Chiavi SSH spiegate: guida a un accesso remoto rapido e sicuro

Stanco di digitare la password ogni volta che ti connetti a un server remoto o a un repository GitHub?

Le chiavi SSH sono quello che cerchi. Offrono un’alternativa sicura e comoda all’autenticazione basata su password quando vuoi accedere a sistemi remoti. Le chiavi SSH garantiscono anche una sicurezza superiore rispetto alle password, perché sono praticamente impossibili da violare con attacchi brute force.

Nel corso degli anni sono diventate lo standard per le connessioni remote sicure negli ambienti professionali. Sono essenziali per chi lavora con server remoti, servizi cloud o sistemi di controllo versione come Git.

In questo articolo imparerai a generare le chiavi SSH, aggiungerle ai sistemi remoti e applicare le best practice per gestirle in sicurezza.

Cosa sono le chiavi SSH?

Le chiavi SSH sono credenziali crittografiche che ti permettono di accedere in modo sicuro ai sistemi remoti senza digitare password. Invece di memorizzare password complesse con numeri, maiuscole e caratteri speciali, crei una coppia di chiavi – una pubblica e una privata.

Pensa alla tua chiave pubblica come a un lucchetto che puoi distribuire liberamente a qualsiasi server a cui vuoi accedere. La tua chiave privata funziona come la chiave unica che apre quei lucchetti. Quando ti connetti a un sistema remoto, questo verifica se la tua chiave privata corrisponde alla chiave pubblica memorizzata. Se combaciano, ottieni accesso immediato senza inserire una password.

Dalla chiave pubblica non è possibile risalire alla chiave privata, ed è questo a rendere il sistema estremamente sicuro. La tua chiave privata deve rimanere segreta e restare sul tuo computer, quindi non condividerla mai con nessuno.

> Per capire meglio come le connessioni sicure si inseriscono nel quadro più ampio della cybersecurity, esplora il corso Introduction to Data Security.

Quanto ai vantaggi rispetto all’autenticazione tradizionale con password, ecco quelli da conoscere:

• Sicurezza avanzata – A differenza delle password, le chiavi SSH non possono essere indovinate o forzate brute-force grazie alla loro lunghezza e complessità (tipicamente 2048 bit o più).
• Maggiore comodità – Una volta configurate, puoi connetterti ai server senza digitare la password ogni volta.
• Adatte all’automazione – Perfette per script e processi automatizzati che richiedono autenticazione sicura.
• Gestione centralizzata degli accessi – Aggiungi o revoca l’accesso semplicemente gestendo le chiavi pubbliche sui tuoi server.
• Fine della fatica da password – Non devi creare, ricordare o cambiare periodicamente password complesse.

Le chiavi SSH funzionano praticamente con qualsiasi sistema che supporti SSH, inclusi server Linux, piattaforme cloud e repository di codice come GitHub e GitLab. Sono diventate lo standard per l’accesso remoto sicuro negli ambienti professionali.

> Per i professionisti del cloud, padroneggiare sicurezza ed efficienza dei costi è fondamentale—scopri di più nel corso AWS Security and Cost Management.

Ora sai cosa sono le chiavi SSH, quindi vediamo come generarle.

Come generare le chiavi SSH

Creare chiavi SSH richiede solo pochi minuti, indipendentemente dal sistema operativo. 

Il processo genera due file: la tua chiave privata (che deve restare al sicuro sul tuo computer) e la tua chiave pubblica (che aggiungerai ai server remoti).

Generare chiavi SSH su Linux/MacOS

Per creare chiavi SSH su Linux o MacOS, userai il comando integrato ssh-keygen. Per iniziare, apri il terminale e digita:

ssh-keygen -t rsa -b 4096 -C "your_email@example.com"

Questo comando indica al sistema di creare una nuova chiave RSA con cifratura a 4096 bit (molto sicura) e di aggiungere la tua email come commento per l’identificazione.

Il sistema ti chiederà dove salvare la chiave e se aggiungere una passphrase. La posizione predefinita va bene per la maggior parte degli utenti, ma la passphrase merita attenzione. 

Una buona passphrase aggiunge un ulteriore livello di sicurezza: anche se qualcuno ottenesse il file della tua chiave privata, non potrebbe usarlo senza conoscere questa frase.

