of bestandsbeheer via de command line doet.
Waar vind ik mijn SSH-instellingen in Plesk?
In Plesk vind je de instellingen voor SSH-sleutels meestal onder het gebruikersaccount of de hostinginstellingen, waar je publieke sleutels kunt toevoegen of verwijderen.
Conclusie
Een SSH-sleutelpaar aanmaken kost een paar minuten, maar levert een stuk veiligere en vaak ook makkelijkere toegang tot je server op dan inloggen met alleen een wachtwoord. Genereer het sleutelpaar, zet de publieke sleutel op de server en bewaar de privésleutel goed, eventueel met een passphrase. Zo verbind je voortaan snel en veilig met je omgeving.