Secure Shell (SSH) ist ein kryptografisches Netzwerkprotokoll für sichere Fernanmeldung, Befehlsausführung und Dateiübertragung über ein nicht vertrauenswürdiges Netz.
Wie SSH funktioniert
Der finnische Forscher Tatu Ylönen entwickelte SSH 1995, nachdem in seinem Universitätsnetz Passwörter abgehört worden waren. Es löste unsichere Protokolle wie Telnet und rlogin ab, die Passwörter im Klartext übertrugen. Die aktuelle Version SSH-2 ist in RFC 4251–4254 definiert; die meistgenutzte Implementierung ist OpenSSH, die das OpenBSD-Projekt seit 1999 entwickelt. SSH-Server lauschen üblicherweise auf TCP-Port 22.
- Der Client prüft den Host-Schlüssel des Servers, und beide Seiten handeln per Schlüsselaustausch Sitzungsschlüssel aus.
- Der Nutzer authentifiziert sich per Passwort, mit einem Schlüsselpaar auf Basis der Public-Key-Kryptografie (zum Beispiel Ed25519) oder mit SSH-Zertifikaten.
- Der verschlüsselte Kanal transportiert Shell-Sitzungen, Dateiübertragungen (SFTP, SCP) und Port-Forwarding-Tunnel.
Warum SSH für die Sicherheit wichtig ist
SSH ist der Standardweg zur Verwaltung von Linux-Servern, Netzwerkgeräten und Cloud-Instanzen – und damit ein Hauptziel:
- Brute Force – Botnetze probieren ständig gängige Passwörter an offen erreichbaren SSH-Servern aus (siehe Brute Force).
- Gestohlene Schlüssel – ungeschützte private Schlüssel und zu großzügige authorized_keys-Dateien ermöglichen laterale Bewegung zwischen Servern.
- Schwachstellen und Backdoors – die xz-Utils-Backdoor (CVE-2024-3094) zielte 2024 über eine kompromittierte Bibliothek auf OpenSSH-Server einiger Linux-Distributionen, und regreSSHion (CVE-2024-6387) erlaubte Remotecodeausführung in OpenSSH auf glibc-basierten Linux-Systemen.
Best Practices
- Schlüsselbasierte Authentifizierung mit Passphrase nutzen und Passwort- sowie Root-Anmeldungen deaktivieren.
- SSH nicht direkt ins Internet stellen; stattdessen VPN oder Bastion-Host und Allowlists verwenden.
- Anmeldeversuche mit Werkzeugen wie fail2ban begrenzen und für kritische Hosts MFA ergänzen.
- OpenSSH aktuell halten und autorisierte Schlüssel regelmäßig überprüfen.
Synonyme:
Secure Shell, SSH-Protokoll