Immagine 1 - Creazione della coppia di chiavi SSH su Linux/macOS

Dopo aver confermato le scelte, il sistema crea entrambe le chiavi nella directory .ssh della tua home:

• La tua chiave privata: il file senza estensione (ad esempio id_rsa).
• La tua chiave pubblica: il file con estensione .pub (ad esempio id_rsa.pub).

Immagine 2 - File di chiavi creati

Generare chiavi SSH su Windows

Chi usa Windows ha un paio di ottime opzioni per creare chiavi SSH: Git Bash e WSL.

Git Bash offre un’esperienza da riga di comando simile a Linux/MacOS. Se hai installato Git for Windows, hai già questo strumento. Apri Git Bash e usa lo stesso comando ssh-keygen mostrato sopra.

Windows Subsystem for Linux (WSL) è un’altra buona opzione se preferisci lavorare in un ambiente Linux sul tuo PC Windows. I comandi funzionano esattamente come su un sistema Linux nativo.

Per chi preferisce un’interfaccia grafica, PuTTYgen offre un approccio più visivo.

Immagine 3 - Generazione delle chiavi con PuTTYgen su Windows

Ecco i passaggi da seguire per creare la tua coppia di chiavi:

1. Avvia PuTTYgen dal menu Start.
2. Seleziona RSA come tipo di chiave.
3. Clicca su "Generate" e muovi il mouse nell’area vuota.
4. Aggiungi una passphrase per maggiore sicurezza.
5. Salva sia la chiave pubblica che quella privata usando i pulsanti dedicati.

Immagine 4 - File di chiavi creati (2)

Capire i file di chiave

Il processo di generazione delle chiavi SSH crea due file che lavorano in coppia.

La tua chiave privata deve rimanere segreta e al sicuro sul tuo computer. Pensala come una chiave maestra che prova la tua identità. I nomi tipici delle chiavi private sono simili a questi:

• id_ed25519 (per chiavi Ed25519).
• id_rsa (per chiavi RSA).

La tua chiave pubblica può essere condivisa liberamente con qualsiasi sistema a cui vuoi accedere. Funziona come una serratura che solo la tua chiave privata può aprire. Le chiavi pubbliche hanno sempre lo stesso nome della rispettiva chiave privata, con in più l’estensione .pub.

La sicurezza di questo sistema dipende interamente dal mantenere protetta la chiave privata.

Non condividerla mai, non inviarla via email e non conservarla su dispositivi non affidabili. Se pensi che la tua chiave privata sia stata compromessa, genera subito una nuova coppia e aggiorna tutti i server che avevano la tua vecchia chiave pubblica.

Puoi visualizzare il contenuto della tua chiave pubblica con:

cat ~/.ssh/id_rsa.pub

Immagine 5 - Contenuto della chiave pubblica

L’output mostra la stringa completa che ti servirà per configurare i server remoti, cosa che vedremo nella prossima sezione.

Come aggiungere le chiavi SSH ai sistemi remoti

Ora che hai creato la tua coppia di chiavi SSH, devi aggiungere la chiave pubblica a ogni sistema remoto a cui vuoi accedere. In parole semplici, questo processo dice al server remoto di riconoscere la tua chiave privata come forma valida di autenticazione.

Aggiungere le chiavi pubbliche a un server remoto

Il processo è semplice: devi solo aggiungere la tua chiave pubblica a un file speciale sul server remoto. Questo file, chiamato authorized_keys, contiene l’elenco delle chiavi pubbliche autorizzate a connettersi.

Il modo più semplice per aggiungere la tua chiave è con il comando ssh-copy-id:

ssh-copy-id username@remote_host

Questo comando si connette al server remoto, crea le directory necessarie se non esistono e aggiunge la tua chiave pubblica al file authorized_keys. Durante il processo dovrai inserire la password un’ultima volta.

Immagine 6 - Contenuto del file authorized_keys

Se il tuo sistema non dispone del comando ssh-copy-id, puoi ottenere lo stesso risultato manualmente, ma con un paio di passaggi.

