Die meisten starten dieses Programm nie absichtlich, und fast alle haben es heute benutzt.

Ein Protokoll, das zur Infrastruktur wurde

Eine Aenderung hochschieben, einen Server ausrollen, eine Datei auf einen Sicherungsrechner kopieren, einen Befehl auf einer Maschine im Nachbargebaeude ausfuehren: alles laeuft ueber ein Protokoll, und meistens denkt niemand daran. Das ist das Kennzeichen von Infrastruktur. Sie funktioniert, sie ist unsichtbar, und bemerkt wird sie an dem Tag, an dem sie steht.

OpenSSH ist die Umsetzung, die fast ueberall laeuft. Die offizielle Beschreibung ist eine Liste statt eines Slogans: die Clients ssh, scp und sftp, der Dienst sshd, verschluesselte Uebertragung, Tunnel und mehrere Arten der Authentifizierung. Jeder Punkt deckt einen konkreten Bedarf, und das Ganze haelt zusammen, weil alles dasselbe Protokoll spricht.

Gepflegt wird es von Entwicklern des OpenBSD-Projekts, was eine gewisse Vorsicht im Entwurf erklaert. Funktionen kommen langsam, Vorgaben aendern sich selten, und wenn eine sich aendert, wird das laut angekuendigt, weil der Preis einer Ueberraschung fuer einen Administrator in Ausfallzeit gemessen wird.

Drei Clients, ein Dienst, mehrere Arten sich auszuweisen

Die Clients unterscheiden sich nach Aufgabe, nicht nach Vermoegen. ssh gibt eine Sitzung oder fuehrt einen Befehl aus und kehrt zurueck; scp kopiert Dateien in einer Syntax, die vom aelteren Werkzeug gleichen Zwecks geborgt ist; sftp bietet eine interaktive Uebertragungssitzung fuer viele Dateien und Verzeichnisse. Alle drei reiten auf demselben verschluesselten Kanal.

Die praktischen Entscheidungen fallen bei der Authentifizierung. Ein Passwort ist einfach und schwach. Bei Schluesseln liegt der private Teil beim Client und der oeffentliche beim Dienst, sodass kein Geheimnis ueber die Leitung geht und nichts erraten werden kann. Zertifikate gehen weiter und lassen eine Stelle kurzlebige Nachweise fuer viele Rechner ausstellen, was der Unterschied zwischen Schluesselverwaltung von Hand und Zugriff als Richtlinie ist.

Tunnel sind der Teil, den man spaet entdeckt und dann staendig nutzt. Eine lokale Weiterleitung legt einen entfernten Dienst auf einen lokalen Port; eine entfernte macht das Gegenteil; eine dynamische macht aus der Verbindung einen allgemeinen Vermittler. Nichts davon verlangt etwas Zusaetzliches am anderen Ende ausser dem Dienst, der ohnehin dort laeuft.

Version und Gewohnheiten, die altern

Aktuell ist 10.6. Die Nummern bewegen sich hier langsam, und jede Ausgabe nimmt eher einen alten Algorithmus zurueck oder zieht eine Vorgabe an, als sichtbare Funktionen hinzuzufuegen. Die Notizen zu lesen ist fuer jeden mit einem Server also keine Kuer, denn was ein Skript bricht, ist meistens eine Entfernung.

Zwei Gewohnheiten halten lange. Erstens Schluessel nach Plan ersetzen statt erst, wenn etwas schiefgeht. Zweitens die Konfiguration des Dienstes nach jeder Aktualisierung durchsehen, weil Vorgaben, die vor fuenf Jahren tragbar waren, heute oft nicht mehr angeboten werden.

Ob eine Fernanmeldung sicher ist, entscheidet sich an den Gewohnheiten der Person, die sie eingerichtet hat, lange bevor ein Algorithmus gewaehlt wird.

Hinweise aus der Praxis: Schluessel statt Passwoerter bevorzugen und Passwoerter nur dort als Rueckweg lassen, wo eine Richtlinie es verlangt; begrenzen, welche Konten sich anmelden duerfen, statt bei allen auf starke Passwoerter zu hoffen; und einen taeglich genutzten Tunnel in eine Konfigurationsdatei schreiben statt die Schalter neu zu tippen, denn eine falsch getippte Weiterleitung ist eine Fehlersuche, die niemand mag.