Segui queste istruzioni ed esegui i comandi uno alla volta:

# Mostra la tua chiave pubblica e copiala
cat ~/.ssh/id_rsa.pub

# Connettiti al server remoto con autenticazione tramite password
ssh username@remote_host

# Crea la directory .ssh se non esiste
mkdir -p ~/.ssh

# Apri o crea il file authorized_keys e incolla la tua chiave pubblica
echo "your_copied_public_key" >> ~/.ssh/authorized_keys

E questo è tutto!

Per i server in cui devi fornire la tua chiave a un amministratore di sistema, invia semplicemente il contenuto del tuo file di chiave pubblica. La aggiungeranno loro al server.

Configurare SSH per l’autenticazione con chiave

Dopo aver aggiunto la tua chiave pubblica, potresti voler configurare il server SSH per migliorare ulteriormente la sicurezza. Questi passaggi richiedono privilegi amministrativi (sudo).

Per modificare la configurazione del server SSH, apri il file principale di config:

sudo nano /etc/ssh/sshd_config

Immagine 7 - Contenuto del file sshd_config

In questo file puoi applicare un paio di miglioramenti alla sicurezza:

• Imposta PasswordAuthentication no per disabilitare del tutto l’accesso con password.
• Assicurati che PubkeyAuthentication yes sia impostato (di solito è abilitato per impostazione predefinita).
• Valuta di impostare PermitRootLogin prohibit-password per impedire l’accesso root con password.

Dopo aver apportato le modifiche, ricordati di riavviare il servizio SSH per applicarle:

sudo systemctl restart sshd

Vale anche la pena ricordare che i permessi corretti dei file sono fondamentali perché l’autenticazione con chiave SSH funzioni. Il server SSH è molto rigoroso sulla sicurezza e rifiuterà le connessioni se i permessi sono troppo aperti. Assicurati che i tuoi file abbiano questi permessi:

• La tua home: chmod 755 ~.
• La directory .ssh: chmod 700 ~/.ssh.
• Il file authorized_keys: chmod 600 ~/.ssh/authorized_keys.

Con la tua chiave pubblica al suo posto e il server configurato correttamente, ora puoi connetterti ai server remoti senza inserire la password. 

Nella prossima sezione ti mostrerò come usare le chiavi SSH per l’autenticazione.

Come usare le chiavi SSH per l’autenticazione

Ora sei pronto a goderti la comodità e la sicurezza dell’autenticazione senza password. Vediamo come connetterti a server e repository di codice usando le chiavi SSH.

Connessione a un server remoto con autenticazione a chiave SSH

Connetterti a un server con le chiavi SSH funziona come un normale accesso SSH, ma senza la richiesta della password. Apri il terminale e usa il comando SSH standard:

ssh username@hostname

Se hai salvato la chiave nella posizione predefinita (~/.ssh/id_rsa), SSH la troverà e la userà automaticamente. Se hai impostato una passphrase quando hai creato la chiave, dovrai inserirla, ma solo una volta per sessione.

Per chiavi salvate in posizioni non standard, specifica il percorso con il flag -i:

ssh -i ~/path/to/your/private_key username@hostname

Immagine 8 - Connessione a un server remoto via SSH

Digitare la passphrase a ogni connessione può diventare noioso. Qui torna utile l’agente SSH. Funziona in background e mantiene in memoria, in modo sicuro, le tue chiavi private decrittate, così devi inserire la passphrase una sola volta.

Per avviare l’agente SSH e aggiungere la tua chiave:

eval "$(ssh-agent -s)"
ssh-add ~/.ssh/id_rsa

Immagine 9 - Agente SSH

Inserirai la passphrase una volta e l’agente gestirà l’autenticazione per tutte le connessioni successive durante la sessione. È utile quando devi collegarti più volte ai server o quando usi applicazioni che stabiliscono più connessioni SSH.

Su macOS l’agente SSH si avvia automaticamente e, durante la prima connessione, puoi abilitare "remember passphrase in keychain" per evitare di reinserirla nelle sessioni future. Purtroppo questa funzionalità è specifica di macOS.

Usare le chiavi SSH per l’autenticazione su GitHub/GitLab

Servizi come GitHub e GitLab supportano anche l’autenticazione con chiavi SSH e la raccomandano rispetto a quella basata su password.

Per aggiungere la tua chiave SSH a GitHub, inizia aprendo GitHub ed effettuando l’accesso al tuo account. Poi clicca sulla tua immagine del profilo in alto a destra e seleziona "Settings". Nella barra laterale, clicca su "SSH and GPG keys":

Immagine 10 - Configurazione autenticazione su GitHub (1)

Clicca su "New SSH key", dai alla chiave un titolo descrittivo, incolla la tua chiave pubblica nel campo "Key" e infine clicca su "Add SSH key":

Immagine 11 - Configurazione autenticazione su GitHub (2)

Quando avrai finito, vedrai un messaggio di conferma che ti informa che la chiave è stata aggiunta al tuo account:

Immagine 12 - Configurazione autenticazione su GitHub (3)

Dopo aver aggiunto la chiave, puoi clonare, eseguire pull e push sui repository usando gli URL SSH invece degli URL HTTPS. Questo è il comando che userai:

git clone git@github.com:username/repository.git

Immagine 13 - Clonazione di un repository via SSH

Tutto qui. Il processo per GitLab è molto simile—cerca semplicemente SSH Keys nelle impostazioni del tuo account.

In sintesi, usare SSH per le operazioni Git significa che non dovrai inserire username e password ogni volta che interagisci con il repository remoto. La tua chiave SSH fornisce automaticamente un’autenticazione sicura.

Se lavori con più servizi (ad esempio sia GitHub che GitLab), potresti valutare di creare chiavi separate per ciascun servizio. Questo approccio migliora la sicurezza limitando l’esposizione nel caso in cui una chiave venga compromessa.

> Per approfondire la gestione dei repository, da un’occhiata a Intermediate GitHub Concepts.

Gestione delle chiavi SSH

Man mano che usi le chiavi SSH su più sistemi e servizi, prima o poi avrai bisogno di un modo per gestirle.

In questa sezione, ti mostrerò come tenere traccia delle chiavi esistenti, rimuovere chiavi vecchie o compromesse e risolvere eventuali problemi.

Visualizzare ed elencare le chiavi SSH

Puoi visualizzare tutte le tue chiavi SSH controllando la directory .ssh nella tua home. Questa directory contiene sia le chiavi private sia le corrispondenti chiavi pubbliche.

Esegui il seguente comando per elencare tutti i file nella tua directory SSH:

ls -la ~/.ssh

Immagine 14 - Tutti i file nella directory .ssh

Questo comando mostra tutti i file nella directory, inclusi quelli nascosti. In genere vedrai file come:

• id_rsa - La tua chiave privata RSA.
• id_rsa.pub - La tua chiave pubblica RSA.
• known_hosts - Un elenco di server a cui ti sei connesso.
• authorized_keys - Chiavi pubbliche che possono accedere a questa macchina (se è configurata come server).
• config - La configurazione del tuo client SSH (se l'hai creata).

Se hai creato più chiavi per servizi diversi, vedrai coppie di chiavi aggiuntive con i nomi specificati durante la creazione.

Per vedere cosa contiene una specifica chiave pubblica, esegui il seguente comando:

cat ~/.ssh/id_rsa.pub

Immagine 15 - Contenuto della chiave pubblica

Questo visualizza l'intera chiave pubblica, che inizia con ssh-rsa e termina con il tuo commento (di solito il tuo indirizzo email).

Rimozione delle chiavi SSH

Col passare del tempo, potresti dover rimuovere chiavi SSH per vari motivi: magari stai aggiornando a un tipo di chiave più forte, hai perso un dispositivo o non ti serve più accedere a determinati sistemi.

Per rimuovere le chiavi da un server remoto, dovrai modificare il file authorized_keys:

# Connect to the remote server
ssh username@remote_host

#  Open the authorized_keys file:
nano ~/.ssh/authorized_keys

Per GitHub e GitLab, rimuovere le chiavi è ancora più semplice:

1. Vai alle impostazioni del tuo account.
2. Vai alla sezione "SSH and GPG keys".
3. Trova la chiave che vuoi rimuovere.
4. Fai clic sull'icona di eliminazione accanto a quella chiave.

Immagine 16 - Conferma dell'eliminazione della chiave su GitHub

Infine, per rimuovere le chiavi dalla tua macchina locale, elimina semplicemente i file:

rm ~/.ssh/id_rsa ~/.ssh/id_rsa.pub

Sostituisci id_rsa con il nome della chiave che vuoi rimuovere.

Se devi rimuovere un host remoto dal tuo file known_hosts (di solito dopo la riconfigurazione di un server), esegui questo comando:

ssh-keygen -R hostname

Questo rimuove la voce dell'host specificato dal tuo file known_hosts, utile quando compare l'errore "host key verification failed".

Risoluzione dei problemi comuni con le chiavi SSH

L'autenticazione con chiavi SSH a volte può fallire per vari motivi. In questa sezione ti mostro le soluzioni ai problemi più comuni.

• Problemi di permessi. SSH è rigoroso sui permessi dei file per motivi di sicurezza. Se le tue chiavi hanno permessi errati, l'autenticazione fallirà. Correggi così:

chmod 700 ~/.ssh
chmod 600 ~/.ssh/id_rsa
chmod 644 ~/.ssh/id_rsa.pub
chmod 600 ~/.ssh/authorized_keys

• Problemi con la passphrase. Se hai dimenticato la passphrase, purtroppo non c'è modo di recuperarla. Dovrai fare quanto segue:
• Genera una nuova coppia di chiavi.
• Aggiungi la nuova chiave pubblica ai tuoi sistemi remoti.
• Rimuovi la vecchia coppia di chiavi.

• Connection refused. Se ricevi un errore "Connection refused", le cause possono essere molteplici. Ecco i passaggi da seguire per aggirarlo:
• Verifica che il server sia in esecuzione e raggiungibile.
• Controlla che il servizio SSH sia in esecuzione sul server.
• Conferma di usare la porta corretta (predefinita 22).

• Errori di autenticazione. Se ottieni errori "Permission denied (publickey)", segui questi passaggi per risolvere:
• Assicurati che la tua chiave pubblica sia correttamente aggiunta al file authorized_keys del server.
• Controlla che il server consenta l'autenticazione con chiave pubblica.
• Verifica di usare lo username e l'hostname corretti.
• Assicurati di usare la chiave privata corretta.

• Problemi con l'agent. Questi problemi possono insorgere se l'SSH agent non funziona. Ecco cosa fare:
• Conferma che l'agent sia in esecuzione con ssh-add -l.
• Se non è in esecuzione, avvialo con eval "$(ssh-agent -s)".
• Aggiungi la tua chiave con ssh-add ~/.ssh/id_rsa.

A seguire, vediamo alcune best practice per la gestione delle chiavi SSH.

Best practice per la gestione delle chiavi SSH

L'autenticazione SSH è ottima per tenere i tuoi sistemi al sicuro da accessi indesiderati, ma diciamolo: a volte può essere un po' scomoda. I suggerimenti che sto per trattare puntano a trovare il giusto equilibrio tra sicurezza forte e praticità quotidiana.

Usare passphrase robuste per le chiavi SSH

La passphrase della tua chiave privata funge da ultima linea di difesa se qualcuno ottiene il file della tua chiave. Scegli sempre una passphrase forte e unica, difficile da indovinare ma facile da ricordare per te.

Una buona passphrase ha queste caratteristiche:

• Contiene almeno 12-15 caratteri.
• Include un mix di lettere maiuscole, minuscole, numeri e caratteri speciali.
• Evita pattern comuni o parole da dizionario.
• Non è riutilizzata su altri servizi.

Per le chiavi che accedono a sistemi critici o ambienti di produzione, una passphrase robusta è assolutamente essenziale. Il piccolo disagio di digitarla ogni tanto è ampiamente compensato dai benefici in termini di sicurezza.

Quando usi l'SSH agent, devi inserire la passphrase solo una volta per sessione. Questo rende le passphrase robuste pratiche per l'uso quotidiano. Valuta di usare un password manager per archiviare in modo sicuro passphrase complesse.

Usare chiavi diverse per sistemi diversi

Dovresti sempre creare coppie di chiavi separate per servizi o livelli di sicurezza diversi, invece di usare un'unica chiave ovunque. Questa compartimentazione limita l'esposizione se una chiave viene compromessa.

Per esempio, potresti creare:

• Una chiave di lavoro per i server della tua azienda.
• Una chiave personale per i tuoi progetti domestici.
• Una chiave dedicata per GitHub o GitLab.
• Una chiave ad alta sicurezza per i sistemi di produzione.

Ancora una leggera scomodità, ma che vale lo sforzo extra.

Quando crei più chiavi, usa nomi di file descrittivi che ne identifichino lo scopo:

ssh-keygen -t rsa -b 4096 -f ~/.ssh/github_rsa -C "github access"

Per usare una chiave specifica durante la connessione, puoi configurare comodamente un file di configurazione:

# ~/.ssh/config
Host github.com
    IdentityFile ~/.ssh/github_rsa

Host companyserver
    HostName 255.255.255.255
    User ubuntu
    IdentityFile ~/.ssh/company_server_rsa

Questo approccio garantisce che, se una chiave viene compromessa, dovrai sostituire solo quella invece di aggiornare tutti i tuoi sistemi.

Ruotare regolarmente le chiavi SSH

Sostituire periodicamente le chiavi SSH riduce il rischio di compromissioni non rilevate e segue le best practice di sicurezza. 

La frequenza dipende dalla sensibilità:

• Progetti personali: ogni 1-2 anni.
• Sistemi aziendali: ogni 6-12 mesi.
• Ambienti ad alta sicurezza: ogni 3-6 mesi.
• Immediatamente dopo l'uscita di membri del team o attività sospette.

Il processo di rotazione delle chiavi SSH prevede la creazione di nuove coppie di chiavi, l'aggiunta delle nuove chiavi pubbliche ai server, la verifica del funzionamento delle nuove chiavi, la rimozione delle vecchie chiavi pubbliche dai server e l'eliminazione delle vecchie chiavi private dalla macchina locale.

In altre parole, richiede un po' di tempo, quindi pianificalo in agenda.

Inoltre, è buona pratica mantenere un registro di quali chiavi hanno accesso a quali sistemi. Per le organizzazioni, valuta l'implementazione di strumenti automatici di gestione delle chiavi che gestiscano sistematicamente la rotazione.

Imporre l'autenticazione con chiavi SSH

La misura di sicurezza più forte che puoi implementare è disabilitare completamente l'autenticazione con password sui tuoi server e richiedere le chiavi SSH per tutte le connessioni.

Segui questi passaggi per imporre l'autenticazione basata su chiavi:

# Edit your SSH server configuration
sudo nano /etc/ssh/sshd_config

# Set these critical security options
PasswordAuthentication no
ChallengeResponseAuthentication no
UsePAM no

# Restart the SSH service
sudo systemctl restart sshd

Questa configurazione impedisce completamente gli attacchi brute force alle password. 

Ma prima di applicare queste modifiche, assicurati che l'autenticazione con chiave SSH funzioni correttamente per evitare di chiuderti fuori. Capita.

Ricapitolando le chiavi SSH

Per concludere, si può dire che le chiavi SSH trasformano il modo in cui ti connetti ai sistemi remoti. Passare dalle password all'autenticazione a chiave migliora il tuo flusso di lavoro quotidiano sia in termini di sicurezza sia di comodità.

Un altro vantaggio è che il processo è semplice. Devi generare le chiavi, aggiungerle ai server a cui accedi e connetterti senza digitare password. Tutto qui! Rispetto all'autenticazione tradizionale basata su password, le chiavi SSH rendono le connessioni più veloci e affidabili e bloccano anche metodi di attacco comuni come il tentativo di indovinare la password.

Ricorda che la tua chiave privata richiede protezione. Usa una passphrase robusta, mantieni la chiave al sicuro e segui le best practice descritte in questo articolo, in particolare quelle sulla compartimentazione delle chiavi SSH. 

Se vuoi saperne di più sulle chiavi SSH e, in generale, lavorare con la riga di comando, questi corsi di DataCamp sono il prossimo passo ideale:

• Introduction to Shell
• Introduction to Bash Scripting
• Bash & zsh Shell Terminal Basics Cheat Sheet